por la cual se dictan disposiciones generales para la protección de datos personales

Teniendo en consideración que los países no tienen un régimen de protección de datos uniforme, el mencionado Grupo a partir de lo contenido en la Directiva 95/46/CE, el Convenio 108 de 1981, las directrices de la Organización para la Cooperación y el Desarrollo Económico OCDE de 1980 y los principios de la ONU de 1990, fijó una serie de principios comunes para determinar si las normas de un determinado país brindan un nivel adecuado de protección.

En este orden de ideas, se tiene como principios mínimos según el estándar europeo:

· la limitación de la finalidad;

· calidad de los datos y proporcionalidad;

· transparencia;

· seguridad;

· acceso, rectificación y oposición;

· restricciones a las trasferencias sucesivas a otros países y;

· disposiciones sectoriales o adicionales para el tratamiento de datos de tipo especial donde se incluye, datos sensibles, mercadeo directo y decisión individual automatizada.

En este orden, se entenderá que un país cuenta con un nivel adecuado de protección de datos personales, si consagra una norma general sobre protección de datos personales que incorpore los principios mínimos mencionados, así como las disposiciones sectoriales o adicionales que deben rodear el tratamiento de esa información.

2.25.4.2. En relación con el ahora proyecto de Ley que es objeto de estudio, debe decirse en primer lugar que difiere de lo señalado en la Ley 1266 de 2008[297], pero coincide con el modelo europeo, en cuanto otorga la competencia de determinar qué países proporcionan un nivel adecuado de protección de datos en el órgano de control, esto es, la Superintendencia de Industria y Comercio, y no en los operadores que manejan los datos.

En consecuencia, e inclusive, integrando lo contemplado en la Ley 1266 de 2008, por disposición del parágrafo 2º del artículo 26 del Proyecto de Ley en estudio[298], será la Superintendencia de Industria y Comercio la encargada de determinar si un país otorga garantías de protección de datos.

A propósito de la Ley 1266 de 2008, no debe perderse de vista que la Corte Constitucional mediante Sentencia C-1011 de 2008, declaró inexequible algunas disposiciones y avaló la constitucionalidad de otras pero bajo ciertos condicionamientos:

Específicamente, en relación con el literal f) del artículo 5º, el cual otorga la posibilidad de entregar información a un operador extranjeroprevia verificación por parte del operador de que las leyes del país respectivo o el receptor otorguen garantías suficientes para la protección de los derechos del titular, este Tribunal condicionó la mencionada verificación realizada por los operadores, a los parámetros determinados por las Superintendencias de Industria y Comercio y Financiera, quienes deberán analizar el cumplimiento de los estándares de garantía de derechos predicables del titular del dato personal, en la legislación del banco de datos extranjero de destino. Así, dichas entidades podrán, inclusive, identificar expresamente los ordenamientos legales extranjeros respecto de los cuales, luego de un análisis suficiente, pueda predicarse dicho grado de protección suficiente de los derechos del sujeto concernido.

En este sentido, y con sujeción a lo indicado por el referido Grupo de Trabajo de Protección de Datos de la Unión Europea, se entenderá que un país cuenta con los elementos o estándares de garantía necesarios para garantizar un nivel adecuado de protección de datos personales, si su legislación cuenta; con unos principios, que abarquen las obligaciones y derechos de las partes (titular del dato, autoridades públicas, empresas, agencias u otros organismos que efectúen tratamientos de datos personales), y de los datos (calidad del dato, seguridad técnica) y; con un procedimiento de protección de datos que involucre mecanismos y autoridades que efectivicen la protección de la información. De lo anterior se deriva que el país al que se transfiera los datos, no podrá proporcionar un nivel de protección inferior al contemplado en este cuerpo normativo que es objeto de estudio.

2.25.4.3. Ahora bien, el artículo 26 del Proyecto de Ley crea, por otra parte, un conjunto de excepciones a la regla general que prohíbe la transferencia de datos personales a un país tercero que no garantice un nivel de protección adecuado. Es decir, permite la transferencia de datos a países que pueden no garantizar un nivel adecuado de protección, en los siguientes casos:

• a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia.

• b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública.

• c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable.

• d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad.

• e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular.

• f) Transferencias necesarias o legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

En relación con estas excepciones, la Corte hará algunas precisiones concretas de cara a determinar su constitucionalidad. En este orden, respecto al literal a) no se percibe ningún inconveniente, en tanto para su procedencia se prescribe la autorización expresa e inequívoca del titular del dato, lo anterior, en desarrollo del principio de la libre voluntad del titular de autorizar la circulación de la información. Por lo tanto, es claro que aunque se permite la transferencia de datos a un país que no brinda estándares de protección adecuados, la misma se realiza bajo la responsabilidad de su titular.

De esta manera, desde ya se deja establecido que la premisa de contar con la autorización del titular de la información que es objeto de transferencia, es el presupuesto que permite la circulación de los datos consagrados en las otras excepciones previstas en el presente artículo del Proyecto de Ley y que será su condición para la respectiva declaratoria de constitucionalidad.

El literal b) por su parte, hace referencia al tratamiento de datos de carácter médico, cuando se requiera a favor del titular por razones de salud o higiene pública. Encuentra este Tribunal que la excepción se justifica, puesto que en este caso se trata de preservar y garantizar derechos de rango fundamental. Es pertinente precisar que en esta oportunidad, la facultad de autorizar la transferencia del dato médico recae no sólo en su titular sino también en sus familiares o representante legal, ya que dicho dato puede ser requerido en circunstancias donde su titular no se encuentre en capacidad de otorgar la autorización.

En relación con las transferencias bancarias o bursátiles previstas en el literal c), las mismas se regirán de conformidad a lo dispuesto por la Ley 1266 de 2008, la cual reglamenta el manejo de la información financiera, crediticia y comercial, pero bajo el entendido que la transferencia se hará contando con la autorización previa y expresa del titular del dato.

De igual manera, se admite la procedencia de la excepción consagrada en el literal d), pues tal cual como se indica, dicha transferencia se rige por lo establecido en los tratados internacionales suscritos por Colombia.

Por su parte, el literal e) hace referencia a las transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular. Esta excepción prevé aquellas transferencias que se realizan teniendo como fundamento una relación de tipo contractual, la cual se regirá bajo lo estipulado en el respectivo contrato y conforme a los deberes y derechos estipulados en cabeza de los extremos contractuales, siendo en esta medida el Responsable del Tratamiento del dato, quien debe velar por el adecuado manejo de la información, sin olvidar que para su transferencia se requiere de la autorización del titular, autorización que, conforme a lo reiteradamente expuesto, se entenderá debe ser previa y expresa.

Así, siguiendo la misma línea de la sentencia C-1011 de 2008, se advierte que en las mencionadas excepciones, salvo la consagrada en el literal b), debe existir necesariamente autorización previa y expresa del titular que permita trasmitir sus datos personales, descartando así, cualquier posibilidad de transferencia de datos a un tercer país sin contar con el consentimiento del titular. En este sentido, serán declarados exequibles los literales c), d) y e), en el entendido que sólo procederán cuando medie la autorización previa y expresa del titular de los datos.

Finalmente, en relación con el literal f) la Corte encuentra que lo allí estipulado maneja términos que pueden ser objeto de imprecisiones y que dada su naturaleza amplia y ambigua generan inconvenientes al momento de su aplicación.

Coincide la Corte con lo conceptuado por la Defensoría del Pueblo en el sentido de que las expresiones "necesarias" y "o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial",no ofrecen suficiente claridad sobre su ámbito de aplicación y si, por el contrario, van en contra de los principios de finalidad, autorización y circulación restringida de los datos personales. La anterior consideración, tiene fundamento en las siguientes observaciones:

Por una parte, la expresión "necesarias" resulta abierta, ambigua y general en el sentido de que no establece respecto de quien se reputa dicha necesidad, ni quien la define, ni cómo se establece. Por otro lado, la expresión "o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial" no especifica si el proceso judicial involucra al titular de los datos directamente como encausado o como testigo; en qué calidad y bajo qué circunstancias se hace imperiosa la transmisión, o si, por otro lado, se refiere a los derechos de un tercero.

En consecuencia, teniendo en consideración que se trata de la regulación del derecho fundamental al habeas data, debe recordarse que las limitaciones impuestas a su ejercicio a través de la consagración de excepciones, han de ser precisas sin emplear conceptos que por su grado de indeterminación pueden comprometer el ejercicio o el goce de otros derechos constitucionales.

Se trata de una defensa del principio de legalidad que pretende ofrecer seguridad jurídica a las personas y, en esta medida, conocer con certeza cuándo sería viable la transferencia de datos personales a países que no otorgan garantías de protección adecuados. En concordancia con lo anterior, lo dispuesto por el literal f) presenta un grado de indeterminación que puede afectar la protección de los datos personales, motivo por el cual, se declarará su inexequibilidad.

• 2.26. EXAMEN DEL ARTÍCULO 27: DISPOSICIONES ESPECIALES

2.26.2. Texto de la disposición

"TITULO IX

OTRAS DISPOSICIONES

Articulo 27. Disposiciones Especiales.El Gobierno Nacional regulará lo concerniente al Tratamiento sobre datos personales que requieran de disposiciones especiales. En todo caso, dicha reglamentación no podrá ser contraria a las disposiciones contenidas en la presente ley."

2.26.3. Intervenciones ciudadanas y concepto del Ministerio Público

2.26.3.1. La Defensoría del Pueblo considera que la norma es inexequible por su imprecisión y generalidad, en la medida que permite que por medio de la potestad reglamentaria, se introduzcan regulaciones que podrían afectar el núcleo esencial del derecho a la protección de datos, materia que, según el artículo 152 Superior, literal a), tiene reserva legal de carácter estatutario.

El Proyecto de Ley es bastante general, de manera que el ámbito de regulación que quedaría a disposición del Ejecutivo resultaría excesivo e inadmisible, tratándose de una materia reservada al legislador, por cuanto no queda claro qué tipo de datos serían objeto de reglamentación. En últimas, si bien hay materias de carácter técnico que podrían dejarse a la potestad reglamentaria o a las facultades de control y supervisión, la competencia "general" de reglamentación del tratamiento de datos que requieran "disposiciones especiales", excede el ámbito técnico y presupone la atribución de una facultad indelegable.

2.26.3.2. La Fundación para la libertad de prensa señala que la regulación que se haga debe ajustarse no solo a las regulaciones que son objeto de examen, sino a la Constitución, a la jurisprudencia constitucional en materia de habeas data y acceso a la información, al bloque de constitucionalidad y a los tratados y acuerdos internacionales.

2.26.3.3. El profesor Nelson Remolina de la Universidad de los Andes solicita declarar exequible el artículo, en el entendido que: i) las leyes y actos administrativos especiales sobre datos personales emitidos antes de que se sancione esta ley deben ajustarse, revisarse y actualizarse de manera que sean consistentes con los principios y reglas generales contenidos en el proyecto bajo estudio y con la jurisprudencia de la Corte Constitucional y ii) las leyes y actos administrativos especiales sobre datos personales emitidos con posterioridad a la sanción de la ley en revisión deben respetar e incorporar los principios y reglas generales contenidos en ella y con la jurisprudencia de esta Corporación.

2.26.3.4. La Secretaria Jurídica de la Presidencia de la República señala que el análisis constitucional sobre este artículo debe hacerse con fundamento en: i) el carácter general de la ley y ii) la regulación del contenido esencial de la ley. En consecuencia, debe entenderse que el proyecto de ley en revisión es una regulación general del derecho de habeas data, que tiene su fundamento en la facultad que tiene el Gobierno Nacional para tratar una ley general en esta materia, pues no es función del legislador definir situaciones determinadas, sino dar un marco general sobre el tema.

2.26.4. Inexequibilidad del artículo 27

Esta norma señala que el Gobierno Nacional regulará lo concerniente al tratamiento sobre datos personales que requieran de disposiciones especiales y agrega que, en todo caso, dicha reglamentación no podrá ser contraria a las disposiciones contenidas en la presente ley

Le corresponde a la Sala, frente a este precepto, determinar su alcance y si como lo señalan algunas de las intervenciones, el Gobierno Nacional puede ejercer su facultad reglamentaria en esa materia.

El artículo 27 se refiere a: (i) el tratamiento sobre datos personales; (ii) que requieran disposiciones especiales; (iii) regulación que corresponderá al gobierno nacional; (iv) siempre y cuando se respeten las disposiciones contenidas en el proyecto de ley objeto de revisión.

El tratamiento de datos personales, en los términos que fueron definidos en el artículo 3, literal g) del proyecto en estudio, de conformidad con los recientes estándares internacionales sobre la materia "es cualquier operación o conjunto de operaciones, sean a no automatizadas, que se apliquen a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión"[299].Ese proceso de tratamiento de datos personales, que puede ser público o privado, requiere, en los términos de la jurisprudencia de esta Corporación, definiciones claras sobre "el objeto o la actividad de las entidades administradoras de bases de datos, las regulaciones internas, los mecanismos técnicos para la recopilación, procesamiento, almacenamiento, seguridad y divulgación de los datos personales y la reglamentación sobre usuarios de los servicios de las administradoras de las bases de datos."[300].

Entendido así el tratamiento sobre datos personales, es claro que su regulación es una competencia que tiene reserva del legislador, porque toca aspectos del derecho al habeas data y que es un deber estatal en cabeza del legislador "impedir que los procesos de administración de datos personales se conviertan en escenarios excluidos de la vigencia de los derechos, lo que para el caso significa el establecimiento de reglas de protección jurídica de la libertad del individuo ante los actos de gestión de información"[301] y que de ninguna manera pueden quedar librados a que sea el Ejecutivo quien haga su ordenación, pues corresponde al órgano de representación popular como escenario propio de la democracia deliberativa, establecer regulaciones claras y precisas que impidan intervenciones lesivas tanto del Estado como de particulares, en los derechos de los individuos a través de la posibilidad que tienen éstos, como consecuencia de los avances de las nuevas tecnologías de la información de acceder y manipular los datos personales.

Es necesario insistir que con el proyecto objeto de revisión, que es una normativa de principios, el legislador no agotó su obligación de seguir desarrollando mediante lo que se han denominado "leyes sectoriales" el tratamiento de datos según su especificidad v.gr. inteligencia y seguridad; salud, seguridad social, etc., tal como se examinó en acápites precedentes.

Entiende la Sala que cuando el artículo en revisión se refiere a los "datos personales que requieran de disposiciones especiales", estos no son otros que aquellos que por sus características requieren de lo que la doctrina en materia de protección del habeas data ha denominado "leyes sectoriales", regulaciones que sin lugar a dudas deben ser expedidas exclusivamente por el legislador y no por el Ejecutivo. Por tanto, el Gobierno Nacional carece de competencia para expedir regulaciones según la tipología del dato. En ese sentido, corresponde al legislador su ordenación, tal como lo hizo para la administración de datos de índole comercial o financiera, destinada al cálculo del riesgo crediticio de servicios, en donde además de observar los principios generales que en otro acápite de esta providencia se han enunciado, cualquier excepción frente a ellos tendrá que ser razonable y proporcional.

Lo anterior permite concluir que es inadmisible que mediante la autorización que se prevé en la norma en revisión, el legislador estatutario resulte vaciando su competencia en una autoridad que, por disposición constitucional, no tiene la facultad para ello. Sobre este particular, no podemos dejar de mencionar que el Comité de Derechos Humanos en la Observación General No. 16, interpretativa del artículo 17 del Pacto Internacional de Derechos Civiles y Políticos, señaló expresamente que "La recopilación y el registro de información personal en computadoras, bancos de datos y otros dispositivos, tanto por las autoridades públicas como por las particulares o entidades privadas,deben estar reglamentados por la ley" (subraya fuera de texto).

En ese sentido, debe insistir la Sala que existe una clara reserva legal en lo que hace a la regulación del tratamiento de los datos personales, que el Gobierno Nacional no puede soslayar ni por expresa delegación que le haga el legislador sobre el particular, toda vez que cuando el Constituyente asignó en cabeza de aquél esa explicita función, lo hizo entre otras para garantizar el pleno ejercicio del derecho. Sobre el particular, en la sentencia T-396 de 1998 reiterada en la C-295 de 2002 frente a un acto que se dictó para regular un aspecto de la ley estatutaria de la administración de justicia, se señaló expresamente que "No es admisible…que se pueda expedir un acto reglamentario no para desarrollar, ejecutar o hacer aplicables los mandatos de dicha leyestatutaria, sino para regular materias sobre las cuales ella misma no se ha ocupado". Aspecto similar al que es objeto de estudio, porque el hecho que el proyecto de ley en revisión no regule aspectos esenciales de lo que el mismo proyecto denomina "datos especiales" y que según lo explicado a lo largo de esta providencia, requieren de regulaciones sectoriales, no faculta al Gobierno Nacional para su reglamentación por ser éste un aspecto reservado exclusivamente al legislador.

Finalmente, debe entenderse que la facultad a la que se refiere el precepto acusado no se relaciona con la competencia constitucional del Presidente de la República de reglamentación a la que alude el artículo 189, numeral 11 de la Constitución. Dicha potestad no requiere de habilitación legal, como reiteradamente lo ha señalado la jurisprudencia de esta Corporación, al señalar que la potestad reglamentaria es ordinaria y no requiere de habilitación legislativa, dado que si una norma legal requiere ser reglamentada para su debida ejecución e implementación, corresponde al Presidente de la República ejercer esa potestad sin que pueda otra autoridad dentro del Estado, como lo es la rama legislativa del poder público, fijarle términos para su ejercicio, por cuanto es una competencia permanente. Lo anterior no puede interpretarse como una competencia omnímoda pues encuentra sus límites naturales en la ley que se pretende reglamentar y por supuesto en la Constitución, por ejemplo, cuando la materia que se pretender normar vía reglamentaria es objeto de reserva legal, como es el caso en análisis.

En ese orden de ideas, la Corte debe declarar la inexequibilidad del artículo 27 del proyecto de ley en revisión.

• 2.27. EXAMEN DEL ARTÍCULO 28: NORMAS CORPORATIVAS VINCULANTES

2.27.2. Texto de la disposición

"Artículo 28. Normas corporativas vinculantes. El Gobierno Nacional expedirá la reglamentación correspondiente sobre Normas Corporativas Vinculantes para la certificación de buenas prácticas en protección de datos personales y su transferencia a terceros países."

2.27.3. Intervenciones ciudadanas y del Ministerio Publico

2.27.3.1. La Secretaria Jurídica de la Presidencia de la República solicita la declaración de exequibilidad de esta norma por las siguientes razones:

El proyecto se refiere a las normas corporativas vinculantes que son códigos de buenas prácticas para inyectar dinamismo en el intercambio de datos y agilizar las relaciones internacionales, normas que no se pueden entender ni como la posibilidad de hacer regulaciones propias del legislador estatutario, ni que puedan contrariar las dictadas con el propósito de proteger los datos personales.

Las normas cooperativas deben ser revisadas por la Superintendencia de Industria y Comercio, para obtener la certificación de buenas prácticas. Adicionalmente, estas tendrán un filtro que es la certificación emitida por entidades debidamente acreditadas ante el Organismo Nacional de Acreditación (ONAC) para completar el proceso de aprobación.

2.27.3.2. El Ministerio Público guardó silencio.

2.27.4. Constitucionalidad del artículo 28

Este artículo señala que el Gobierno Nacional expedirá la reglamentación correspondiente sobre normas corporativas vinculantes para la certificación de buenas prácticas en protección de datos personales y su transferencia a terceros países.

Como se desprende de las discusiones del proyecto de ley y de la intervención de la Secretaría de la Presidencia de la República, estas normas hacen referencia a principios de buen gobierno o regulaciones de buenas prácticas creadas directamente por las organizaciones, con un carácter vinculante para sus miembros.

En el ámbito europeo, antes que se dictaran los estándares en materia de protección, la autorregulación se convirtió en un mecanismo para la protección de los datos personales, en la medida en que son codificaciones sustanciales y procesales en procura de un adecuado modelo de protección de los datos.

En la práctica internacional, los datos también se protegen a través de estos códigos internacionales de conducta. En ese sentido, son un complemento a la regulación de los Estados para la efectiva protección de datos personales en especial en su flujo.

El Grupo de Trabajo del artículo 29 ha señalado que las normas corporativas vinculantes (BCR), que se utilizan en el contexto de las transferencias de datos internacionales, son una manifestación clara del principio de responsabilidad, en la medida que son autorregulaciones de conducta que redactan y siguen las organizaciones multinacionales y que deben contener las medidas para poner en práctica y hacer realizable los principios para la protección de datos, tales como la auditoría, programas de formación, red de funcionarios de privacidad, sistema de tratamiento de quejas, etc.

En consecuencia, la delegación que hace la norma para que sea el Gobierno Nacional el que reglamente los contenidos mínimos que deben contener estas normas cooperativas se ajusta a la Constitución, pues en desarrollo de los principios que rigen la administración de los datos personales, estos códigos de conducta para las buenas prácticas en esta materia, se convierten en un instrumento adicional para la efectiva garantía del derecho al habeas data.

Esas normas de autorregulación en la práctica internacional son generalmente revisadas por las autoridades nacionales de protección de datos, que deben vigilar que se consagren y garanticen salvaguardias adecuadas para transferencias o categorías de transferencias de datos personales entre empresas que forman parte del mismo grupo corporativo. En consecuencia, la Corte considera que para que estas normas cumplan su objetivo, una vez el Gobierno Nacional las reglamente y las organizaciones las implementen, deben ser revisadas por la autoridad de protección, función que no fue enlistada en las funciones que se le van a asignar al mencionado ente.

En los términos expuestos y bajo la condición que dichas normas las revise la autoridad de protección, el artículo 28 será declarado exequible.

• 2.28. EXAMEN DE LOS ARTÍCULOS 32, 33 Y 34: VIGENCIA Y RÉGIMEN DE TRANSICIÓN

2.28.2. Texto de la disposición

"Artículo 32. Régimen de transición.Las personas que a la fecha de entrada en vigencia de la presente ley ejerzan alguna de las actividades acá reguladas tendrán un plazo de hasta seis (6) meses para adecuarse a las disposiciones contempladas en esta ley.

Artículo 33. Derogatorias.La presente ley deroga todas las disposiciones que le sean contrarias a excepción de aquellas contempladas en el artículo segundo.

Artículo 34. Vigencia.La presente ley rige a partir de su promulgación."

2.28.3. Intervenciones ciudadanas y del Ministerio Público

No se presentaron observaciones específicas frente al punto.

2.28.4. Constitucionalidad de los artículo 32, 33 y 34

Los cuerpos normativos que crean nuevas reglas sobre determinados asuntos, establecen un régimen de transición para que a quienes les sean aplicables, adopten las medidas necesarias para adaptarse a los cambios. De igual manera, se estipula la entrada en vigencia y las derogatorias.

Estos artículos no contrarían ninguna disposición constitucional en tanto que se limitan a fijar los mecanismos de entrada en rigor del cuerpo normativo, así como los medios de solución de controversias en materia de tránsito legislativo.

• 3. DECISIÓN

En mérito de lo expuesto, la Corte Constitucional, administrando justicia, en nombre del pueblo y por mandato de la Constitución,

RESUELVE

Primero.- Declarar EXEQUIBLE, por su aspecto formal, el proyecto de ley Estatutaria No. 046/10 Cámara - 184/10 Senado "por la cual se dictan disposiciones generales para la protección de datos personales", salvo los artículos 29, 30 y 31 que se declaren INEXEQUIBLES por vicios de procedimiento en su aprobación.

Segundo.- Declarar EXEQUIBLES los artículos 1, 2, 3, 4, 5, 7, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 21, 22, 24, 25, 28, 32, 33 y 34 del proyecto de ley, de conformidad con lo expuesto en la parte motiva de esta providencia.

Tercero.- Declarar EXEQUIBLE el artículo 6 del proyecto de ley objeto de revisión, excepto la expresión "el titular haya hecho manifiestamente públicos o" del literal d) que se declara INEXEQUIBLE.

Cuarto.- Declarar EXEQUIBLE el artículo 8 del proyecto de ley objeto de revisión, excepto la expresión "sólo", del literal e) que se declara INEXEQUIBLE. De la misma manera, el literal e) debe entenderse en el sentido que el Titular también podrá revocar la autorización y solicitar la supresión del dato, cuando no exista un deber legal o contractual que el imponga el deber de permanecer en la referida base de datos.

Quinto.- Declarar EXEQUIBLE el artículo 19 del proyecto de ley objeto de revisión, bajo el entendido que la Delegatura de Protección de Datos Personales, en ejercicio de sus funciones deberá actuar de manera autónoma e independiente.

Sexto.- Declarar EXEQUIBLE el artículo 20 del proyecto de ley, a excepción del literal a) que se declara INEXEQUIBLE.

Séptimo.- Declarar EXEQUIBLE el artículo 23 del proyecto de ley, salvo la expresión "a favor de la Superintendencia de Industria y Comercio", del literal a) que se declara INEXEQUIBLE.

Octavo.- Declarar EXEQUIBLE el artículo 26 del proyecto de ley, salvo la expresión "necesarias o" contenida en el literal f), que se declara INEXEQUIBLE.

Noveno.- Declarar INEXEQUIBLE el artículo 27 del proyecto de ley objeto de revisión.

Cópiese, notifíquese, comuníquese, publíquese y archívese el expediente.

[1] La Sala considera necesario reiterar la nota introducida en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño, sobre el empleo del término habeas data: "Debe tenerse en cuenta que la denominación 'hábeas data' no ha sido la única utilizada por la jurisprudencia para identificar las facultades del sujeto concernido respecto de las bases de datos. Así, durante el desarrollo del concepto en las decisiones de la Corte se han usado las expresiones de 'autodeterminación informática' o 'autodeterminación informativa'. En todo caso, estas tres definiciones refieren a la misma realidad jurídica, por lo que no ofrecen mayores dificultades en su uso alternativo. Sin embargo, ante la necesidad de contar con una descripción uniforme y habida cuenta el uso extendido del término en el ámbito del derecho constitucional colombiano, esta sentencia utilizará el vocablo hábeas data con el fin de nombrar el derecho que tienen todas las personas a ejercer las facultades de conocimiento, actualización y rectificación de la información personal contenida en bases de datos." La equivalencia entre los términos habeas data y autodeterminación informativa también había sido anunciada en la sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett.

[2] Sin embargo, la primera vez que se habló del derecho a la intimidad -o privacidad en lenguaje jurídico anglosajón- fue en 1890, cuando los estadounidenses Samuel Warren y Louis Brandeis publicaron el artículo 'The Right To Privacy' que propugnaba por establecer límites jurídicos que impidieran la intromisión del periodismo en la vida privada de las personas. Warren, Samuel. Brandeis, Louis. "The Right To Privacy". Harvard Law Review. Pág. 193. 1890. Ver también Gregorio, Carlos G. "Protección de Datos Personales: Europa Vs. Estados Unidos, todo un dilema para América Latina" en Transparentar al Estado: la Experiencia Mexicana de Acceso a la Información. Universidad Autónoma de México, 2004. Pág. 301. La idea primigenia del derecho a la intimidad estuvo marcada por su individualismo acentuado, al punto que se hacía referencia al derecho a estar soloo el derecho a ser dejado en paz.

[3] Hechos como los ocurridos durante la Segunda Guerra Mundial en Alemania, donde la información del censo y los archivos del gobierno se utilizaron para detectar a los judíos y demás poblaciones víctimas del genocidio, llevaron a que una vez finalizada la guerra, el derecho a la intimidad tuviera protección reforzada en los planos nacional y regional. Esta misma razón inspiró la introducción del artículo 12 de la Declaración Universal de los Derechos Humanos.

[4]Vale la pena destacar la ley de protección de datos del land alemán de Hesse de 1970, la ley sueca de 1973, el artículo 35 de la Constitución de Portugal de 1976, la ley federal alemana de 1977, las leyes francesa y austriaca de 1978 y el artículo 18.4 de la Constitución española de 1978. Estas normas establecieron límites al empleo de la informática frente a los datos personales a partir de dos principios fundamentales: la autorización previa para la constitución de bancos de datos y su control e inspección posterior. Ver Bru Cuadra, Elisenda. "La protección de datos en España y en la Unión Europea".IDP. Revista de internet, Derecho y Política, Num 5, 2007. Universitat Oberta de Catalunya. P.p. 78-92. García González, Aristeo. "La protección de datos personales: derecho fundamental del siglo XXI. Un estudio comparado". Boletín Mexicano de DerechoComparado [en línea], XL (Septiembre-Diciembre), 2007. Disponible en: http://redalyc.uaemex.mx/redalyc/src/inicio/ArtPdfRed.jsp iCve=42712003 ISSN 0041-8633.

En esta década también se expidió el Privacy Act de 1974 en Estados Unidos, inspirada también en la necesidad de brindar protección a la privacidad frente a las nuevas tecnologías. A diferencia de lo que ha ocurrido en Europa, esta ley ha enfrentado serias dificultades en su implementación. Ver Bignami, Francesca. "European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining". Boston College Law Review, 2007. P. 609.

[5] Ver Bru Cuadra, Elisenda. "La protección de datos en España y en la Unión Europea". IDP. Revista de Internet, Derecho y Política, Num 5, 2007. Universitat Oberta de Catalunya. P.p. 78-92. Específicamente, su artículo 8 dispone: "Cualquier persona deberá poder:

• a) Conocer la existencia de un fichero automatizado de datos de carácter personal, sus finalidades principales, así como la identidad y la residencia habitual o el establecimiento principal de la autoridad controladora del fichero.

• b) Obtener a intervalos razonables y sin demora o gastos excesivos la confirmación de la existencia o no en el fichero automatizado de datos de carácter personal que conciernan a dicha persona, así como la comunicación de dichos datos en forma inteligibles."

[6] El Convenio fue precedido por las"directrices sobre protección de la privacidad y flujos transfronterizos de datos personales" adoptadas por la Organización para la Cooperación y el Desarrollo Económicos (OCDE) en 1980, en las que se definen principios básicos de protección de datos personales, aplicables tanto al sector público como al privado, como el principio de limitación de la recolección de datos, el principio de especificidad de la finalidad, el principio de limitación de uso, y el principio de salvaguardias de seguridad, entre otros. En el memorando explicativo de las directrices, se reconoce la tendencia a basar la protección de datos personales en una noción más amplia de intimidad. Al respecto, se afirma:"(…) viene habiendo una tendencia a ampliar el concepto tradicional de intimidad (él derecho a que le dejen a uno en paz') y a identificar una síntesis más compleja de intereses que quizá se puedan calificar más correctamente de intimidad y libertades individuales".

[7] Irlanda en 1980 e Inglaterra en 1984.

[8] Sentencia citada por Prieto Gutiérrez, Juan José. "Protección de datos en la Biblioteca de la Universidad Complutense", 2006. Disponible en:http://www.scribd.com/doc/42380514/Proteccion-de-Datos-en-La- Biblioteca-de-La-Universidad-Complutense-de-Madrid, En este fallo, el tribunal declaró inconstitucionales ciertos aspectos de la Ley del Censo de Población de 1982.

[9] Ver sentencia 254 del 20 de julio de 1993. Citada en: Garriaga Domínguez, A. La protección de los datos personales en el Derecho Español. Dykinson - Instituto de Derechos Humanos Bartolomé de las Casas de la Universidad Carlos III de Madrid, 1999. Posteriormente, en la sentencia 292 del 30 de noviembre de 2000, el Tribunal español precisó que el derecho fundamental a la autodeterminación informativa es diferente al derecho a la intimidad, pues mientras el segundo protege a las personas frente a cualquier invasión al ámbito de su vida personal o familiar, el derecho a la autodeterminación informativa garantiza a las personas un poder de control sobre sus datos personales, así como sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del titular. Ver García González, Aristeo. "La protección de datos personales: derecho fundamental del siglo XXI. Un estudio comparado". Boletín Mexicano de Derecho Comparado [en línea], XL (Septiembre-Diciembre), 2007. Disponible en: http://redalyc.uaemex.mx/redalyc/src/inicio/ArtPdfRed.jsp iCve=42712003 ISSN 0041-8633.

[10] A partir de 1990, la Comunidad Europea buscó garantizar un funcionamiento adecuado del mercado unificado, para lo cual era necesario establecer una protección uniforme de los datos personales, pues las diferencias en las leyes de protección de los mismos podían configurar un obstáculo en el flujo de los datos. Para lograr ese objetivo se profirió la Directiva 95/46/CE. Dicha Directiva exige a los estados miembros un tratamiento leal y licito de los datos personales, tener en cuenta el tratamiento de los datos sensibles, notificar de la recolección de los datos al interesado y perseguir con el recaudo de datos un fin explícito y legítimo. También reconoce el derecho de los interesados a acceder a los datos y a oponerse a su tratamiento, el principio de conservación sólo por el tiempo necesario para los fines que fueron recolectados, y el establecimiento de una autoridad autónoma de control para la protección de datos personales. La Directiva incluye además una cláusula en virtud de la cual la transferencia de datos hacía terceros países depende de que estos últimos garanticen un nivel adecuado de protección de datos

[11] El Comité afirma: "10. La recopilación y el registro de información personal en computadoras, bancos de datos y otros dispositivos, tanto por las autoridades públicas como por las particulares o entidades privadas, deben estar reglamentados por la ley. Los Estados deben adoptar medidas eficaces para velar por que la información relativa a la vida privada de una persona no caiga en manos de personas no autorizadas por ley para recibirla, elaborarla y emplearla y por que nunca se la utilice para fines incompatibles con el Pacto. Para que la protección de la vida privada sea lo más eficaz posible, toda persona debe tener el derecho de verificar si hay datos personales suyos almacenados en archivos automáticos de datos y, en caso afirmativo, de obtener información inteligible sobre cuáles son esos datos y con qué fin se han almacenado. Asimismo, toda persona debe poder verificar qué autoridades públicas o qué particulares u organismos privados controlan o pueden controlar esos archivos. Si esos archivos contienen datos personales incorrectos o se han compilado o elaborado en contravención de las disposiciones legales, toda persona debe tener derecho a pedir su rectificación o eliminación."

[12] Ver las sentencias T-414 de 1992, M.P. Ciro Angarita Barón; T-161 de 1993, M.P. Antonio Barrera Carbonell; y C-913 de 2010, M.P. Nilson Pinilla Pinilla.

[13] Cfr. sentencia T-340 de 1993, M.P. Carlos Gaviria Díaz.

[14] Ver las sentencia SU-082 de 1995, M.P. Jorge Arango Mejía y T-176 de 1995, M.P. Eduardo Cifuentes Muñoz.

[15] M.P. Jorge Arango Mejía.

[16] M.P. Eduardo Cifuentes Muñoz.

[17] M.P. Eduardo Montealegre Lynett.

[18] Ver también la sentencia C-1147 de 2001, M.P. Manuel José Cepeda Espinosa.

[19]"En este sentido, en sentencia T-414 de 1992, la Corte afirmó: "la libertad informática, consiste ella en la facultad de disponer de la información, de preservar la propia identidad informática, es decir, de permitir, controlar o rectificar los datos concernientes a la personalidad del titular de los mismos y que, como tales, lo identifican e individualizan ante los demás." Así mismo, en sentencia SU-082 de 1995, afirmó: "La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales." Y en la sentencia T-552 de 1997 afirmó: '...el derecho a la autodeterminación informativa implica, como lo reconoce el artículo 15 de la Carta Fundamental, la facultad que tienen todas las personas de "conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas'."

[20]"El fundamento de validez de los llamados principios de la administración de datos personales, se encuentra en el segundo inciso del artículo 15 de la Constitución, el cual constituye en términos de la Corte, 'el contexto normativo y axiológico dentro del cual debe moverse, integralmente el proceso informático' y del cual derivan 'unas reglas generales que deben ser respetadas para poder afirmar que el proceso de acopio, uso y difusión de datos personales sea constitucionalmente legítimo', y que a su vez son el resultado 'de la aplicación directa de las normas constitucionales al proceso informático'."

[21] M.P. Jaime Córdoba Triviño.

[22] Para su aprobación se exige mayoría absoluta y no simple, además, la ley debe aprobarse dentro de una sola legislatura y debe ser objeto de revisión previa por parte de la Corte Constitucional (artículos 153 y 441-8 de la Constitución).

[23] Ver sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis.

[24] M.P. Alejandro Martínez Caballero.

[25] Cfr. sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis.

[26] Cfr. sentencia C-055 de 1995, M.P. Alejandro Martínez Caballero. En este mismo sentido, en la sentencia C- 037 de 1996, la Corte explicó que corresponde a las leyes estatutarias regular "(…) la estructura general de la administración de justicia y sobre los principios sustanciales y procesales que deben guiar a los jueces en su función de dirimir los diferentes conflictos o asuntos que se someten a su conocimiento"

[27] Cfr. sentencia C-580 de 2001, M.P. Clara Inés Vargas Hernández.

[28] Cfr. sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz.

[29] Cfr. sentencia C-226 de 1994, M.P. Alejandro Martínez Caballero. Ver también la sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis.

[30] En la sentencia C-313 de 1994, M.P. Carlos Gaviria Díaz, la Corte afirmó: "Obsérvese, finalmente, que la ley estatutaria se refiere, en cada caso, a un derecho determinado y su fin es desarrollar su ámbito a partir de su núcleo esencial definido en la Constitución". Luego, en la sentencia C-408 de 1994, M.P. Fabio Morón Díaz, la Corte precisión: "(…) cuando de la regulación de un derecho fundamental se trata, la exigencia de que se realice mediante una ley estatutaria, debe entenderse limitada a los contenidos más cercanos al núcleo esencial de ese derecho, ya que se dejaría, según interpretación contraria, a la ley ordinaria, regla general legislativa, sin la posibilidad de existir; toda vez que, se repite, de algún modo, toda la legislación de manera más o menos lejana, se encuentra vinculada con los derechos fundamentales".(negrilla fuera del texto) Ver también la sentencia C-981 de 2005, M.P. Clara Inés Vargas Hernández.

[31] En algunas sentencias no se habla de núcleo esencial sino de contenido mínimo del derecho o de elementos estructurales esenciales. Ver por ejemplo la sentencia C-646 de 2001, M.P. Manuel José Cepeda Espinosa.

[32] En este sentido, en la sentencia C-993 de 2004, M.P. Jaime Araujo Rentería, la Corte sostuvo: "Cuando una ley regule aspectos principales e importantes del núcleo esencial de un derecho fundamental, en este caso del habeas data, el proceso de formación de esta ley debe haber sido el de una ley estatutaria so pena de ser expulsada del ordenamiento jurídico por vicios de forma."(negrilla fuera del texto).

[33] Ver sentencias C-425 de 1994, M.P. José Gregorio Hernández Galindo, C-247 de 1995, M.P. José Gregorio Hernández Galindo, C-374 de 1997, M.P. José Gregorio Hernández Galindo, C-251 de 1998, M.P. José Gregorio Hernández Galindo y M.P. Alejandro Martínez Caballero, C-1338 de 2000, M.P.(E) Cristina Pardo Schilesinger, C-981 de 2005, M.P. Clara Inés Vargas Hernández, y C-319 de 2006, M.P. Álvaro Tafur Galvis.

[34] Ver sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis.

[35] Esta tesis puede apreciarse en sentencias como la T-227 de 2003, M.P. Eduardo Montealegre Lynett, T-881 de 2002, M.P. Eduardo Montealegre Lynett, y T-760 de 2008, M.P. Manuel José Cepeda Espinosa. En la primer la Corte recordó que el concepto de dignidad humana evoluciona y, por tanto, también los derechos fundamentales. La Corte aseguró: "(…) el concepto de dignidad humana que ha recogido la Corte Constitucional únicamente se explica dentro del sistema axiológico de la Constitución y en función del mismo sistema. Así las cosas, la elevación a rango constitucional de la 'libertad de elección de un plan de vida concreto en el marco de las condiciones sociales en las que el individuo se desarrolle' y de 'la posibilidad real y efectiva de gozar de ciertos bienes y de ciertos servicios que le permiten a todo ser humano funcionar en la sociedad según sus especiales condiciones y calidades, bajo la lógica de la inclusión y de la posibilidad de desarrollar un papel activo en la sociedad', definen los contornos de lo que se considera esencial, inherente y, por lo mismo inalienable para la persona, razón por la cual se traduce en derechos subjetivos (entendidos como expectativas positivas (prestaciones) o negativas) cuyos contenidos esenciales están sustraídos de las mayorías transitorias. || En este orden de ideas, será fundamental todo derecho constitucional que funcionalmente esté dirigido a lograr la dignidad humana y sea traducible en un derecho subjetivo. Es decir, en la medida en que resulte necesario para lograr la libertad de elección de un plan de vida concreto y la posibilidad de funcionar en sociedad y desarrollar un papel activo en ella. Tal necesidad no está determinada de manera apriorística, sino que se define a partir de los consensos (dogmática del derecho constitucional) existentes sobre la naturaleza funcionalmente necesaria de cierta prestación o abstención (traducibilidad en derecho subjetivo), así como de las circunstancias particulares de cada caso (tópica). Así, por ejemplo, en la actualidad existe consenso en torno a la absoluta necesidad de que los procedimientos judiciales y administrativos estén fijados normativamente (principio de legalidad) y que prevean la posibilidad de controvertir pruebas, presentar las propias y de rebatir argumentos y ofrecer los propios (derecho de defensa), para que la persona pueda ser libre y activa en sociedad; mientras que serán las circunstancias concretas las que definan si una cirugía estética únicamente persigue intereses narcisistas o responden a una necesidad funcional, para que la persona pueda ser activa en sociedad (v. gr. alteraciones funcionales y dolor que exigen una reducción de senos). Resulta ejemplarizante la discusión en torno el reconocimiento de derechos fundamentales a personas jurídicas, en la cual el consenso logrado únicamente se explica por la necesidad de proteger elementos funcionalmente indispensables para la correcta operación jurídica de estas instituciones. || Lo anterior, debe precisarse, no implica que en sí mismo derechos constitucionales no tengan carácter fundamental. La existencia de consensos (en principio dogmática constitucional) en torno a la naturaleza fundamental de un derecho constitucional implica que prima facie dicho derecho se estima fundamental en sí mismo. Ello se explica por cuanto los consensos se apoyan en una concepción común de los valores fundantes de la sociedad y el sistema jurídico. Así, existe un consenso sobre el carácter fundamental del derecho a la vida, a la libertad y a la igualdad. Los consensos sobre la naturaleza fundamental de estos derechos claramente se explica por la imperiosa necesidad de proteger tales derechos a fin de que se pueda calificar de democracia constitucional y de Estado social de derecho el modelo colombiano. No sobra indicar que, en la actual concepción de dignidad humana, estos derechos son requisitos sine qua non para predicar el respeto por dicho valor."

[36] Esta labor de delimitación y actualización es reconocida en la sentencia T-227 de 2003, en la que la Corte explicó que la definición de las obligaciones reclamables y que hace que una exigencia de la dignidad humana se traduzca en derecho subjetivo, es producto de decisiones constitucionales, legislativas e, incluso, jurisprudenciales.

[37] Ver las sentencias C-646 de 2001, M.P. Manuel José Cepeda Espinosa, C-319 de 2006, M.P. Álvaro Tafur Galvis.

[38] Las limitaciones generales son diferentes a las que surgen en el caso concreto a partir de ejercicios de ponderación cuando existe colisión entre derechos o entre derechos y otros principios constitucionales, y que en consecuencia solamente son aplicables al caso específico.

[39] Ver sentencia C-372 de 2011, M.P. Jorge Ignacio Pretelt Chaljub.

[40] Ver sentencia C-981 de 2005, M.P. Clara Inés Vargas Hernández.

[41] M.P. Jorge Ignacio Pretelt Chaljub.

[42] Ver Bignami, Francesca. "European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining". Boston College Law Review, 2007. P. 609.

La implementación en la hoy Unión Europea de un modelo centralizado con estándares comunes de protección persigue facilitar el flujo transfronterizo de datos, indispensable en ámbitos como la banca y los seguros, mediante la fijación de estándares adecuados de protección de datos.

[43] En aquellas circunstancias en la que no existe una ley de protección similar, se puede acudir a otro tipo de herramientas como los principios privados de puerto seguro (Safe Harbor Privacy Principles).

[44] Ver Bignami, Francesca. "European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining". Boston College Law Review, 2007. P. 609.

[45] Ver Bignami, Francesca. "European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining". Boston College Law Review, 2007. P. 609.

[46] Según la Red Iberoamericana de Protección de Datos, en el contexto de la protección de datos personales, la autorregulación hace referencia a "(…) las reglas adoptadas por las entidades para definir sus políticas y compromisos relativos al tratamiento de los datos personales.". Ver Red Iberoamericana de Protección de Datos. Autorregulación y Protección de Datos Personales. Documento Elaborado por el Grupo de Trabajo reunido en Santa Cruz de la Sierra - Bolivia. Los días 3 a 5 de mayo de 2006. En sentido similar, la Comisión Europea se ha referido a la autorregulación como "el conjunto de normas que se aplican a una pluralidad de responsables del tratamiento que pertenezcan a la misma actividad profesional o al mismo sector industrial, cuyo contenido haya sido determinado fundamentalmente por miembros del sector industrial o profesión en cuestión". Ver Comisión Europea. Grupo de Trabajo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Documento de trabajo DG XV D/5057/97: Evaluación de la autorregulación industrial: ¿En qué casos realiza una contribución significativa al nivel de protección de datos de un país tercero Adoptado el 14 de enero de 1998.

[47] La implementación de esta ley ha sido limitada por su naturaleza federal y por la carencia de mecanismos para hacerla cumplir. Por ejemplo, la violación de algún mandato de esta ley solamente puede alegado ante las cortes en un proceso de responsabilidad con una finalidad indemnizatoria. Estos procesos, además, pocas veces dan lugar a decisiones a favor del titular del dato, debido a que es muy difícil el recaudo de la evidencia - especialmente en materias como defensa e inteligencia. Otras dificultad está relacionada con el ámbito de aplicación de la ley, pues su articulado menciona solamente "sistemas de archivos", lo que ha dado lugar a debates sobre si rige también "bases de datos". Finalmente, cabe mencionar que esta ley solamente es exigiblea las autoridades federales, no a los particulares que llevan a cabo tratamiento de datos personales, y que para que se pueda declarar al responsabilidad de una autoridad es preciso probar su intención o voluntad de infringir la ley. Ver Bignami, Francesca. "European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining". Boston College Law Review, 2007. P. 609.

[48] Ver Gregorio, Carlos G. "Protección de Datos Personales: Europa Vs. Estados Unidos, todo un dilema para América Latina" en Transparentar al Estado: la Experiencia Mexicana de Acceso a la Información. Universidad Autónoma de México, 2004.

[49] M.P. Jaime Córdoba Triviño.

[50] La Corte expresó lo siguiente: "(…) concurren varios argumentos para concluir que el proyecto de ley estatutaria objeto de examen constituye una regulación parcial del derecho fundamental al hábeas data, concentrada en las reglas para la administración de datos personales de carácter financiero destinados al cálculo del riesgo crediticio, razón por la cual no puede considerarse como un régimen jurídico que regule, en su integridad, el derecho al hábeas data, comprendido como la facultad que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en archivos y bancos de datos de naturaleza pública o privada. Para sustentar esta conclusión existen argumentos de carácter sistemático, teleológico e histórico".

[51] M.P. Jaime Córdoba Triviño.

[52] Cfr. Corte Constitucional. Sentencia C-425 del 29 de septiembre de 1994

[53] Ver, entre otras, las sentencias C-371 de 2000, M.P. Carlos Gaviria Díaz; y C-292 de 2003, M.P. Eduardo Montealegre Lynett.

[54] Ver, entre muchas otras, sentencias C-011 de 1994, C-179 de 1994, C-180 de 1994,.C-037 de 1996 y C-371 de 2000.

[55] M.P. Jorge Ignacio Pretelt Chaljub.

[56] M.P. Rodrigo Escobar Gil.

[57] Ver folios 492 a 501 del cuaderno de pruebas No. 2 (páginas 3 a 12 de la Gaceta)

[58] Ver folios 424 a 443 del cuaderno de pruebas No. 2

[59] Ver folios 437 y 438 del cuaderno de pruebas No. 2 (páginas 14 y 14 de la Gaceta No. 625 de 2010)

[60] Ver folios 542 a 546 del cuaderno de pruebas No. 2

[61] Ver folio 580 del cuaderno de pruebas No. 2 (página 24 de la Gaceta No. 957 de 2010)

[62] Ver folios 586 a 588 del cuaderno de pruebas No. 2 (páginas 12 a 14 de la Gaceta No. 958 de 2010)

[63] Cfr. Folios 557 a 568 del cuaderno de pruebas No. 2.

[64] Ver folio 561 del cuaderno de pruebas No. 2 (pág. 10 de la Gaceta No. 706 de 2010)

[65] No obra copia de la Gaceta dentro del expediente, pero el despacho del Magistrado Ponente logró ubicarla en la página web de la Secretaría del Senado de la República: http://servoaspr.imprenta.gov.co:7778/gacetap/gaceta.nivel_3

[66] Ver en folio 274 del cuaderno de pruebas No. 3 (página 54 y siguientes de la Gaceta No. 849 de 2010)

[67] También puede verificarse en la certificación suscrita por el Secretario General de la Cámara de Representantes el 15 de marzo de 2011, a folio 2 del cuaderno de pruebas No. 3.

[68] Ver en folio 279 del cuaderno de pruebas No. 3 (página 59 de la Gaceta No. 849 de 2010)

[69] Ver folios 158 a 169 del cuaderno de pruebas No. 3 (páginas 24 a 35 de la Gaceta)

[70] Ver folio 3 del cuaderno de pruebas No. 3

[71] Ver folios 57 a 64 del cuaderno de pruebas No. 2

[72] Ver folio 57 del cuaderno de pruebas No. 2 (página 9 de la Gaceta No. 833 de 2010) y folio 162 del cuaderno de pruebas No. 3 (página 28 de la Gaceta No. 868 de 2010)

[73] Ver folio 57 del cuaderno de pruebas No. 2 (página 9 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010)

[74] Ver folio 59 del cuaderno de pruebas No. 2 (página 11 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010)

[75] Ver folio 61 del cuaderno de pruebas No. 2 (página 13 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010).

[76] Ver folio 62 del cuaderno de pruebas No. 2 (página 14 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010).

[77] Ver folio 62 del cuaderno de pruebas No. 2 (página 14 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010).

[78] Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010).

[79] Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010).

[80] Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010).

[81] Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010).

[82] Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010).

[83] Ver folios 88 y siguientes del cuaderno de pruebas No. 4

[84] Ver folios 13 a 36 del cuaderno de pruebas No. 4

[85] Sentencia T-1037/08, Referencia: Expediente T-1829618, Magistrado ponente: Dr. JAIME CÓRDOBA TRIVIÑO Bogotá D.C., veintitrés (23) de octubre de dos mil ocho 2008).

[86] Ver folio 59 del cuaderno de pruebas No. 4

[87] Ver folios 1 y 2 del cuaderno de pruebas No. 4

[88] Ver certificación a folios 3 y 4 del cuaderno de pruebas No. 4

[89] Ver folio 64 del cuaderno de pruebas No. 4 (página 5 de la Gaceta No. 39 de 2010)

[90] Ver folios 37 a 55 del cuaderno de pruebas No. 4

[91] Ver folio 1 del cuaderno de pruebas No. 5

[92] Ver folios 254 y 462 del cuaderno de pruebas No. 5

[93] Ver certificación a folio 1 del cuaderno de pruebas No. 5. Igualmente, ver páginas 78 a 83 de la Gaceta No. 80 de 2011, a folios 179 a 182 del mismo cuaderno de pruebas.

[94] Ver 183 y 184 del cuaderno de pruebas No. 5 (páginas 82 y 83 de la Gaceta No. 80 de 2011.

[95] Ver folio 158 del cuaderno de pruebas No. 7.

[96] Ver folio 1 del cuaderno de pruebas No. 6

[97] Ver folios 21 y 22 del cuaderno de pruebas No. 6

[98] Ver folios 31 y 32 del cuaderno de pruebas No. 5

[99] Ver folio 1 del cuaderno de pruebas No. 5

[100] Ver acápite 2.1.2. (b), página 6, Supra.

[101] Ver acápite 2.1.4. (b), páginas 9 y 10, Supra.

[102] Ver acápite 2.2.3. (b), página 14, Supra.

[103] Ver acápite 2.2.5. (b), página 20, Supra.

[104] Ver acápite 2.3.2. (b), páginas 21 y 22, Supra.

[105] Ver acápite 2.3.3. (b), páginas 22 y 23, Supra.

[106] Así consta en el acta No. 12 de esa misma fecha, publicada en la Gaceta del Congreso No. 958 del 24 de noviembre de 2010.

[107] Ver Acta No. 23 de la misma fecha, publicada en la Gaceta del Congreso 849 del 2 de noviembre de 2010.

[108] Según consta en el Acta No. 33 de la misma fecha, publicada en la Gaceta del Congreso 39 del 11 de febrero de 2011.

[109] Sesión Plenaria contenida en el Acta No. 34 de la misma fecha, publicada en la Gaceta del Congreso No. 80 del 11 de marzo de 2010.

[110] Así se observa en el Acta No. 43 de la sesión plenaria de la Cámara de Representantes de esa fecha, contenida en la Gaceta del Congreso No. 237 del 6 de mayo de 2011.E igualmente, en el Acta No. 35 de la sesión plenaria del Senado de la República de la misma fecha, contenida en la Gaceta del Congreso No. 81 del 14 de marzo de 2011

[111] Cfr. Sentencia C-644 de 2004, M.P. Rodrigo Escobar Gil, Auto 038 de 2004 M.P. Manuel José Cepeda Espinosa y Sentencia C-533 de 2004 M.P. Álvaro Tafur Galvis

[112] Auto A-089 de M.P.: Manuel José Cepeda Espinosa; SV: Jaime Araujo, Alfredo Beltrán, Jaime Córdoba y Clara Inés Vargas.

[113] Sentencia C-576 de 2006

[114] Así consta en el Acta No. 11 de esa fecha, publicada en la Gaceta del Congreso No. 957 del 24 de noviembre de 2010

[115] Según consta en el Acta No. 12 de esa misma fecha, publicada en la Gaceta del Congreso No. 958 del 24 de noviembre de 2010.

[116] Tal como consta en el Acta No. 22 de la misma fecha, publicada en la Gaceta del Congreso 925 del 18 de noviembre de 2010.

[117] Así se observa en el Acta No. 23 de la misma fecha, publicada en la Gaceta del Congreso 849 del 2 de noviembre de 2010

[118] Sesión contenida en el Acta No. 32 de esa fecha, publicada en la Gaceta del Congreso No. 38 del 11 de febrero de 2011

[119] Como consta en el Acta No. 42 de esa fecha, publicada en la Gaceta del Congreso No. 287 del 20 de mayo de 2011

[120] Ver sentencia C-486 de 2009, M.P. María Victoria Calle Correa. La Corte ha señalado claramente que un vicio por desconocimiento del principio de unidad de materia tiene carácter sustancial y, por tanto, "no es subsanable"(Sentencia C-025 de 1993. M.P. Eduardo Cifuentes Muñoz); y "por ende la acción contra una norma legal por violar el artículo 158 de la Carta no caduca"(Sentencia C-531 de 1995. M.P. AlejandroMartínez Caballero). Ver además las sentencias C-256 de 1998 M.P. Fabio Morón Díaz, C-006 de 2001 M.P. Eduardo Montealegre Lynett, C-501 de 2001 M.P. Jaime Córdoba Triviño, C-120 de 2006 MP. Alfredo Beltrán Sierra, C-506 de 2006 M.P. Clara Inés Vargas Hernández, C-211 de 2007 M.P. Álvaro Tafur Galvis, C-214 de 2007 M.P. Álvaro Tafur Galvis y C-230 de 2008 M.P. Rodrigo Escobar Gil.

[121] La Corte, entre otras, en la Sentencia C-501 de 2001 (MP. Jaime Córdoba Treviño), en lo referente al proceso de elaboración de la ley, ha reconocido como manifestaciones del principio de unidad de materia, i) la atribución conferida a los presidentes de las comisiones legislativas de rechazar los proyectos de ley que no se refieran a una sola materia, y ii) concretar el principio democrático en el proceso legislativo al propender porque la iniciativa, los debates y la aprobación de las leyes se atengan a unas materias predefinidas desde el surgimiento mismo de la propuesta y que en esa dirección se canalicen las discusiones y los aportes previos a la promulgación de la ley

[122] M.P. Jorge Ignacio Pretelt Chaljub

[123] Cfr. Sentencia C-025 de 1993, M.P. Eduardo Cifuentes Muñoz. En el mismo sentido, ver también la Sentencia C-1067 de 2008, M.P. Marco Gerardo Monroy Cabra.

[124] Ver íbidem

[125] Cfr. ibídem

[126] Sentencia C-714 de 2008, M.P. Nilson Pinilla Pinilla.

[127] Cfr. Sentencia C-786 de 2004, M.P. Marco Gerardo Monroy Cabra.

[128] Ibídem

[129] Cfr. Sentencias C-025 de 1993, M.P. Eduardo Cifuentes Muñoz, reiterada en la Sentencia C-992 de 2001, M.P. Rodrigo Escobar Gil.

[130] Ver Sentencia C-1025 de 2001. MP Manuel José Cepeda Espinosa

[131] El segundo inciso del artículo 160 Superior establece: "Durante el segundo debate cada cámara podrá introducir al proyecto las modificaciones, adiciones y supresiones que juzgue necesarias".

[132] Los numerales 2 y 3 del artículo 157 de la Carta señalan:

"Ningún proyecto será ley sin los requisitos siguientes:

(…)

2º) Haber sido aprobado en primer debate en la correspondiente comisión permanente de cada cámara (…).

3º) Haber sido aprobado en cada cámara en segundo debate

(…)"

[133] Sobre la caracterización del principio de identidad, ver sentencias C-141 de 2010, M.P. Humberto Antonio Sierra Porto; C-539 de 2008, M.P. Humberto Antonio Sierra Porto; C-178 de 2007, M.P. Manuel José Cepeda Espinosa; C-305 de 2004, M.P. Marco Gerardo Monroy Cabra; C-312 de 2004, M.P. Alfredo Beltrán Sierra; C-1056 de 2003, M.P. Alfredo Beltrán Sierra; C-1147 de 2003, M.P. Rodrigo Escobar Gil; C- 801 de 2003, M.P. Jaime Córdoba Triviño; C-839 de 2003, M.P. Jaime Córdoba Triviño; C-922 de 2001, M.P. Marco Gerardo Monroy Cabra; C-950 de 2001, M.P. Jaime Córdoba Triviño; y C-1488 de 2000, M.P. Martha Victoria Sáchica Méndez.

[134] M.P. Humberto Antonio Sierra Porto

[135] Sentencia C-208 de 2005 "resulta contrario al principio de consecutividad en la aprobación de las leyes que un texto propuesto en el seno de las comisiones no sea sujeto al trámite correspondiente, sino que, simplemente, se delegue su estudio a las plenarias de cada cámara, puesto que tal situación, en la que la comisión correspondiente renuncia a su competencia constitucional a favor de las plenarias, impide que se efectúe debidamente el primer debate del proyecto de ley, desconociéndose con ello lo dispuesto en el inciso 2º del artículo 157 C.P."

[136] Sentencias C-801 de 2003, C-839 de 2003, C-1113 de 2003, C-1056 de 2003, C-1147 de 2003 y C-1152 de 2003, 1092 de 2003, C-312 de 2004, C-313 de 2004, C-370 de 2004, C-372 de 2004.

[137] M.P. Jorge Ignacio Pretelt Chaljub

[138] Se aclara que se analizarán los cambios en el contenido de las disposiciones, pues, por impertinentes, no será objeto de estudio aquellas modificaciones relacionadas con la redacción, gramática o terminología.

[139] Ver Gaceta No. 488 de 2010. Folio 493 del cuaderno de pruebas No.2

[140] Ver Gaceta No. 625 de 2010. Folio 425 del cuaderno de pruebas No. 2

[141] Folio 493 del cuaderno de pruebas No. 2

[142] Páginas 11 y 12 de la Gaceta No. 488 de 2010 -donde se publicó el proyecto de ley y su exposición de motivos- (folios 494 y 495 del cuaderno de pruebas No. 2)

[143] En página 10 de la Gaceta del Congreso No. 1023 de 2010, a folio 22 del cuaderno de pruebas No. 4

[144] Ver: 1. Gaceta No. 488 de 2010, donde se encuentra publicado el proyecto de ley.

• 1. Gaceta No. 625 de 2010, en la que se publicó la ponencia para primer debate en Cámara de Representantes.

• 1. Gaceta No. 958 de 2010, que contiene el Acta No. 12 del 14 de septiembre de 2010, cuando se aprobó el proyecto en primer debate.

• 1. Gaceta No. 706 de 2010, publicación ponencia segundo debate

• 1. Gacetas 849 y 868 de 2010, que contienen las actas No. 23 y 24 del 13 y 19 de octubre de 2010, respectivamente, donde constan las discusiones y aprobación delproyecto en segundo debate.

[145] Ver Gaceta del Congreso No. 60 del 28 de febrero de 2011 a folios 90 a 94 del cuaderno de pruebas No. 4

[146] En página 10 de la Gaceta del Congreso No. 1023 de 2010, a folio 22 del cuaderno de pruebas No. 4

[147] Ver las Gacetas No. 1101 y 1102 de 2010 donde se encuentra publicado el informe de la Comisión Accidental de Conciliación.

[148] M.P. Manuel José Cepeda Espinosa

[149] Sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz.

[150] C-222 de 1997, M.P. José Gregorio Hernández Galindo, donde la Corte examina la constitucionalidad de una modificación introducida a un Acto Legislativo durante el segundo período y precisa las reglas sobre trámite de leyes que son aplicables a los actos legislativos.

[151] Así lo reconoció la Corte en la sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz, en donde la Corte examina una demanda contra la Ley 1ª de 1991 (Estatuto de Puertos Marítimos), demandada, entre otras cosas, porque como en la discusión de la ley en las sesiones de la Comisión III de la Cámara de Representantes y en las sesiones plenarias de Cámara y Senado, no había habido controversia ni posiciones enfrentadas, no había existido por lo tanto debate. La Corte rechaza esta visión coloquial de "debate" y precisa que debe acudirse a la definición legal.

[152] En este sentido, la Sentencia C-222 de 1997, M.P. José Gregorio Hernández Galindo establece que el debate es un requisito indispensable de la decisión y que en virtud de su importancia constitucional se estableció la necesidad de que exista un quórum deliberatorio.

[153] Ver, entro otras, las sentencias C-141 de 2010, M.P. Humberto Antonio Sierra Porto; C-033 de 2009, M.P. Manuel José Cepeda Espinosa; C-1488 de 2000, M.P. Martha Victoria Sáchica Méndez; C-702 de 1999, M.P. Fabio Morón Díaz.

[154] Ver Sentencia C-141 de 2010, M.P. Humberto Antonio Sierra Porto

[155]Siempre y cuando haya acaecido luego de completarse una de las etapas estructurales del proceso legislativo, esto es, el debate y aprobación del proyecto de ley tanto en comisión como en plenaria de una de las cámaras. Ver, entre otras, las providencias Auto 309 de 2009, M.P. Juan Carlos Henao Pérez; Auto 081 de 2008, M.P. Jaime Córdoba Triviño; Sentencia C-241 de 2006, M.P. Marco Gerardo Monroy Cabra; C-576 de 2006, M.P. Manuel José Cepeda Espinosa.

[156] Ver la sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett. 34

[157] El interviniente plantea de manera puntual los siguientes interrogantes: "(…) en Colombia existen muchos archivos de entidades públicas y privadas que contienen datos personales. Por ejemplo, los comerciantes tienen datos personales sobre sus clientes, y a pesar de que en Colombia existe una normativa sobre la regulación de los archivos, ésta se encuentra dispersa y se refiere al tratamiento correcto de los archivos pero no al tratamiento de los datos personales. Lo anterior, es una razón para no excluir del ámbito de aplicación del proyecto de ley bajo estudio, la información personal que reposa en archivos."Agrega que "es de suma relevancia que la información personal que reposa en los archivos de entidades públicas o privadas sea tratada observando el contenido del artículo 15 Superior como también las reglas jurisprudenciales que ha desarrollado esta Corporación, en el sentido de reconocer que las bases de datos y los archivos son figuras diferentes."

[158] Cfr. sentencia T-443 de 1994, M.P. Eduardo Cifuentes Muñoz. 36

[159] M.P. Jaime Córdoba Triviño.

[160] La Corte expresó lo siguiente en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño: "No obstante esta comprobación, la Corte advierte necesario estipular que la legitimidad constitucional de la consagración de ámbitos de exclusión a las reglas contenidas en el Proyecto de Ley no significa, de ningún modo, que tanto esos ámbitos, como todos aquellos en los que se llevan a cabo labores de recopilación, tratamiento y circulación de datos personales, estén excluidos de la protección que incorpora el derecho fundamental al hábeas data y, en general, la libertad y las demás garantías en la Constitución, según la fórmula establecida en el artículo 15 C.P. y conforme a los principios identificados por la jurisprudencia constitucional y descritos en el apartado 2 del presente análisis material. Por lo tanto, en cada una de las actividades de gestión de datos personales deberá cumplirse con el plexo de derechos, libertades y garantías propias del derecho fundamental al hábeas data, según las consideraciones expresadas a lo largo de esta sentencia. Inclusive, la Sala advierte que las mismas normas de la ley estatutaria, en cuanto prevén los principios de administración de datos personales, al igual que los derechos y deberes de titulares, fuentes y usuarios; pueden servir de parámetro para la evaluación de la legitimidad de otras modalidades de tratamiento de información personal, en tanto dichos preceptos resulten pertinentes y aplicables.

Esta conclusión se soporta en el hecho que la promulgación de una disposición estatutaria no desvirtúa el valor normativo del Texto Constitucional y la aplicación inmediata de las disposiciones que consagran los derechos fundamentales (Art. 85 C.P.)."

[161] Si bien es cierto esta observación se refiere al derecho a la intimidad, como se explicó en apartes previos, el derecho al habeas data en el sistema universal de protección de derechos humanos se sigue garantizando por intermedio del derecho a la intimidad, pues la autonomía del primero aún no ha sido reconocida, por lo menos a nivel de los tratados internacionales.

[162] Por ejemplo, en la sentencia T-396 de 1998, M.P. Antonio Barrera Carbonell, la Corte sostuvo que entes que cumplen funciones administrativas no pueden establecer excepciones a las reglas de una ley estatutaria, pues ese es un asunto de competencia exclusiva del legislador estatutario.

[163] El Comité explicó lo siguiente al respecto en la Observación General 16: "Con la introducción del concepto de arbitrariedad se pretende garantizar que incluso cualquier injerencia prevista en la ley esté en consonancia con las disposiciones, los propósitos y los objetivos del Pacto y sea, en todo caso, razonable en las circunstancias particulares del caso."

[164] El artículo 2 de la Ley 1266 dispone al respecto: "(…) quedan excluidos de la aplicación de la presente ley aquellos datos mantenidos en un ámbito exclusivamente personal o doméstico yaquellos que circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales". También fueron tratadas como dos hipótesis diferentes en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño, en la que la Corte manifestó sobre el contenido del inciso quinto del artículo 2: "(…) la Sala considera oportuno identificar dos contenidos diferenciados, que se predican del inciso quinto. El primero, que prescribe la inaplicabilidad de la normatividad estatutaria a aquellos datos que mantenidos en un ámbito personal o doméstico. El segundo, relacionado con la exclusión de la aplicación de la norma estatutaria respecto de los datos que circulan internamente, esto es, que no se suministran a otras personas naturales jurídicas."

[165] En la Ley 1266 el legislador decidió darles el mismo tratamiento, es decir, resolvió excluir las dos hipótesis de la aplicación de sus disposiciones; sin embargo, como explicó esta Corte en la sentencia C-1011 de 2008, ello se debió a que la Ley 1266 se refiere exclusivamente a los datos personales financieros y comerciales destinados a calcular el riesgo crediticio de las personas, ámbito en el que sí es razonable excluir los datos que circulan internamente, pues no pueden ser usados precisamente para calcular el riesgo crediticio.

[166] M.P. Eduardo Montealegre Lynett y Clara Inés Vargas Hernández.

[167] En la sentencia C-251 de 2002, M.P. Eduardo Montealegre Lynett y Clara Inés Vargas Hernández, la Corte explicó lo siguiente:"La posibilidad de imponer deberes en materia de orden público y defensa se encuentra además delimitada por la propia Carta, que atribuye ese papel fundamentalmente a la Fuerza Pública. Así, a las Fuerzas Militares corresponde la defensa de la soberanía, la independencia, la integridad del territorio nacional y del orden constitucional, mientras que la Policía debe mantener las condiciones necesarias para el ejercicio de los derechos y libertades públicas, y asegurar que los habitantes de Colombia convivan en paz (CP arts 217 y 218). Esto significa que es la Fuerza Pública la garante de la convivencia ciudadana, y no puede trasladarse a los propios ciudadanos esa función, sin desnaturalizar la estructura constitucional del Estado colombiano, como se explicará posteriormente."

[168] Cfr. Sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño.

[169] En la sentencia C-251 de 2002, M.P. Eduardo Montealegre Lynett y Clara Inés Vargas Hernández, la Corte expresó: "Así, esa fórmula constitucional implica una proscripción de cualquier asomo totalitario. En efecto, como es sabido, los Estados totalitarios -como el nazismo y el fascismo- que se desarrollaron en Europa entre las dos guerras mundiales, tenían algunos rasgos distintivos: eran no sólo regímenes de terror sino naciones en donde no existían límites entre el Estado y la sociedad, de suerte que la sociedad era absorbida por el Estado169. Además, en ese tipo de sociedades las personas estaban al servicio del Estado, que era considerado un fin en sí mismo. En radical oposición a ese tipo de filosofías políticas, la Carta de 1991, que es esencialmente personalista y no estatalista, hace de la dignidad y los derechos de la persona la base del Estado, y por ello, en vez de poner al individuo al servicio del Estado, pone a las autoridades al servicio de la comunidad y de las personas (CP arts 1°, 2° y 5°). "El sujeto, razón y fin de la Constitución de 1991 es la persona humana", ha reiterado esta Corte desde sus primeras decisiones. Y por consiguiente, es claro que están proscritas de nuestro ordenamiento constitucional las políticas que permitan una absorción de la sociedad por el Estado, o la instrumentación de las personas en beneficio del simple engrandecimiento y glorificación del Estado.

9- Estos rasgos definitorios del Estado colombiano, tienen implicaciones evidentes sobre las políticas de seguridad y defensa. Si el Estado se fundamenta en la dignidad y derechos de la persona, entonces la preservación del orden público no es una finalidad en sí misma sino que constituye, como esta Corte lo ha dicho, 'un valor subordinado al respeto a la dignidad humana', por lo que, 'la preservación del orden público lograda mediante la supresión de las libertades públicas no es entonces compatible con el ideal democrático'. Y de otro lado, si el Estado está al servicio de la comunidad y de las personas, entonces corresponde obviamente a las autoridades del Estado proteger y ser garantes de la seguridad de las personas, y no a las personas proteger y ser garantes de la seguridad del Estado."

[170] M.P. Jaime Córdoba Triviño.

[171] De forma similar, en la sentencia C-127 de 1993, M.P. Alejandro Martínez Caballero, la Corte concluyó "que la comunidad internacional ha reconocido en forma unánime y reiterada que el terrorismo es un delito que por ser atroz tiene un trato distinto." Luego, en la sentencia C-762 de 2002, M.P. Rodrigo Escobar Gil, la Corte reconoció que el terrorismo afecta gravemente distintos derechos fundamentales y, por tanto, se trata de una conducta cuya necesidad de investigación y sanción ha sido previsto por las normas del derecho internacional, entre ellas aquellas que tienen carácter de ius cogens. Ver también las sentencias C-1055 de 2003, M.P. Marco Gerardo Monroy Cabra, y C-037 de 2004, M.P. Jaime Córdoba Triviño.

[172] Ver sentencia C-931 de 2007, M.P. Marco Gerardo Monroy Cabra. La Corte expresó lo siguiente en dicha oportunidad: "En efecto, en los últimos tiempos, las organizaciones delictivas se han incorporado al mundo globalizado para aprovechar sus beneficios tecnológicos y comerciales. El desarrollo de los medios de comunicación, del comercio electrónico, de los medios de transporte ha permitido la sofisticación de los mecanismos delictivos, haciendo cada vez más difícil la detección de los responsables, así como más ardua la aprehensión de sus ganancias."

[173] La necesidad de dar aplicación a los principios del habeas data en las labores de detección de la financiación de terrorismo ya había sido anunciada por la Corte en la sentencia C-537 de 2008, M.P. Jaime CórdobaTriviño, en la que la Corporación explicó: "(…) el intercambio de información financiera que prevén las disposiciones analizadas deberá, en todo caso, estar precedido de la garantía del derecho a la autodeterminación informativa de los afectados con las medidas, en los términos del artículo 15 C.P. Por lo tanto, las acciones que ejecute el Estado con el fin de cumplir con sus compromisos en la interdicción de recursos destinados a la financiación del terrorismo, deberán garantizar que los titulares de la información conserven la facultad de conocer, actualizar y rectificar los datos concernidos. De la misma manera, el tratamiento de esa información estará supeditado a la eficacia de los principios de libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad, conforme lo ha precisado la jurisprudencia constitucional."

[174] Informe publicado en la Gaceta No. 1080 del 13 de diciembre de 2010.

[175] M.P. Alejandro Martínez Caballero y Jorge Arango Mejía.

[176] M.P. Nilson Pinilla Pinilla.

[177] En la sentencia T-066 de 1998, M.P. Eduardo Cifuentes Muñoz, la Corte resaltó la importancia de las labores de inteligencia en un estado constitucional así: "(…) se pregunta la Corte si los organismos de seguridad están autorizados para recopilar informaciones sobre las personas. Este interrogante ya ha sido respondido de manera afirmativa por esta Corporación. Ello con fundamento en la obligación del Estado de velar por la vigencia del orden constitucional y brindarle a los asociados tanto las condiciones necesarias para el ejercicio de los derechos y las libertades como un ambiente de paz, deberes éstos cuyo cumplimiento reposa en muy importante grado en las fuerzas militares y la policía nacional (C.P., arts. 217 y 218)".

[178] En la sentencia T-066 de 1998, M.P. Eduardo Cifuentes Muñoz, la Corte ya había precisado que si bien el recaudo de datos personales para actividades de inteligencia y contrainteligencia es autorizado por la Constitución, en todo caso debe respetar los derechos fundamentales, el debido proceso y los principios de reserva, necesidad y finalidad propios del habeas data. La Corte expresó: "Mas esta facultad no es ilimitada. Obsérvese que en el mismo aparte transcrito se establece que en el proceso de acopio de información se deben respetar los derechos humanos y el debido proceso. Además, en la misma sentencia se estableció que los aludidos organismos de seguridad deben mantener la más estricta reserva sobre los datos obtenidos, es decir que "no pueden difundir al exterior la información sobre una persona, salvo en el único evento de un 'antecedente' penal o contravencional, el cual permite divulgar a terceros la información oficial sobre una persona

(…)

De otra parte, ha de tenerse en cuenta que la información que se recopila ha de ser la estrictamente necesaria, de manera que no se afecte el derecho de los asociados a la intimidad. Además, para que se emprenda una investigación sobre determinadas personas deben existir motivos que permitan presumir de manera razonable que ellas pueden haber incurrido en un ilícito. De no existir esta última condición se abrirían las puertas a un Estado controlador, en desmedro de la libertad de los ciudadanos."

[179] Ver sentencias T-444 de 1992, M.P. Alejandro Martínez Caballero; T-525 de 1992, M.P. Ciro Angarita Barón; y T-066 de 1998, M.P. Eduardo Cifuentes Muñoz. Según estas sentencias, la información de inteligencia y contrainteligencia es reservada y, en consecuencia, no puede ser revelada a los medios de comunicación o en "ruedas de prensa". Además, en la primera sentencia, la Corte aseguró: "(…) de suerte que pueda incluso recopilar y archivar información sobre una persona, en el marco de sus legítimas y democráticas funciones, siempre y cuando no divulgue ni de a la publicidad por ningún medio la información sobre esa persona, salvo el evento que ella tenga antecedentes penales o contravencionales, esto es, que tenga una condena proferida en sentencia judicial definitiva, como lo dispone el artículo 248 constitucional, que se reproduce en el artículo 12 del código de procedimiento penal, como principio rector del nuevo ordenamiento procedimental."

[180] Ver sentencia T-634 de 2001, M.P. Jaime Araujo Rentería.

[181] Ver Bignami, Francesca. "European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining". Boston College Law Review, 2007. P. 609.

[182] M.P. Manuel José Cepeda Espinosa

[183] M.P. Jaime Córdoba Triviño.

[184] Ver sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett.

[185] Cfr. Sentencia T-414 de 1992, M.P. Ciro Angarita Barón.

[186] Ver sentencias T-729 de 2002, M.P. Eduardo Montealegre Lynett; C-491 de 2007, M.P. Jaime Córdoba Triviño; y C-1011 de 2008, M.P. Jaime Córdoba Triviño, y artículo 3 de la Ley 1266.

[187] M.P. Vladimiro Naranjo Mesa.

[188] M.P. Jaime Córdoba Triviño. La Corte expresó: "Aunque el precedente citado ha contemplado que la información de esta condición es propia de las personas naturales, en criterio de la Sala nada se opone a que la categoría se extienda a las personas jurídicas. Ello debido a que, en consonancia con lo señalado a propósito del análisis de constitucionalidad del literal a) del artículo objeto de examen, la aplicación del derecho al hábeas data financiero y, en general, de los principios de administración de datos personales, se predica a favor de todo sujeto jurídico que esté en capacidad de producir información susceptible de ser objeto de los actos de recolección, tratamiento y circulación a que refiere el artículo 15 C.P. En consecuencia, es compatible con la Carta Política que dentro de la definición de dato personal, se incluya el producido por las personas jurídicas, pues éstas son titulares del derecho al hábeas data." (negrilla fuera del texto).

[189] Estos conceptos parecen ser tomados del artículo 2 de la Directiva 95/46/CE, que los define así: «responsable del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario; «encargado del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trate datos personales por cuenta del responsable del tratamiento.

[190] GRUPO DEL ARTÍCULO 29 SOBRE PROTECCIÓN DE DATOS. Este Grupo se creó en virtud del artículo 29 de la Directiva 95/46/CE. Se trata de un órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad. .

[191] Sobre la importancia de esta diferenciación, el Dictamen 1/2010 del 16 de febrero de 2010 indica: "(…) la aplicación concreta de los conceptos de responsable del tratamiento de datos y encargado del tratamiento de datos se está haciendo cada vez más compleja. Esto se debe ante todo a la creciente complejidad del entorno en el que se usan estos conceptos y, en particular, a una tendencia en aumento, tanto en el sector privado como en el público, hacia una diferenciación organizativa, combinada con el desarrollo de las TIC y la globalización, lo cual puede dar lugar a que se planteen cuestiones nuevas y difíciles y a que, en ocasiones, se vea disminuido el nivel de protección de los interesados".

[192] En la Directiva 1/2010 sobre el concepto de encargado del tratamiento, se afirma: "(…) para poder actuar como encargado del tratamiento tienen que darse dos condiciones básicas: por una parte, ser una entidad jurídica independiente del responsable del tratamiento y, por otra, realizar el tratamiento de datos personales por cuenta de éste"

[193] En el artículo 2 de la Ley 25.326 de 2000, el legislador argentino hizo referencia al responsable de archivo, registro, base o banco de datos como el titular del respectivo archivo, registro, base o banco de datos. En Uruguay, la Ley 18.331 de 2008, define en el artículo 7 al responsable como el "propietario de la base de datos o que decida sobre la finalidad, contenido y uso del tratamiento". La Ley Orgánica de Protección de Datos Personales española de 1999, define al responsable del tratamiento la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento". La Ley 19.628 de 1999 en Chile y la Ley 8969 de 2011 en Costa Rica, definen al responsable como la persona que "administre, gerencie o se encargue de la base de datos, (…) con arreglo a la ley, para decidir cuál es la finalidad de la base de datos, cuáles categorías de datos de carácter personal deberán registrase y qué tipo de tratamiento se les aplicarán".

[194] La fuente es definida por el artículo 3 de la Ley 1266 así: "b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos;"

[195] El usuario es definido por el artículo 3 de la Ley 1266 así: "d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos;"

[196] La Directiva afirma: "La determinación del «fin» del tratamiento es competencia del «responsable del tratamiento». Por consiguiente, quien quiera que tome esta decisión es (de facto) el responsable del tratamiento. Éste puede delegar la determinación de los «medios» del procesamiento en la medida en que se trate de cuestiones técnicas u organizativas. Las cuestiones de fondo que sean esenciales a efectos de la legitimidad del tratamiento son competencia del responsable del tratamiento. Una persona o un ente que decida, por ejemplo, cuánto tiempo se almacenarán los datos o que tenga acceso a los datos tratados actúa como responsable del tratamiento respecto de esta parte del uso de los datos y, por tanto, debe cumplir todas las obligaciones que incumben a un responsable del tratamiento."

[197] Sobre el particular el Dictamen de 2010 precisó "…existe control conjunto cuando las diferentes partes determinan, respecto de unas operaciones de tratamiento específicas, o bien los fines o bien aquellos elementos esenciales de los medios que caracterizan al responsable del tratamiento.

"No obstante, en el contexto del control conjunto, la participación de las partes en la determinación conjunta puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales. De hecho, cuando son varios los agentes, estos pueden tener una relación muy estrecha entre sí (y compartir, por ejemplo, todos los fines y medios de un tratamiento), o bien una relación más laxa (y, por ejemplo, compartir sólo los fines o los medios, o una parte de éstos). Por lo tanto, debe tomarse en consideración una amplia variedad de tipologías de control conjunto y analizarse sus consecuencias legales, procediendo con cierta flexibilidad para tener en cuenta la creciente complejidad de la realidad actual del tratamiento de datos. Habida cuenta de estas circunstancias, es necesario examinar los diferentes grados de interacción o relación que pueda haber entre las múltiples partes implicadas en el tratamiento de datos personales. En primer lugar, el mero hecho de que diferentes partes cooperen en el tratamiento de datos personales, por ejemplo en cadena, no implica que sean conjuntamente responsables del tratamiento en todos los casos, puesto que un intercambio de datos entre dos partes que no compartan fines y medios para un conjunto de operaciones comunes podría considerarse solamente como una transferencia de datos entre responsables del tratamiento que actúan por separado."

[198] Ibídem Pág. 194

[199] En relación con este punto la Directiva 10 es enfática en señalar lo siguiente: "Habida cuenta de estas circunstancias, cabe argumentar que la responsabilidad solidaria de todas las partes implicadas debe considerarse un medio para eliminar incertidumbres y, en consecuencia, sólo debe presumirse que existe tal responsabilidad solidaria cuando las partes implicadas no hayan establecido una asignación alternativa, clara e igualmente eficaz de las obligaciones y responsabilidades o cuando ésta no emane claramente de las circunstancias de hecho" pág. 27.

[200] Cfr. sentencia SU-1193 de 2000.

[201] Estándares internacionales sobre protección de datos personales y privacidad, aprobados el 5 de noviembre de 2009 en Madrid en el marco de la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad. Definición que coincide en gran parte con la contenida en la Directiva 95 46 del Parlamento Europeo y del Consejo del 24 de octubre de 1995.