SALVAMENTO PARCIAL DE VOTO DEL MAGISTRADO MAURICIO GONZALEZ CUERVO A LA SENTENCIA C-748 11Referencia: Expediente PE 032Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 Senado; 046 de 2010 Cámara, “por la cual se dictan disposiciones generales para la protección de datos personales”Magistrado Ponente: Jorge Ignacio Pretelt Chaljub A continuación presento las razones que me condujeron a salvar el voto en relación con la decisión de declarar inexequible el artículo 27 del Proyecto de Ley Estatutaria “Por la cual se dictan disposiciones generales para la protección de datos personales”.
1. El artículo 27 del proyecto de ley, declarado inexequible, establecía lo siguiente: “Disposiciones especiales. El Gobierno Nacional regulará lo concerniente al Tratamiento sobre datos personales que requieran de disposiciones especiales. En todo caso, dicha reglamentación no podrá ser contraria a las disposiciones contenidas en la presente ley.”La posición mayoritaria fundamenta su decisión indicando (i) que el tratamiento de datos personales requiere definiciones claras que, considerando la importancia de la materia, se encuentran sometidas a reserva legislativa, (ii) que la referencia que se hace en el artículo 27 a “datos personales que requieran de disposiciones especiales” supone una alusión a datos que demandan la existencia de leyes sectoriales expedidas por el Congreso y (iii) que en atención a lo señalado el Gobierno Nacional carece de competencia para expedir regulaciones según la tipología del dato. Esa conclusión se apoya (i) en la Observación General No. 16 del Comité de Derechos Humanos, interpretativa del artículo 17 del Pacto Internacional de Derechos Civiles y Políticos conforme a la cual la recopilación y el registro de información personal en computadoras, bancos de datos y otros dispositivos, tanto por las autoridades públicas como por los particulares o entidades privados, deben estar reglamentados por la ley, (ii) en la reserva legal en esta materia lo que impide, en ausencia de una regulación legal sobre los datos especiales, que el Gobierno Nacional asuma esa competencia y (iii) en el hecho consistente en que la facultad establecida en el artículo 27 no constituye una expresión de la competencia reglamentaria asignada al Presidente de la República en el numeral 11 del artículo 189 de la Constitución dado que esta, en tanto es una atribución propia, no requiere de un reconocimiento especial por parte de la ley ni tampoco puede ser limitada por ella.2. El planteamiento anterior no resulta correcto al menos por las siguientes razones. 2.1 Es constitucionalmente posible, sin desconocer el texto del artículo 27, aceptar que la autorización allí prevista se contrae a la posibilidad del Presidente de la República de adoptar medidas encaminadas a la adecuada aplicación de las disposiciones legislativas. El hecho de que la autorización contemplada en la disposición demandada se refiera a datos personales que requieran tratamientos especiales, no supone que el Presidente se encuentre autorizado para sustituir al legislador estatutario, sino un llamado especial que este hace con el propósito de que en ejercicio de las facultades reglamentarias el Gobierno Nacional adopte las normas requeridas para reglamentar y, en esa medida, hacer posible la aplicación de las disposiciones estatutarias respecto de algunos de los datos especiales. 2.2 La reserva de ley estatutaria no implica un mandato de regulación exhaustiva de la materia comprendida por tal reserva y, en esa medida, no impone al Congreso la obligación de ocuparse de la totalidad de los temas relativos al tratamiento de los datos personales. Esta premisa implica, adicionalmente, que no resulta imperativo que al momento de regular el derecho al habeas data se prevean normas relativas a cada uno de los datos en tanto es posible que, a partir de un conjunto general de disposiciones, el Presidente de la República se ocupe de la materia mediante la expedición de disposiciones reglamentarias. Conforme a ello la norma examinada, reproduciendo la facultad definida en el numeral 11 del artículo 189 de la Carta Política, simplemente reitera la posibilidad consistente en que el Presidente de la República establezca, teniendo como límites las disposiciones que deba reglamentar, las reglas especificas o técnicas que sean indispensables para asegurar la aplicación correcta y oportuna de la ley. 2.3 Es posible afirmar, adicionalmente, que el carácter general de las disposiciones de la ley estatutaria respecto de algunos datos que demandan algún tratamiento especial, no constituye un impedimento para reconocer la posibilidad de expedir disposiciones reglamentarias. Si bien el carácter general de las normas objeto de reglamentación plantean dificultades para establecer el limite competencial exacto del Presidente de la República en su actividad de reglamentación, ello no deriva en que una autorización para hacerlo desconozca la Constitución.De hecho la jurisprudencia constitucional ha señalado que la condición para el ejercicio de las potestades reglamentarias consiste en la prexistencia de disposiciones legislativas que ofrezcan parámetros comprensibles que permitan delimitar el objeto de la reglamentación, aun acudiendo al uso de un lenguaje general. Así por ejemplo, en la sentencia C-265 de 2002 dijo la Corte: “Es posible que la rama legislativa con la utilización de un lenguaje amplio reconozca a la autoridad administrativa competente un margen suficiente para el desarrollo específico de algunos de los supuestos definidos en la ley con el propósito de concretar la aplicación de ciertos preceptos legales a circunstancias diversas y cambiantes. Eso es propio de un Estado regulador. Sin embargo, en esos eventos la acción de la administración y el cumplimiento de las políticas públicas que animan la ley y las regulaciones administrativas que las materializan dependen de que las disposiciones legales establezcan criterios inteligibles, claros y orientadores dentro de los cuales ha de actuar la administración de tal forma que se preserven los principios básicos de un estado social y democrático de derecho.” (Subrayas y negrillas no hacen parte del texto original) En este caso, la ley estatutaria estableció pautas generales que permiten orientar la actividad reglamentaria a cargo del Presidente a tal punto que, reiterando los límites derivados de la Constitución, le indica que no podrá adoptar medidas que desconozcan las disposiciones de la ley. Resulta claro, adicionalmente, que esas facultades únicamente se refieren al tratamiento de la información de las bases de datos reguladas por esa ley y no podrían extenderse a aquellas que el artículo 2 excluyó de su ámbito de aplicación. 2.4 Lo señalado anteriormente se apoya además en el hecho consistente en que el artículo 27 establece el deber del gobierno de sujetarse a lo dispuesto en la ley de la que hace parte tal disposición, de manera tal que si se tratara del otorgamiento de una facultad para expedir normas con fuerza de ley no habría establecido tal límite. En consecuencia, la facultad se encuentra subordinada a la regulación ya establecida por el legislador y ella debe entenderse como una habilitación para adoptar normas que hagan posible aplicar las determinaciones comprendidas en la ley de habeas data en relación con datos que demanden algún tratamiento especial. 2.5 Ahora bien si en gracia de discusión se aceptara que la disposición demandada implica una habilitación legislativa para que el Presidente de la República estableciera disposiciones de naturaleza estatutaria, era posible que la Corte declarara la exequibilidad condicionada indicando que la autorización establecida en el artículo 27 únicamente comportaba la reiteración de una competencia de reglamentación en los términos establecidos en el numeral 11 del artículo 189 de la Constitución. 2.6 La generalidad de las disposiciones contenidas en el proyecto de ley estatutaria no puede implicar que cualquier regulación expedida por parte del Presidente de la República para delimitar su aplicación respecto de determinados datos personales –especiales- implique una invasión inconstitucional en las competencias legislativas del Congreso. Con la interpretación mayoritaria, podrían suscitarse enormes dificultades al momento de delimitar el alcance de las facultad de reglamentación del Presidente y, por esa vía, dejar el tratamiento de los datos que demandan alguna reglamentación especial para su aplicación, sin disposiciones aplicables que permitan asegurar, en alguna medida, el respeto del derecho al habeas data. Dejo así expuestas las razones que justifican mi discrepancia respecto de la decisión adoptada por la Corte en relación con el artículo 27 del proyecto objeto de examen. MAURICIO GONZALEZ CUERVO Magistrado SALVAMENTO Y ACLARACIÓN DE VOTO DE LOS MAGISTRADOS MARÍA VICTORIA CALLE CORREA, JORGE IVÁN PALACIO PALACIO Y LUIS ERNESTO VARGAS SILVA A LA SENTENCIA C-748 11PROYECTO DE LEY ESTATUTARIA DE HABEAS DATA Y PROTECCION DE DATOS PERSONALES-Resultaba inexequible por tratarse de una normatividad incompleta y contradictoria que además de dificultades interpretativas, disminuye el ámbito de protección del derecho al habeas data (Salvamento de voto y aclaración de voto)El proyecto de normatividad estatutaria de disposiciones para la protección de datos personales, termina siendo manifiestamente incompleta y contradictoria, y antes que concurrir en la eficacia del derecho al habeas data, da lugar a profundas dificultades interpretativas, y en general, a una injustificada disminución del ámbito de protección del mencionado derecho fundamental. Estas dificultades se hubieran solventado fácilmente a través de la declaratoria de inexequibilidad de la norma estatutaria para que el Congreso regulara nuevamente la materia con los estándares constitucionales mínimos.PROYECTO DE LEY ESTATUTARIA DE HABEAS DATA Y PROTECCION DE DATOS PERSONALES-Constituye una regulación incompleta del derecho al habeas data que incurre en un déficit de protección de ese derecho (Salvamento de voto y aclaración de voto)El proyecto de ley estatutaria es una regulación incompleta del derecho al habeas data que incurre en un manifiesto déficit de protección de ese derecho, al no incluir elementos esenciales como: el relativo al catálogo de deberes de las fuentes y usuarios del dato personal, la inexistencia de una autoridad de control con un grado de independencia adecuado y la ausencia de una tipología de datos personales que permita niveles diferenciados de protección de los derechos fundamentales al habeas data, la intimidad y el acceso a la información; lo que hace que la norma en su conjunto resulte contraria a la ConstituciónLEY ESTATUTARIA-Función (Salvamento y aclaración de voto)LEY ESTATUTARIA-Constituye parámetro de constitucionalidad (Salvamento y aclaración de voto)ADMINISTRACION DE DATOS PERSONALES-Etapas que comprende el proceso (Salvamento y aclaración de voto) ADMINISTRACION DE DATOS PERSONALES-Actores que concurren en el proceso (Salvamento y aclaración de voto) PROYECTO DE LEY ESTATUTARIA DE HABEAS DATA Y PROTECCION DE DATOS PERSONALES-Desconoce la diferenciación de las etapas de gestión de datos personales y pretermitió la asignación de deberes y obligaciones a algunos actores en el proceso (Salvamento y Aclaración de voto)La Constitución determina que los procesos de administración de datos personales se desarrolla en tres etapas: recolección, tratamiento y circulación, etapas que implican la concurrencia de cuatro actores específicos, a saber: el titular del dato, la fuente de información, el administrador u operador y el usuario de la información, siendo posible que en casos concretos una sola persona cumpla simultáneamente los roles de fuente, administrador o usuario, pero esa sola circunstancia no desvirtúa la compartimentación contenida en la Constitución y la correlativa diferenciación de actores participantes en los procesos de acopio, tratamiento y circulación del dato personal. Es consecuencia, es la Carta Política la que define las instancias en que se divide el proceso, sin que se delegue ese asunto en la ley. En el caso de la norma estatutaria objeto de análisis, se redujo a tres los actores: el titular, el responsable del tratamiento y el encargado del mismo, clasificación con la que se imponen deberes de protección del derecho al habeas data a la persona que adopta las decisiones sobre la base y o el tratamiento de los datos (responsable del tratamiento), al igual que sobre la persona que adelanta el proceso técnico de administración de datos (encargado del tratamiento). Es decir esta normativa parte de considerar que la obligación de protección del derecho al habeas data se agota en el proceso de administración de los datos personales que realizan el responsable y el encargado del tratamiento, y torna en inexistente una regulación sobre los deberes de las fuentes y los usuarios del dato personal, partiendo de un supuesto contraevidente consistente en que los datos son acopiados y tratados, mas no recompilados y posteriormente circulados a los usuarios.AUTORIDAD DE PROTECCION DE DATOS PERSONALES-Requisitos de autonomía e independencia (Salvamento y aclaración de voto) SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO-Improcedencia de su designación como autoridad nacional de protección de datos personales (Salvamento y aclaración de voto)La norma estatutaria previó como autoridad nacional de protección de datos en Colombia a una delegatura de la Superintendencia de Industria y Comercio SIC, que a juicio de quienes nos apartamos de la decisión, dicho diseño institucional no otorgaba autonomía y convertía las funciones de la SIC en impertinentes para adelantar una adecuada vigilancia del tratamiento de datos personales, pues si bien las superintendencias ejercen funciones de vigilancia y control hacen parte de la Rama Ejecutiva, y en el caso particular de la SIC como organismo adscrito al Ministerio de Desarrollo Económico, hoy Ministerio de Comercio. Además, la mayoría de los escenarios de protección de datos personales se ejecutan a través de actividades de sujetos que no guardan relación alguna con las actividades de defensa del consumidor y de intervención estatal en la economía que adelanta la SIC, dejando la autonomía, independencia y eficacia de la vigilancia de la SIC altamente cuestionada e inaplicable en la práctica.SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO-Actividades de vigilancia como autoridad nacional de protección de datos personales resultan particularmente problemáticas (Salvamento y aclaración de voto)HABEAS DATA FINANCIERO Y DERECHO A LA INTIMIDAD-Clasificación de la información (Salvamento y aclaración de voto) PROYECTO DE LEY ESTATUTARIA DE HABEAS DATA Y PROTECCION DE DATOS PERSONALES-Tipología de datos personales contrasta con la clasificación de la información contemplada en la jurisprudencia constitucional y genera déficit de protección (Salvamento y aclaración de voto)Las jurisprudencia de la Corte, a propósito de la regulación sobre el habeas data financiero, distinguió en la información personal la de índole pública, y aquella reservada o sensible, la privada y la semiprivada; distinción que se mostraba necesaria para la protección del derecho a la intimidad y el acceso a la información, bajo el supuesto que determinada información personal no solo puede sino que debe ser conocida por terceros, mientras que otra debe tener restricciones en el acceso, incluso al grado de prohibición. En el proyecto objeto de examen se evidencian tres tipos de información personal: una de carácter ordinario; otra de naturaleza especial denominada datos sensibles para la que proscribió su tratamiento salvo en los casos taxativamente señalados en la normativa; y otra, la información personal relativa a menores de edad, en la que se proscribió su tratamiento salvo en el caso de datos de naturaleza pública. En la norma estatutaria se evidencia la ausencia de una tipología de datos personales suficiente y detallada que genera un nuevo déficit de protección del derecho al habeas data, debido a que las posibilidades de transmisión de información personal, distinta a los datos sensibles, se torna en ilimitada e inasible de restricción alguna, lo que afecta las garantías de conocimiento, actualización y rectificación del dato personal.SENTENCIA DE EXEQUIBILIDAD DE PROYECTO DE LEY ESTATUTARIA DE HABEAS DATA Y PROTECCION DE DATOS PERSONALES-Decisión especialmente problemática (Salvamento y aclaración de voto)PROYECTO DE LEY ESTATUTARIA DE HABEAS DATA Y PROTECCION DE DATOS PERSONALES-Da lugar a profundas dificultades interpretativas y a una injustificada disminución de protección del derecho al habeas data (Salvamento y aclaración de voto)Con el respeto acostumbrado a las sentencias adoptadas por la Corte, manifestamos nuestro salvamento y aclaración de voto frente a lo decidido por la Sala Plena en el fallo C-748 del 6 de octubre de 2011 (M.P. Jorge Ignacio Pretelt Chaljub), la cual declaró exequible el Proyecto de Ley Estatutaria No. 046 10 Cámara – 184 10 Senado “por la cual se dictan disposiciones generales para la protección de datos personales”.1. La razón esencial por la cual nos apartamos de la decisión adoptada por la Corte consiste en que el proyecto de ley estatutaria es una regulación incompleta del derecho al habeas data, la cual va más allá de un asunto de simple técnica legislativa, sino que incurre en un manifiesto déficit de protección de ese derecho, lo cual hacía que la norma en su conjunto resultase contraria a la Constitución. Esto al no incluir elementos esenciales para la satisfacción de las facultades de conocimiento, actualización y rectificación de la información personal concernida en bases de datos. Estos elementos versan sobre tres aspectos definidos, que desarrollaremos a continuación con el fin de sustentar este salvamento de voto. El primero, relativo a la ausencia de un catálogo de deberes de las fuentes y usuarios del dato personal, que permita la satisfacción del derecho al habeas data del sujeto concernido. El segundo, referente a la inexistencia de una autoridad de control de las actividades de recopilación, almacenamiento y circulación de datos personales, que resulte pertinente y que goce de un grado de independencia adecuado. El tercero, que versa sobre la ausencia en el proyecto de ley estatutaria de una tipología de datos personales que permita niveles diferenciados de protección de los derechos fundamentales al habeas data, a la intimidad y al acceso a la información. El déficit de protección del derecho al habeas data, al omitirse a la circulación de datos personales como un ámbito constitucionalmente amparado2. Las leyes estatutarias que regulan los derechos fundamentales tienen una función de primer orden en el constitucionalismo colombiano, en tanto conforman parámetro de constitucionalidad para el control judicial de leyes posteriores que regulen la materia respectiva. Y ello es así puesto que se trata de normativas que regulan integralmente el derecho fundamental correspondiente, incluso aspectos propios de su núcleo esencial. En otras palabras, las leyes estatutarias tienen la importante misión de llenar de contenido al derecho fundamental que regulan, precisamente con el fin de conformar un parámetro que luego pueda servir al escrutinio judicial de otras reglas jurídicas que traten, influencien o entren en tensión con ese derecho. Esta es la causa que la jurisprudencia constitucional haya considerado que la regulación integral es uno de los criterios definitorios para la reserva de ley estatutaria. Sobre este particular, la misma sentencia C-748 11 reitera acertadamente la posición uniforme planteada por la Corte, en el sentido que “… las leyes estatutarias, cuando se ocupan de los derechos fundamentales, deben pretender regularlos de manera integral, estructural y completa. Para la Sala, esta afirmación debe ser interpretada en conjunto con la doctrina antes analizada sobre contenido material de la ley estatutaria, es decir, con la tesis según la cuál el legislador estatutario, junto con el constituyente, delimitan los elementos esenciales de los derechos. Por tanto, la pretensión de integralidad y exhaustividad debe limitarse a los elementos estructurales del derecho, es decir, en concordancia con lo expresado previamente, (i) a las prerrogativas básicas que se derivan del derecho y que se convierten en obligaciones para los sujetos pasivos, (ii) a los principios que guían su ejercicio –cuando haya lugar, y (iii) a las excepciones a su régimen de protección y otras limitaciones de orden general.”Por ende, las leyes estatutarias son regulaciones que, aunque no deben llegar al punto de vaciar las competencias del legislador ordinario y de los reglamentos, en todo caso están llamadas a determinar los aspectos centrales del derecho fundamental regulado. En nuestro criterio, cuando una ley estatutaria sobre derechos fundamentales deja de regular una faceta estructural del mismo, se está ante la inexequibilidad de la normatividad en su conjunto, ante el déficit de protección que genera esa incompleta disposición jurídica.
3. En el caso particular del derecho al habeas data, se trata de un garantía compleja, en tanto enmarca tanto un ejercicio particular de la cláusula general de libertad, así como tres competencias específicas, aplicables a tres momentos de la administración de datos personales igualmente definidos por el Constituyente. Así, el artículo 15 C.P. es una cláusula normativa compleja, la cual puede desagregarse gráficamente del modo siguiente, a fin de evidenciar los elementos estructurales del derecho al habeas data:3.1. Todas las personas tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogidos sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. Estas tres competencias específicas han sido comprendidas por la jurisprudencia constitucional como expresiones de la potestad general del sujeto concernido de controlar su información personal, que reposa en archivos y bases de datos de toda índole. De estas competencias, a su vez, se infiere un grupo de principios que, como lo explica la sentencia de la que nos apartamos, operan como límites al ejercicio del poder informático. En especial, de la competencia de conocimiento se deriva el principio de acceso y circulación restringida; y a su vez, la facultad de actualización y rectificación explica los principios de veracidad, calidad y transparencia del dato personal. A partir de estas consideraciones, el precedente constitucional, particularmente a partir del balance jurisprudencial contenido en la sentencia C-1011 08, ha signado el derecho al habeas data a partir de la conjunción entre el ejercicio de la autonomía en los procesos de administración de datos personales y la eficacia de las competencias de conocimiento, actualización y rectificación, que operan en cada uno de los procesos de esa administración. Este es el mandato constitucional específico que se deriva de lo regulado en el artículo 15 C.P., cuando prescribe que en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Carta. Es a partir de esta regla que la ponencia explica que la administración de datos personales depende necesariamente de la autorización del sujeto concernido, tanto respecto de la inclusión de esa información, como de los usos que se obtengan de ella. Esta provisión, a su vez, proscribe toda modalidad de tratamiento de datos personales, distintos a aquellos de naturaleza pública, que prescindan de la autorización del sujeto concernido. Así, con base en estas premisas, el legislador estatutario dispuso el principio de libertad, de acuerdo con el cual el tratamiento de la información personal solo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Como se expone en la sentencia, esta previsión no hace nada distinto que adoptar el arreglo jurisprudencial que sobre la materia ya había fijado la Corte, especialmente cuando declaró la inexequibilidad de preceptos que facultaban el tratamiento de datos personales sin la anuencia del sujeto concernido. 3.2. Con todo, este primer desacuerdo con la sentencia C-748 11 se fundamenta en el hecho que el mandato constitucional citado no solo implica el carácter vinculante del principio de libertad en la administración de datos personales, en los términos analizados, sino también la identificación por parte del Constituyente de un ciclo en esa administración y unos actores involucrados en el mismo, como también lo ha previsto la jurisprudencia de la Corte sobre el tópico. La Constitución determina que los procesos de administración de datos personales se desarrollan en tres etapas definidas: recolección, tratamiento y circulación. Aquí debe insistirse que es la Carta Política la que, de manera directa y particular, define las instancias en que se divide el proceso de administración de datos personales, sin que delegue ese asunto en la ley. Se trata, en ese orden de ideas, de un mandato constitucional concreto que opera como límite al margen de configuración normativa del legislador estatutario. A su vez, estas etapas, como lo ha explicado la jurisprudencia, implican necesariamente la concurrencia de cuatro actores igualmente específicos, que refieren a:3.2.1. El titular del dato, quien es la persona cuya información es concernida en las bases y registros de datos. En los términos antes analizados, le corresponde autorizar previa, expresa y específicamente el tratamiento de esa información. 3.2.2. La fuente de información, quien es la persona que realiza la tarea de recolección del dato personal. Así, es quien indaga sobre los datos personales del titular y obtiene su autorización para ser objeto de tratamiento. 3.2.3. El administrador u operador, quien es la persona natural o jurídica que gestiona el registro o base de datos, a efectos de clasificar la información personal para que pueda cumplir con la finalidad para la cual fue recolectada y que, se insiste, fue objeto de autorización particular y específica por parte del titular del dato. 3.2.4. El usuario de la información, quien es la persona que contrata los servicios del administrador, quien circula los datos personales a su favor y para el cumplimiento de los fines lícitos objeto de autorización. De manera general, el usuario del dato personal ejerce la actividad relacionada con la finalidad para la cual la información fue objeto de acopio por la fuente. Es decir, el usuario es quien logra aprovechamiento lícito del tratamiento del dato personal. Por supuesto, en casos concretos es posible que una sola persona cumpla simultáneamente los roles de fuente, administrador o usuario. Con todo, esa sola circunstancia no desvirtúa la compartimentación contenida en la Constitución y la correlativa diferenciación de actores participantes en los procesos de acopio, tratamiento y circulación del dato personal. 3.3. Nótese que, además, esta diferenciación de actores parte de reconocer que, de acuerdo con la Constitución, los datos personales son recolectados y sometidos a un tratamiento particular, con el fin de circular hacia otros sujetos, quienes obtienen determinada utilidad de esa información. Es por esta obvia y evidente utilización de los datos personales del sujeto concernido, que la Carta Política comprende en la vigencia de la cláusula general de libertad y de los demás derechos y principios constitucionales, a la circulación del dato personal. Por ende, los usuarios del dato están vinculados por ese plexo de garantías a favor del sujeto concernido. Así lo ha planteado la jurisprudencia al señalar, en el marco del examen de constitucionalidad de la norma estatutaria sobre habeas data comercial y financiero, que el usuario “…es la persona natural o jurídica que, en los términos y circunstancias previstos en la norma estatutaria, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos.” En otras palabras, el reconocimiento de la existencia del usuario de la información parte de una premisa necesaria: los procesos de administración de datos personales se llevan a cabo para cumplir con una finalidad particular de la gestión de información, que corresponde a la satisfacción de intereses del usuario del dato. Con todo, la norma estatutaria objeto de análisis en la sentencia C-748 11, en una adopción mecánica de la legislación extranjera sobre habeas data, en particular el estándar europeo de protección de datos personales, redujo los actores a tres: el titular, el responsable del tratamiento y el encargado del mismo. De acuerdo con esa clasificación, se imponen deberes de protección del derecho al habeas data a la persona que adopta las decisiones sobre la base y o tratamiento de los datos (responsable del tratamiento), al igual que sobre la persona que adelanta, a instancia del responsable del tratamiento, el proceso técnico de administración de datos (encargado del tratamiento). Esta división, en nuestro criterio, es inconstitucional al generar un déficit de protección del derecho al habeas data. Si se observa con detenimiento la legislación estatutaria avalada por la mayoría, se tiene que no existe una regulación sobre los deberes de las fuentes, y especialmente respecto de los usuarios del dato personal. Es decir, esta normatividad parte de considerar que la obligación de protección del derecho al habeas data se agota en el proceso de administración de los datos personales, que realizan el responsable y el encargado del tratamiento. Por ende, parte de un supuesto contraevidente, consistente en que los datos son acopiados y tratados, más no recopilados y posteriormente circulados a los usuarios. Esto en contravía con el mandato constitucional contenido en el artículo 15 C.P., consistente en que la cláusula general de libertad y demás garantías consagradas en la Carta son predicables no solo de la etapa de tratamiento, sino también en la recolección y la circulación de datos personales. 3.4. La evidencia de este déficit de protección se demuestra particularmente en la ausencia de deber alguno, en la norma estatutaria, adscritos al usuario de la información. Para esta regulación, la protección del habeas data se agota en las actividades desarrolladas por el responsable y encargado del tratamiento, lo que está sustentado sobre la base, constitucionalmente inadmisible y fácticamente errada, que los datos personales no tienen la vocación natural de circular, con el fin de otorgar información para la toma de decisiones de la más diversa índole. Es esta natural finalidad de la gestión de información personal, la que llevó al Constituyente a extender el grado de protección del habeas data a la instancia de circulación del dato personal. En contrario, la legislación estatutaria omite esa etapa, en razón de un trasplante normativo acrítico e incompleto del estándar europeo de protección de datos personales, preocupado exclusivamente en lograr la uniformidad legislativa que facilite la oferta de servicios empresariales de tratamiento de datos transmitidos desde el exterior, pero en abierto detrimento y contradicción del ámbito de vigencia del habeas data que prescribe la Carta Política. A este respecto, advertimos que la normatividad estatutaria desconoció abiertamente la diferenciación de las distintas etapas en la gestión de datos personales que está prevista en la Constitución, asunto que, como se ha indicado, no estaba delegado al arbitrio del legislador, sino que está sometido a un marco de referencia, de raigambre constitucional y suficientemente preciso. De ahora en adelante, con base en la legislación aprobada por la mayoría, una vez el dato sea enviado por el responsable o encargado del tratamiento al usuario, los derechos del titular del dato quedarán desprovistos de la protección, al menos de la norma estatutaria, como consecuencia de la omisión advertida. Igualmente, el sujeto concernido verá gravemente afectada la exigibilidad de sus derechos, puesto que quedaría carente de potestades para lograr la protección y garantía de sus derechos fundamentales frente a esos agentes. En ese evento, con todo, consideramos que ese vacío puede ser suplido a través de la aplicación directa de la Constitución y de los principios que se derivan del habeas data, suficientemente identificados por la jurisprudencia constitucional y que contienen previsiones expresas sobre la exigibilidad del habeas data en la etapa de circulación del dato y, en particular, frente a la actividad de utilización del dato por parte de sus usuarios. Aquí debe reafirmarse lo que señaló la jurisprudencia constitucional en la sentencia C-1011 08, en el sentido que la estipulación de principio del habeas data que hace el legislador estatutario es apenas indicativa, por lo que no es incompatible con un grado de protección más garantista, derivado de la Constitución y establecido por la Corte en su jurisprudencia. Afortunadamente, esta previsión también es contemplada en la sentencia C-748 11 cuando se prevé que “cabe señalar que el proyecto acoge una clasificación especial de principios que no incluye la totalidad de los principios predicables de la administración de datos y que han sido desarrollados tanto por la jurisprudencia de esta Corporación, como por las normas internacionales sobre la materia. Sin embargo, tal y como se consideró en la Sentencia C-1011 de 2008, al estudiar la constitucionalidad de los principios predicables a la administración de datos del sistema financiero y crediticio, las previsiones que integran el artículo 4 deben interpretarse de forma tal que resulten compatibles con la Carta Política. En consecuencia, si la Corte -intérprete autorizado de la Constitución-, ha definido a través de los principios de administración de datos personales el contenido y alcance del derecho fundamental al hábeas data, las normas estatutarias deberán interpretarse en armonía con el plexo de garantías y prerrogativas que integran ese derecho. (…)Por otra parte, debe entenderse que la enunciación de estos principios no puede entenderse como la negación de otros que integren o lleguen a integrar el contenido del derecho fundamental al habeas data.”Sin embargo, también debe indicarse que esa opción interpretativa no subsana la omisión en que incurrió el legislador estatutario, que de haber sido advertida adecuadamente por la Corte, no dejaría alternativa distinta a la inexequibilidad de la regulación, ante el déficit de protección generado y, en particular, por el desconocimiento de la etapa de circulación del dato como ámbito protegido, desde la Carta Política, del derecho fundamental al habeas data. 3.5. Ahora bien, debe también advertirse que la mayoría evidenció este déficit de regulación y de protección del derecho, por lo cual optó por indicar que el concepto responsable del tratamiento era lo suficiente amplio para comprender a las fuentes y los usuarios del dato personal, razón por la cual se les extendería a esos actores los deberes previstos al responsable por la legislación estatutaria. Consideramos que esta alternativa de decisión es insuficiente y problemática. Esto debido a que el catálogo de obligaciones que ofrece el proyecto de ley estatutaria es específico y muchos de los deberes allí previstos no pueden ser materialmente exigibles a las fuentes o a los usuarios. Esto se evidencia, por ejemplo, en la imposibilidad que el usuario del dato procesado guarde prueba del consentimiento del titular, o menos pueda controlar los aspectos técnicos de la administración del dato personal. De otro lado, menos aceptable resulta extender el régimen sancionatorio a fuentes y usuarios, pues ello contradeciría la naturaleza taxativa que impone el principio de legalidad, propio del derecho sancionador. Es evidente que la eficacia material de la norma estatutaria depende de la posibilidad de hacerla coactiva a través de sanciones, administrativas y judiciales, por el desconocimiento de sus diferentes reglas. Esta función no puede cumplirse, a nuestro juicio, cuando las fuentes y usuarios del dato personal carecen de un catálogo propio de obligaciones jurídicas, cuyo cumplimiento pueda (i) ser verificado por las autoridades públicas; (ii) servir de base para la exigibilidad judicial del derecho al habeas data del sujeto concernido. Estas actividades no pueden ser adelantadas a partir de un inadecuado traslado de responsabilidad, como lo planteó la mayoría en la decisión de la que nos apartamos. En cambio, consideramos que la única alternativa viable y garantista de los derechos constitucionales del titular del dato era declarar la inexequibilidad de la normatividad en su conjunto, a efecto que se regulara nuevamente la materia, a partir de la integración de las diferentes instancias y actores en el tratamiento de datos personales, contemplados específicamente por el artículo 15 C.P. La ausencia de autonomía y la impertinencia de las funciones de la Superintendencia de Industria y Comercio como autoridad nacional de protección de datos4. De conformidad con lo regulado por el artículo 19 de la norma estatutaria, la autoridad nacional de protección de datos en Colombia será una delegatura de la Superintendencia de Industria y Comercio - SIC. La mayoría avaló la constitucionalidad de esa regla legal, con el argumento que esa dependencia se mostraba suficientemente independiente para asumir la labor mencionada, conclusión que soportó en los argumentos utilizados por la Corte para justificar una fórmula similar respecto de la normatividad estatutaria sobre habeas data financiero, expresada en la sentencia C-1011 08.En contrario, nos apartamos de esta decisión puesto que, como lo expresamos en la discusión ante la Sala, los casos planteados no eran asimilables y en este evento particular, el diseño institucional no otorgaba autonomía a la autoridad nacional de protección nacional. Además, ese mismo diseño convertía a las funciones de la SIC en impertinentes para adelantar la adecuada vigilancia del tratamiento de datos personales.
5. Debe partirse de señalar que las superintendencias, si bien ejercen de ordinario funciones de vigilancia y control, e incluso adelantan funciones jurisdiccionales en determinados ámbitos definidos en la ley, en todo caso hacen parte de la Rama Ejecutiva, en los términos del artículo 115 C.P. Para el caso particular de la SIC, el artículo 1° del Decreto 2153 de 1992, determina que esa Superintendencia es un organismo de carácter técnico, adscrito al Ministerio de Desarrollo Económico, hoy Ministerio de Comercio. En criterio de la mayoría, esta pertenencia al Poder Ejecutivo no comprometía la independencia y autonomía de la autoridad de protección de datos en Colombia, en tanto se había dispuesto en el mismo precepto una “… Delegatura para la protección de datos personales dentro de la Superintendencia de Industria y Comercio, además, con la reafirmación de que, a pesar de hacer parte del ejecutivo, la ley le ha otorgado a la superintendencia características de autonomía e independencia que garantizan el cumplimiento de los antes explicados estándares internacionales fijados sobre la autoridad encargada de la protección de datos.” Sin embargo, adoptándose la misma alternativa de decisión contenida en la sentencia C-1011 08, la Corte condicionó la exequibilidad del artículo 19 de la regulación estatutaria, al considerar que “…para efectos de asegurar que esa autonomía e independencia no se disipe en ninguna de las actuaciones de la Delegatura, se condicionará la exequibilidad del primer párrafo del artículo 19 a que dicha autoridad siempre deberá actuar de acuerdo con esas características. De igual manera, el Gobierno Nacional, al momento de reglamentar esta dependencia, debe asegurarse de que se conforme por personas con un conocimiento técnico y que hagan parte de carrera administrativa de la entidad.”Esta decisión, en nuestro criterio, es inadecuada de cara al ámbito de aplicación de la norma estatutaria, que tiene naturaleza amplia y pretensión de generalidad. Así, de acuerdo con lo previsto en el artículo 2° de la norma estatutaria, los principios y disposiciones en ellas contenidas son aplicables a “… los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.” Como se observa, la norma estatutaria regulará toda modalidad de administración de datos personales, salvo las excepciones contempladas en el mismo precepto que, debe resaltarse, también tienen carácter taxativo. Advertimos que la actividad de vigilancia de los tratamientos de datos personales se muestra particularmente problemática respecto de todas aquellas actividades en donde se adelanta la administración de esos datos, diferentes al ámbito propio de los derechos del consumidor y en particular, cuando ese tratamiento lo lleven a cabo autoridades públicas. La norma estatutaria, de manera equivocada y fragmentaria, consideró que la protección del habeas data era un asunto inserto en la problemática propia y exclusiva del mercado económico y de los derechos de los consumidores. Esta visión es en extremo restringida, pues el habeas data es un derecho fundamental que se expresa en múltiples ámbitos de la vida social y, en especial, dentro de las relaciones entre el individuo y el Estado.
6. Varios casos demuestran ese amplio ámbito de aplicación del habeas data. Así por ejemplo, una de las principales bases de datos del país es el Sistema de Selección de Beneficiarios de Programas Sociales – Sisben, la cual es administrada por las entidades territoriales. Este registro de datos personales es imprescindible para cualquier política de focalización del gasto público destinada a la satisfacción de los derechos sociales. La población pobre concernida en ese registro, a su vez, es titular del derecho al habeas data. El interrogante que surge de esta comprobación versa sobre la posibilidad que la Superintendencia de Industria y Comercio pueda ejercer funciones de vigilancia sobre el tratamiento de datos personales que realiza el Sisben, sin con ello cuestionar el grado de autonomía de las entidades territoriales, que vendría a ser intervenido desde el nivel central por un institución que como la SIC, innegablemente tiene esa naturaleza. Asuntos aún más problemáticos se muestran respecto de otras entidades del Estado, estas sí con carácter independiente. Los organismos de control de raigambre constitucional, como la Procuraduría General de la Nación y la Contraloría General de la República han tradicionalmente administrado bases de datos personales, dirigidas a identificar a aquellos ciudadanos que tienen inhabilidades o sanciones disciplinarias vigentes, así como quienes han sido declarados fiscalmente responsables. Estas personas son también titulares de las prerrogativas propias del derecho al habeas data y, por ende, la eficacia de ese derecho en los mencionados ámbitos de protección de datos personales, corresponde a una delegatura de la SIC. Esta situación plantea un grave y complejo interrogante, consistente en definir si una entidad de la Rama Ejecutiva está constitucionalmente habilitada para ejercer vigilancia sobre organismos de control que, además, adelantan función disciplinaria y fiscal frente a los servidores públicos de la misma Superintendencia. Otro grupo de casos ponen de presente la tensión entre el ejercicio de las funciones de la SIC en el caso analizado y la vigencia del principio de separación de poderes. Varias instituciones de la Rama Judicial y del Legislativo administran bases de datos personales, para diversos propósitos. Ejemplo de ello es el Registro Nacional de Abogados, a cargo del Consejo Superior de la Judicatura. Los profesionales concernidos en ese registro son titulares del habeas data y la vigencia de ese derecho, de acuerdo con la norma analizada, debe ser garantizada por el Estado a través de la SIC. El problema radica en qué modelo institucional va a permitir el ejercicio de la vigilancia entre diferentes poderes públicos, cada uno con un grado de autonomía reconocida y amparada por la Constitución. Finalmente, los mayores problemas de autonomía e independencia, respecto al ejercicio de las facultades de la SIC para la eficacia del derecho al habeas data, tienen lugar en los innumerables procesos de administración de datos personales que tienen lugar al interior de la misma Rama Ejecutiva. En cada uno de esos casos, el ejercicio de la vigilancia y control en el ámbito analizado terminaría desnaturalizado, por la simple razón que las autoridades serían “juez y parte” dentro del control sobre la vigencia de los principios y facultades adscritas a los sujetos concernidos en dichas bases de datos, en abierto detrimento del principio de imparcialidad que gobierna el ejercicio de la función pública.
7. De otro lado, consideramos que ninguno de estos problemas encuentra solución con el condicionamiento planteado por la sentencia C-748
11. Esto debido a que el caso analizado en esta oportunidad no es asimilable al escenario objeto de examen en la sentencia C-1011
08. Como se indicó en esa oportunidad, esa regulación era de carácter sectorial, puesto que sus reglas versaban exclusivamente sobre el ejercicio del habeas data en aquellos registros de información personal destinados al cálculo del riesgo crediticio. Fue precisamente en ese marco que se consideró que tanto la SIC como la Superintendencia Financiera contaban con el grado de autonomía e independencia suficientes para ejercer la vigilancia sobre la garantía del derecho al habeas data en dicho sector, debido a que los sujetos responsables del mismo, tanto fuentes, administradores y usuarios eran personas naturales y jurídicas sometidas a la inspección y vigilancias de las superintendencias citadas. A su vez, existía identidad entre la actividad de procesamiento de datos personales para el cálculo del riesgo crediticio y las finalidades que, en cuanto al ejercicio de la policía administrativa, ejercen dichas entidades. Sobre este preciso particular, la sentencia C-1011 08 señaló que “[e]stas funciones de policía administrativa son ejercidas por organismos técnicos con poderes de regulación y control como son la Superintendencia de Industria y Comercio y la Superintendencia Financiera. La primera cumple con una finalidad de fortalecimiento de los procesos de desarrollo empresarial y los niveles de satisfacción del consumidor colombiano, a través del mejoramiento de la calidad de bienes y servicios, a la vez que contribuye a garantizar que la libre competencia como elemento esencial de la libertad de empresa, se desarrolle en el marco de principios orientadores de esas libertades, como son la prevalencia del bien común, el interés público y la protección de los consumidores o usuarios de los bienes o servicios. Por su parte, la Superintendencia Financiera desarrolla el propósito estatal de asegurar la confianza en el sistema financiero, así como garantizar la transparencia de las actividades realizadas por las entidades vigiladas, evitar la comisión de delitos, en especial, relacionados con el lavado de activos, y proteger los intereses de terceros de buena fe que pueden resultar lesionados por operaciones de mercado irregulares, inseguras o inadecuadas. (…) Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en razón del principio de especialidad, tal opción ofrece mayores garantías de efectividad. Además, la asignación de las facultades de regulación, control y vigilancia a las Superintendencias de Industria y Comercio y Financiera, en atención a la actividad que desarrolla la persona o ente vigilado, resulta ser una consecuencia natural del carácter apenas sectorial del proyecto, referido al dato financiero, crediticio, comercial y de servicios.”Esta conclusión no es predicable respecto de la adscripción a la SIC como autoridad nacional de protección de datos personales. Los casos paradigmáticos expuestos, y muchos otros que escapan al carácter sucinto de este salvamento de voto, demuestran que la mayoría de escenarios de protección de datos personales se ejecutan a través de las actividades de sujetos que no guardan relación alguna con las actividades de defensa del consumidor y de intervención estatal en la economía que adelanta la SIC. De allí que sostengamos que esa regulación estatutaria haga que la actividad de esa superintendencia se muestre impertinente, pues resultará aplicándose – si ello resulta fácticamente posible -, frente a agentes que no guardan relación alguna con las actividades reseñadas y que, por lo mismo, no pueden estar sujetos a la inspección, vigilancia y control de la SIC.
8. Advertimos, en este orden de ideas, que la autonomía, independencia y eficacia de la vigilancia de la SIC se ve altamente cuestionada, e incluso inaplicable en la práctica, al menos en los casos analizados, que son apenas ejemplificativos de problemáticas mucho más amplias. Es por ello que en el derecho comparado se ha optado, de manera acertada, en otorgar la calidad de autoridad de protección de datos a un organismo de control independiente, que tenga la posibilidad de ejercer sus funciones en los distintos escenarios de administración de datos personales, en condiciones de independencia, autonomía e imparcialidad. A pesar de este precedente, el legislador estatutario estipuló una modalidad de control insuficiente y problemática, según las razones expuestas. Esta omisión, a nuestro criterio, no solo es un problema de diseño institucional, sino que repercute directa y gravemente en la vigencia del derecho al habeas data. Ello debido que ante una autoridad nacional de datos personales con un poder insuficiente, carente de autonomía e inatinente respecto de muchos de los sujetos involucrados en el tratamiento de datos personales, se comprueba un evidente déficit de protección del derecho fundamental mencionado, ante la ausencia de mecanismos institucionales eficaces y pertinentes que aseguran su garantía. El déficit de protección del derecho al habeas data, derivado de la ausencia de una tipología de datos personales9. De acuerdo con la legislación estatutaria objeto de examen, se evidencian tres tipos de información personal. La primera es la de carácter ordinario, la cual no tiene una regulación particular en esa normativa. La segunda, de naturaleza especial y denominada datos sensibles, que en los términos del artículo 5° de la normatividad objeto de examen, refieren a aquellos datos que “… afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y a los datos biométricos.” En tercer lugar, el legislador estatutario regulo particularmente la información personal relativa a los menores de edad, caso en el cual proscribió su tratamiento, salvo en el caso de aquellos datos que sean de naturaleza pública. Para el caso particular de los datos sensibles, la normatividad analizada proscribió su tratamiento, salvo en los casos taxativamente señalados en el artículo 6° y referidos a que (i) el titular haya dado su autorización explícita a dicho tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; (ii) el tratamiento sea necesario para salvaguardar el interés vital del titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; (iii) el tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del titular; (iv) el tratamiento se refiera a datos que el titular haya hecho manifiestamente públicos o sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; y (v) el tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los titulares.10. Esta división contrasta con la tipología de datos personales contemplada por la Corte en su jurisprudencia y replicada por el legislador estatutario, a propósito de la regulación sobre el habeas data financiero. En ese escenario se distinguió en la información personal de índole pública, y aquella reservada o sensible, la privada y la semiprivada. Esta distinción, como se explicó en la sentencia C-1011 08 se mostraba necesaria para la satisfacción del derecho a la intimidad, el cual no tenía el mismo alcance en cada evento. Sobre este particular, dicha decisión indicó lo siguiente:“Esta clasificación responde, en buena medida, a la establecida por la jurisprudencia constitucional, a través de las tipologías de información personal de índole cualitativa. El legislador estatutario adopta, en este sentido, una gradación de la información personal a partir del mayor o menor grado de aceptabilidad de la divulgación. Así, la información pública, en tanto no está relacionada con el ámbito de protección del derecho a la intimidad, recae dentro del ejercicio amplio del derecho a recibir información (Art. 20 C.P.) y, en consecuencia, es de libre acceso. Ello, por supuesto, sin perjuicio que en relación con la divulgación de la información pública, resulten aplicables las garantías que el derecho al hábeas data le confiere al sujeto concernido, en cuanto resulten pertinentes. En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero. En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis la de contenido comercial y crediticio, y la protección del derecho a la información que tienen los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales. Por último, en la categoría de datos privados, el legislador estatutario ha englobado las categorías de información privada y reservada. En este caso, según se ha expuesto en esta sentencia, la posibilidad de acceso a la información es excepcional, debe estar mediada de orden judicial, y se predica únicamente de aquellos datos que, siendo privados, difieren de lo que la jurisprudencia ha denominado como datos sensibles. Al respecto, debe insistirse en que el acceso a la información privada constituye una restricción apreciable de libre ejercicio del derecho a la intimidad, razón por la cual, la decisión acerca del conocimiento de la misma es un asunto que sólo puede ser decidido por las autoridades judiciales en ejercicio de sus funciones, habida consideración de la cláusula general de reserva judicial para la restricción legítima de los derechos fundamentales. Caso distinto se predica de la información sensible, relacionada, entre otros aspectos, con la orientación sexual, los hábitos del individuo y el credo religioso y político. En estos eventos, la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella “esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico” En este caso, todo acto de divulgación mediante los procesos genéricos de administración de datos personales, distintos a las posibilidades de divulgación excepcional descritas en el fundamento jurídico 2.5. del presente análisis, se encuentra proscrita. Ello en la medida que permitir que información de esta naturaleza pueda ser objeto de procesos ordinarios de acopio, recolección y circulación vulneraría el contenido esencial del derecho a la intimidad.” Como se observa, tanto la protección del derecho a la intimidad como el de acceso a la información, lograba satisfacción a través de esta tipología de datos. Esto bajo el supuesto que determinada información personal no solo puede, sino que debe ser conocida por terceros, mientras que otra debe tener restricciones en su acceso, incluso al grado de prohibición. La norma estatutaria analizada, de nuevo a partir de un acrítico trasplante normativo del estándar europeo de protección de datos, optó por desechar esa división. En cambio, contrajo en la misma categoría información que no es comparable en cuanto a su grado de circulación constitucionalmente admisible, en perjuicio de los derechos fundamentales mencionados. Así, para el caso que nos ocupa, la ausencia de una tipología de datos personales suficiente y detallada, genera un nuevo déficit de protección del derecho al habeas data, debido a que las posibilidades de transmisión de información personal, distinta a los datos sensibles, se torna en ilimitada e inasible de restricción alguna, lo que afecta desproporcionadamente las garantías de conocimiento, actualización y rectificación del dato personal, de que trata el artículo 15 C.P. De nuevo, no se está ante un simple problema de diseño normativo, sino ante omisiones que involucran menores niveles de protección del derecho fundamental regulado, lo cual es inaceptable cuando se trata de normas estatutarias.
11. Adicionalmente, la cláusula avalada por la Corte que proscribe el tratamiento de datos personales de niños y niñas, se basa en una comprensión inadecuada del tratamiento de datos personales y termina por vulnerar sus derechos fundamentales. En efecto, consideramos que concurren escenarios en donde ese tratamiento, en especial a través de la cláusula del habeas data aditivo, es imprescindible para la satisfacción de los derechos de niños y niñas. Piénsese por ejemplo en los menores que pertenecen a la población pobre y vulnerable. Ellos tienen el derecho a que sus datos personales sean adecuada y suficientemente incorporados en el registro Sisben, a efectos que puedan gozar de la atención estatal subsidiada en áreas como salud y educación básica. Según la normatividad estatutaria, se llega al contrasentido que ese tratamiento está jurídicamente prohibido, en perjuicio de dichas garantías fundamentales de niños y niñas. Consideramos, a su vez, que la solución de esa evidente contradicción no puede lograrse, como lo plantea la mayoría, con una delegación del problema a las normas reglamentarias que sobre la materia expida el Gobierno Nacional. La Corte, a nuestro juicio, debió asumir el problema en su integridad, a través de la declaratoria de exequibilidad condicionada del precepto, como lo propusieron en su momento varios de los intervinientes.
12. Por último, manifestamos que aclaramos nuestro voto en lo que respecta a la declaratoria de inexequibilidad de los artículos 27, 29, 30 y 31 del proyecto de ley estatutaria, por cuanto si bien compartimos la decisión adoptada en estos casos, mantenemos nuestra postura respecto de la inexequibilidad total del proyecto de ley estatutaria por las razones de orden estructural expuestas anteriormente, las cuales difieren de las que llevaron a declarar la inconstitucionalidad de las mencionadas normas por vicios de procedimiento en su formación.Conclusión En nuestro criterio, la decisión adoptada por la Corte se muestra especialmente problemática. Avalar una normatividad estatutaria manifiestamente incompleta y contradictoria, como en buena hora lo planteaba la ponencia en su proyecto original, hace que esa legislación, antes que concurrir en la eficacia del derecho al habeas data, dé lugar a profundas dificultades interpretativas y, en general, a una injustificada disminución del ámbito de protección del derecho al habeas data. La exequibilidad de la norma estatutaria analizada implica, entonces, que la Corte declara la validez constitucional de una garantía deficitaria del mencionado derecho fundamental. Los datos personales de los colombianos, en tanto expresión de su individualidad como sujetos libres y autónomos, quedan altamente expuestos a toda clase de intereses, tanto nacionales como extranjeros –merced esto último de la recurrente transmisión internacional de datos- en abierta contravía con lo ordenado por el Constituyente. Una situación de este carácter resulta inadmisible, pues lo aquí decidido será base para la decisión acerca de la constitucionalidad de las normas legales y reglamentarias que se profieran en el futuro respecto al tratamiento de datos personales. Advertimos que no deja de ser paradójico que la legislación estatutaria y la jurisprudencia constitucional se muestren más garantistas respecto de la protección del derecho al habeas data frente a los datos personales de contenido financiero, comercial y crediticio; pero que no tengan similar consideración con un asunto mucho más trascendente como lo es el ahora objeto de control judicial: la regulación del derecho al habeas data frente a las diferentes modalidades de tratamiento de información personal. En nuestro criterio, la decisión adoptada por la Corte en esta oportunidad desdice de una larga y prolija actividad jurisprudencial en materia de habeas data y protección de datos personales, cuidadosamente construida por este Tribunal por más de quince años. Este precedente, que muchas voces jurídicas autorizadas consideran pionero en el ámbito latinoamericano, resulta injustificada e innecesariamente disminuido y alterado por la sentencia que ahora profiere la Corte. Estas graves y evidentes dificultades se hubieran solventado fácilmente a través de la declaratoria de inexequibilidad de la norma estatutaria. Esto con el fin que el Congreso, foro natural del debate democrático y órgano titular de la amplia potestad de configuración normativa, regulara nuevamente la materia, a fin de cumplir con los estándares constitucionales mínimos que, se insiste, no reúne la norma objeto de examen.Estos son los motivos de nuestro disenso.Fecha ut supra,MARÍA VICTORIA CALLE CORREAMagistradaJORGE IVÁN PALACIO PALACIOMagistradoLUIS ERNESTO VARGAS SILVAMagistrado ---pies de página--- La Sala considera necesario reiterar la nota introducida en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño, sobre el empleo del término habeas data: “Debe tenerse en cuenta que la denominación ‘hábeas data’ no ha sido la única utilizada por la jurisprudencia para identificar las facultades del sujeto concernido respecto de las bases de datos. Así, durante el desarrollo del concepto en las decisiones de la Corte se han usado las expresiones de ‘autodeterminación informática’ o ‘autodeterminación informativa’. En todo caso, estas tres definiciones refieren a la misma realidad jurídica, por lo que no ofrecen mayores dificultades en su uso alternativo. Sin embargo, ante la necesidad de contar con una descripción uniforme y habida cuenta el uso extendido del término en el ámbito del derecho constitucional colombiano, esta sentencia utilizará el vocablo hábeas data con el fin de nombrar el derecho que tienen todas las personas a ejercer las facultades de conocimiento, actualización y rectificación de la información personal contenida en bases de datos.” La equivalencia entre los términos habeas data y autodeterminación informativa también había sido anunciada en la sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett. Sin embargo, la primera vez que se habló del derecho a la intimidad –o privacidad en lenguaje jurídico anglosajón- fue en 1890, cuando los estadounidenses Samuel Warren y Louis Brandeis publicaron el artículo ‘The Right To Privacy’ que propugnaba por establecer límites jurídicos que impidieran la intromisión del periodismo en la vida privada de las personas. Warren, Samuel. Brandeis, Louis. “The Right To Privacy”. Harvard Law Review. Pág. 193. 1890. Ver también Gregorio, Carlos G. “Protección de Datos Personales: Europa Vs. Estados Unidos, todo un dilema para América Latina” en Transparentar al Estado: la Experiencia Mexicana de Acceso a la Información. Universidad Autónoma de México, 2004. Pág.
301. La idea primigenia del derecho a la intimidad estuvo marcada por su individualismo acentuado, al punto que se hacía referencia al derecho a estar solo o el derecho a ser dejado en paz. Hechos como los ocurridos durante la Segunda Guerra Mundial en Alemania, donde la información del censo y los archivos del gobierno se utilizaron para detectar a los judíos y demás poblaciones víctimas del genocidio, llevaron a que una vez finalizada la guerra, el derecho a la intimidad tuviera protección reforzada en los planos nacional y regional. Esta misma razón inspiró la introducción del artículo 12 de la Declaración Universal de los Derechos Humanos. Vale la pena destacar la ley de protección de datos del land alemán de Hesse de 1970, la ley sueca de 1973, el artículo 35 de la Constitución de Portugal de 1976, la ley federal alemana de 1977, las leyes francesa y austriaca de 1978 y el artículo 18.4 de la Constitución española de 1978. Estas normas establecieron límites al empleo de la informática frente a los datos personales a partir de dos principios fundamentales: la autorización previa para la constitución de bancos de datos y su control e inspección posterior. Ver Bru Cuadra, Elisenda. “La protección de datos en España y en la Unión Europea”. IDP. Revista de internet, Derecho y Política, Num 5, 2007. Universitat Oberta de Catalunya. P.p. 78-92. García González, Aristeo. “La protección de datos personales: derecho fundamental del siglo
XXI. Un estudio comparado”. Boletín Mexicano de Derecho Comparado [en línea], XL (Septiembre-Diciembre), 2007. Disponible en: <http: redalyc.uaemex.mx redalyc src inicio ArtPdfRed.jsp?iCve=42712003> ISSN 0041-8633.En esta década también se expidió el Privacy Act de 1974 en Estados Unidos, inspirada también en la necesidad de brindar protección a la privacidad frente a las nuevas tecnologías. A diferencia de lo que ha ocurrido en Europa, esta ley ha enfrentado serias dificultades en su implementación. Ver Bignami, Francesca. “European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. Boston College Law Review, 2007. P.
609. Ver Bru Cuadra, Elisenda. “La protección de datos en España y en la Unión Europea”. IDP. Revista de Internet, Derecho y Política, Num 5, 2007. Universitat Oberta de Catalunya. P.p. 78-92. Específicamente, su artículo 8 dispone: “Cualquier persona deberá poder: Conocer la existencia de un fichero automatizado de datos de carácter personal, sus finalidades principales, así como la identidad y la residencia habitual o el establecimiento principal de la autoridad controladora del fichero.Obtener a intervalos razonables y sin demora o gastos excesivos la confirmación de la existencia o no en el fichero automatizado de datos de carácter personal que conciernan a dicha persona, así como la comunicación de dichos datos en forma inteligibles.” El Convenio fue precedido por las “directrices sobre protección de la privacidad y flujos transfronterizos de datos personales” adoptadas por la Organización para la Cooperación y el Desarrollo Económicos (OCDE) en 1980, en las que se definen principios básicos de protección de datos personales, aplicables tanto al sector público como al privado, como el principio de limitación de la recolección de datos, el principio de especificidad de la finalidad, el principio de limitación de uso, y el principio de salvaguardias de seguridad, entre otros. En el memorando explicativo de las directrices, se reconoce la tendencia a basar la protección de datos personales en una noción más amplia de intimidad. Al respecto, se afirma: “(…) viene habiendo una tendencia a ampliar el concepto tradicional de intimidad (él derecho a que le dejen a uno en paz’) y a identificar una síntesis más compleja de intereses que quizá se puedan calificar más correctamente de intimidad y libertades individuales”. Irlanda en 1980 e Inglaterra en 1984. Sentencia citada por Prieto Gutiérrez, Juan José. “Protección de datos en la Biblioteca de la Universidad Complutense”, 2006. Disponible en: http: www.scribd.com doc 42380514 Proteccion-de-Datos-en-La-Biblioteca-de-La-Universidad-Complutense-de-Madrid, En este fallo, el tribunal declaró inconstitucionales ciertos aspectos de la Ley del Censo de Población de 1982. Ver sentencia 254 del 20 de julio de 1993. Citada en: Garriaga Domínguez, A. La protección de los datos personales en el Derecho Español. Dykinson – Instituto de Derechos Humanos Bartolomé de las Casas de la Universidad Carlos III de Madrid, 1999. Posteriormente, en la sentencia 292 del 30 de noviembre de 2000, el Tribunal español precisó que el derecho fundamental a la autodeterminación informativa es diferente al derecho a la intimidad, pues mientras el segundo protege a las personas frente a cualquier invasión al ámbito de su vida personal o familiar, el derecho a la autodeterminación informativa garantiza a las personas un poder de control sobre sus datos personales, así como sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del titular. Ver García González, Aristeo. “La protección de datos personales: derecho fundamental del siglo
XXI. Un estudio comparado”. Boletín Mexicano de Derecho Comparado [en línea], XL (Septiembre-Diciembre), 2007. Disponible en: <http: redalyc.uaemex.mx redalyc src inicio ArtPdfRed.jsp?iCve=42712003> ISSN 0041-8633. A partir de 1990, la Comunidad Europea buscó garantizar un funcionamiento adecuado del mercado unificado, para lo cual era necesario establecer una protección uniforme de los datos personales, pues las diferencias en las leyes de protección de los mismos podían configurar un obstáculo en el flujo de los datos. Para lograr ese objetivo se profirió la Directiva 95 46 CE. Dicha Directiva exige a los estados miembros un tratamiento leal y licito de los datos personales, tener en cuenta el tratamiento de los datos sensibles, notificar de la recolección de los datos al interesado y perseguir con el recaudo de datos un fin explícito y legítimo. También reconoce el derecho de los interesados a acceder a los datos y a oponerse a su tratamiento, el principio de conservación sólo por el tiempo necesario para los fines que fueron recolectados, y el establecimiento de una autoridad autónoma de control para la protección de datos personales. La Directiva incluye además una cláusula en virtud de la cual la transferencia de datos hacía terceros países depende de que estos últimos garanticen un nivel adecuado de protección de datos El Comité afirma: “10. La recopilación y el registro de información personal en computadoras, bancos de datos y otros dispositivos, tanto por las autoridades públicas como por las particulares o entidades privadas, deben estar reglamentados por la ley. Los Estados deben adoptar medidas eficaces para velar por que la información relativa a la vida privada de una persona no caiga en manos de personas no autorizadas por ley para recibirla, elaborarla y emplearla y por que nunca se la utilice para fines incompatibles con el Pacto. Para que la protección de la vida privada sea lo más eficaz posible, toda persona debe tener el derecho de verificar si hay datos personales suyos almacenados en archivos automáticos de datos y, en caso afirmativo, de obtener información inteligible sobre cuáles son esos datos y con qué fin se han almacenado. Asimismo, toda persona debe poder verificar qué autoridades públicas o qué particulares u organismos privados controlan o pueden controlar esos archivos. Si esos archivos contienen datos personales incorrectos o se han compilado o elaborado en contravención de las disposiciones legales, toda persona debe tener derecho a pedir su rectificación o eliminación.” Ver las sentencias T-414 de 1992, M.P. Ciro Angarita Barón; T-161 de 1993, M.P. Antonio Barrera Carbonell; y C-913 de 2010, M.P. Nilson Pinilla Pinilla. Cfr. sentencia T-340 de 1993, M.P. Carlos Gaviria Díaz. Ver las sentencia SU-082 de 1995, M.P. Jorge Arango Mejía y T-176 de 1995, M.P. Eduardo Cifuentes Muñoz. M.P. Jorge Arango Mejía. M.P. Eduardo Cifuentes Muñoz. M.P. Eduardo Montealegre Lynett. Ver también la sentencia C-1147 de 2001, M.P. Manuel José Cepeda Espinosa. “En este sentido, en sentencia T-414 de 1992, la Corte afirmó: "la libertad informática, consiste ella en la facultad de disponer de la información, de preservar la propia identidad informática, es decir, de permitir, controlar o rectificar los datos concernientes a la personalidad del titular de los mismos y que, como tales, lo identifican e individualizan ante los demás." Así mismo, en sentencia SU-082 de 1995, afirmó: "La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales." Y en la sentencia T-552 de 1997 afirmó: ‘...el derecho a la autodeterminación informativa implica, como lo reconoce el artículo 15 de la Carta Fundamental, la facultad que tienen todas las personas de “conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas’.” “El fundamento de validez de los llamados principios de la administración de datos personales, se encuentra en el segundo inciso del artículo 15 de la Constitución, el cual constituye en términos de la Corte, ‘el contexto normativo y axiológico dentro del cual debe moverse, integralmente el proceso informático’ y del cual derivan ‘unas reglas generales que deben ser respetadas para poder afirmar que el proceso de acopio, uso y difusión de datos personales sea constitucionalmente legítimo’, y que a su vez son el resultado ‘de la aplicación directa de las normas constitucionales al proceso informático’." M.P. Jaime Córdoba Triviño. Para su aprobación se exige mayoría absoluta y no simple, además, la ley debe aprobarse dentro de una sola legislatura y debe ser objeto de revisión previa por parte de la Corte Constitucional (artículos 153 y 441-8 de la Constitución). Ver sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis. M.P. Alejandro Martínez Caballero. Cfr. sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis. Cfr. sentencia C-055 de 1995, M.P. Alejandro Martínez Caballero. En este mismo sentido, en la sentencia C-037 de 1996, la Corte explicó que corresponde a las leyes estatutarias regular “(…) la estructura general de la administración de justicia y sobre los principios sustanciales y procesales que deben guiar a los jueces en su función de dirimir los diferentes conflictos o asuntos que se someten a su conocimiento” Cfr. sentencia C-580 de 2001, M.P. Clara Inés Vargas Hernández. Cfr. sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz. Cfr. sentencia C-226 de 1994, M.P. Alejandro Martínez Caballero. Ver también la sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis. En la sentencia C-313 de 1994, M.P. Carlos Gaviria Díaz, la Corte afirmó: “Obsérvese, finalmente, que la ley estatutaria se refiere, en cada caso, a un derecho determinado y su fin es desarrollar su ámbito a partir de su núcleo esencial definido en la Constitución”. Luego, en la sentencia C-408 de 1994, M.P. Fabio Morón Díaz, la Corte precisó: “(…) cuando de la regulación de un derecho fundamental se trata, la exigencia de que se realice mediante una ley estatutaria, debe entenderse limitada a los contenidos más cercanos al núcleo esencial de ese derecho, ya que se dejaría, según interpretación contraria, a la ley ordinaria, regla general legislativa, sin la posibilidad de existir; toda vez que, se repite, de algún modo, toda la legislación de manera más o menos lejana, se encuentra vinculada con los derechos fundamentales”. (negrilla fuera del texto) Ver también la sentencia C-981 de 2005, M.P. Clara Inés Vargas Hernández. En algunas sentencias no se habla de núcleo esencial sino de contenido mínimo del derecho o de elementos estructurales esenciales. Ver por ejemplo la sentencia C-646 de 2001, M.P. Manuel José Cepeda Espinosa. En este sentido, en la sentencia C-993 de 2004, M.P. Jaime Araujo Rentería, la Corte sostuvo: “Cuando una ley regule aspectos principales e importantes del núcleo esencial de un derecho fundamental, en este caso del habeas data, el proceso de formación de esta ley debe haber sido el de una ley estatutaria so pena de ser expulsada del ordenamiento jurídico por vicios de forma.” (negrilla fuera del texto). Ver sentencias C-425 de 1994, M.P. José Gregorio Hernández Galindo, C-247 de 1995, M.P. José Gregorio Hernández Galindo, C-374 de 1997, M.P. José Gregorio Hernández Galindo, C-251 de 1998, M.P. José Gregorio Hernández Galindo y M.P. Alejandro Martínez Caballero, C-1338 de 2000, M.P.(E) Cristina Pardo Schilesinger, C-981 de 2005, M.P. Clara Inés Vargas Hernández, y C-319 de 2006, M.P. Álvaro Tafur Galvis. Ver sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis. Esta tesis puede apreciarse en sentencias como la T-227 de 2003, M.P. Eduardo Montealegre Lynett, T-881 de 2002, M.P. Eduardo Montealegre Lynett, y T-760 de 2008, M.P. Manuel José Cepeda Espinosa. En la primer la Corte recordó que el concepto de dignidad humana evoluciona y, por tanto, también los derechos fundamentales. La Corte aseguró: “(…) el concepto de dignidad humana que ha recogido la Corte Constitucional únicamente se explica dentro del sistema axiológico de la Constitución y en función del mismo sistema. Así las cosas, la elevación a rango constitucional de la ‘libertad de elección de un plan de vida concreto en el marco de las condiciones sociales en las que el individuo se desarrolle’ y de ‘la posibilidad real y efectiva de gozar de ciertos bienes y de ciertos servicios que le permiten a todo ser humano funcionar en la sociedad según sus especiales condiciones y calidades, bajo la lógica de la inclusión y de la posibilidad de desarrollar un papel activo en la sociedad’, definen los contornos de lo que se considera esencial, inherente y, por lo mismo inalienable para la persona, razón por la cual se traduce en derechos subjetivos (entendidos como expectativas positivas (prestaciones) o negativas) cuyos contenidos esenciales están sustraídos de las mayorías transitorias. || En este orden de ideas, será fundamental todo derecho constitucional que funcionalmente esté dirigido a lograr la dignidad humana y sea traducible en un derecho subjetivo. Es decir, en la medida en que resulte necesario para lograr la libertad de elección de un plan de vida concreto y la posibilidad de funcionar en sociedad y desarrollar un papel activo en ella. Tal necesidad no está determinada de manera apriorística, sino que se define a partir de los consensos (dogmática del derecho constitucional) existentes sobre la naturaleza funcionalmente necesaria de cierta prestación o abstención (traducibilidad en derecho subjetivo), así como de las circunstancias particulares de cada caso (tópica). Así, por ejemplo, en la actualidad existe consenso en torno a la absoluta necesidad de que los procedimientos judiciales y administrativos estén fijados normativamente (principio de legalidad) y que prevean la posibilidad de controvertir pruebas, presentar las propias y de rebatir argumentos y ofrecer los propios (derecho de defensa), para que la persona pueda ser libre y activa en sociedad; mientras que serán las circunstancias concretas las que definan si una cirugía estética únicamente persigue intereses narcisistas o responden a una necesidad funcional, para que la persona pueda ser activa en sociedad (v. gr. alteraciones funcionales y dolor que exigen una reducción de senos). Resulta ejemplarizante la discusión en torno el reconocimiento de derechos fundamentales a personas jurídicas, en la cual el consenso logrado únicamente se explica por la necesidad de proteger elementos funcionalmente indispensables para la correcta operación jurídica de estas instituciones. || Lo anterior, debe precisarse, no implica que en sí mismo derechos constitucionales no tengan carácter fundamental. La existencia de consensos (en principio dogmática constitucional) en torno a la naturaleza fundamental de un derecho constitucional implica que prima facie dicho derecho se estima fundamental en sí mismo. Ello se explica por cuanto los consensos se apoyan en una concepción común de los valores fundantes de la sociedad y el sistema jurídico. Así, existe un consenso sobre el carácter fundamental del derecho a la vida, a la libertad y a la igualdad. Los consensos sobre la naturaleza fundamental de estos derechos claramente se explica por la imperiosa necesidad de proteger tales derechos a fin de que se pueda calificar de democracia constitucional y de Estado social de derecho el modelo colombiano. No sobra indicar que, en la actual concepción de dignidad humana, estos derechos son requisitos sine qua non para predicar el respeto por dicho valor.” Esta labor de delimitación y actualización es reconocida en la sentencia T-227 de 2003, en la que la Corte explicó que la definición de las obligaciones reclamables y que hace que una exigencia de la dignidad humana se traduzca en derecho subjetivo, es producto de decisiones constitucionales, legislativas e, incluso, jurisprudenciales. Ver las sentencias C-646 de 2001, M.P. Manuel José Cepeda Espinosa, C-319 de 2006, M.P. Álvaro Tafur Galvis. Las limitaciones generales son diferentes a las que surgen en el caso concreto a partir de ejercicios de ponderación cuando existe colisión entre derechos o entre derechos y otros principios constitucionales, y que en consecuencia solamente son aplicables al caso específico. Ver sentencia C-372 de 2011, M.P. Jorge Ignacio Pretelt Chaljub. Ver sentencia C-981 de 2005, M.P. Clara Inés Vargas Hernández. M.P. Jorge Ignacio Pretelt Chaljub. Ver Bignami, Francesca. “European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. Boston College Law Review, 2007. P.
609. La implementación en la hoy Unión Europea de un modelo centralizado con estándares comunes de protección persigue facilitar el flujo transfronterizo de datos, indispensable en ámbitos como la banca y los seguros, mediante la fijación de estándares adecuados de protección de datos. En aquellas circunstancias en la que no existe una ley de protección similar, se puede acudir a otro tipo de herramientas como los principios privados de puerto seguro (Safe Harbor Privacy Principles). Ver Bignami, Francesca. “European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. Boston College Law Review, 2007. P.
609. Ver Bignami, Francesca. “European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. Boston College Law Review, 2007. P.
609. Según la Red Iberoamericana de Protección de Datos, en el contexto de la protección de datos personales, la autorregulación hace referencia a “(…) las reglas adoptadas por las entidades para definir sus políticas y compromisos relativos al tratamiento de los datos personales.”. Ver Red Iberoamericana de Protección de Datos. Autorregulación y Protección de Datos Personales. Documento Elaborado por el Grupo de Trabajo reunido en Santa Cruz de la Sierra – Bolivia. Los días 3 a 5 de mayo de 2006. En sentido similar, la Comisión Europea se ha referido a la autorregulación como “el conjunto de normas que se aplican a una pluralidad de responsables del tratamiento que pertenezcan a la misma actividad profesional o al mismo sector industrial, cuyo contenido haya sido determinado fundamentalmente por miembros del sector industrial o profesión en cuestión”. Ver Comisión Europea. Grupo de Trabajo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Documento de trabajo DG XV D 5057 97: Evaluación de la autorregulación industrial: ¿En qué casos realiza una contribución significativa al nivel de protección de datos de un país tercero? Adoptado el 14 de enero de 1998. La implementación de esta ley ha sido limitada por su naturaleza federal y por la carencia de mecanismos para hacerla cumplir. Por ejemplo, la violación de algún mandato de esta ley solamente puede alegado ante las cortes en un proceso de responsabilidad con una finalidad indemnizatoria. Estos procesos, además, pocas veces dan lugar a decisiones a favor del titular del dato, debido a que es muy difícil el recaudo de la evidencia –especialmente en materias como defensa e inteligencia. Otras dificultad está relacionada con el ámbito de aplicación de la ley, pues su articulado menciona solamente “sistemas de archivos”, lo que ha dado lugar a debates sobre si rige también “bases de datos”. Finalmente, cabe mencionar que esta ley solamente es exigible a las autoridades federales, no a los particulares que llevan a cabo tratamiento de datos personales, y que para que se pueda declarar al responsabilidad de una autoridad es preciso probar su intención o voluntad de infringir la ley. Ver Bignami, Francesca. “European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. Boston College Law Review, 2007. P.
609. Ver Gregorio, Carlos G. “Protección de Datos Personales: Europa Vs. Estados Unidos, todo un dilema para América Latina” en Transparentar al Estado: la Experiencia Mexicana de Acceso a la Información. Universidad Autónoma de México, 2004. M.P. Jaime Córdoba Triviño. La Corte expresó lo siguiente: “(…) concurren varios argumentos para concluir que el proyecto de ley estatutaria objeto de examen constituye una regulación parcial del derecho fundamental al hábeas data, concentrada en las reglas para la administración de datos personales de carácter financiero destinados al cálculo del riesgo crediticio, razón por la cual no puede considerarse como un régimen jurídico que regule, en su integridad, el derecho al hábeas data, comprendido como la facultad que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en archivos y bancos de datos de naturaleza pública o privada. Para sustentar esta conclusión existen argumentos de carácter sistemático, teleológico e histórico”. M.P. Jaime Córdoba Triviño. Cfr. Corte Constitucional. Sentencia C-425 del 29 de septiembre de 1994 Ver, entre otras, las sentencias C-371 de 2000, M.P. Carlos Gaviria Díaz; y C-292 de 2003, M.P. Eduardo Montealegre Lynett. Ver, entre muchas otras, sentencias C-011 de 1994, C-179 de 1994, C-180 de 1994,.C-037 de 1996 y C-371 de 2000. M.P. Jorge Ignacio Pretelt Chaljub. M.P. Rodrigo Escobar Gil. Ver folios 492 a 501 del cuaderno de pruebas No. 2 (páginas 3 a 12 de la Gaceta) Ver folios 424 a 443 del cuaderno de pruebas No. 2 Ver folios 437 y 438 del cuaderno de pruebas No. 2 (páginas 14 y 14 de la Gaceta No. 625 de 2010) Ver folios 542 a 546 del cuaderno de pruebas No. 2 Ver folio 580 del cuaderno de pruebas No. 2 (página 24 de la Gaceta No. 957 de 2010) Ver folios 586 a 588 del cuaderno de pruebas No. 2 (páginas 12 a 14 de la Gaceta No. 958 de 2010) Cfr. Folios 557 a 568 del cuaderno de pruebas No.
2. Ver folio 561 del cuaderno de pruebas No. 2 (pág. 10 de la Gaceta No. 706 de 2010) No obra copia de la Gaceta dentro del expediente, pero el despacho del Magistrado Ponente logró ubicarla en la página web de la Secretaría del Senado de la República: http: servoaspr.imprenta.gov.co:7778 gacetap gaceta.nivel_3 Ver en folio 274 del cuaderno de pruebas No. 3 (página 54 y siguientes de la Gaceta No. 849 de 2010) También puede verificarse en la certificación suscrita por el Secretario General de la Cámara de Representantes el 15 de marzo de 2011, a folio 2 del cuaderno de pruebas No.
3. Ver en folio 279 del cuaderno de pruebas No. 3 (página 59 de la Gaceta No. 849 de 2010) Ver folios 158 a 169 del cuaderno de pruebas No. 3 (páginas 24 a 35 de la Gaceta) Ver folio 3 del cuaderno de pruebas No. 3 Ver folios 57 a 64 del cuaderno de pruebas No. 2 Ver folio 57 del cuaderno de pruebas No. 2 (página 9 de la Gaceta No. 833 de 2010) y folio 162 del cuaderno de pruebas No. 3 (página 28 de la Gaceta No. 868 de 2010) Ver folio 57 del cuaderno de pruebas No. 2 (página 9 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010) Ver folio 59 del cuaderno de pruebas No. 2 (página 11 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010) Ver folio 61 del cuaderno de pruebas No. 2 (página 13 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010). Ver folio 62 del cuaderno de pruebas No. 2 (página 14 de la Gaceta No. 833 de 2010) y folio 163 del cuaderno de pruebas No. 3 (página 29 de la Gaceta No. 868 de 2010). Ver folio 62 del cuaderno de pruebas No. 2 (página 14 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010). Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010). Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010). Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010). Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010). Ver folio 63 del cuaderno de pruebas No. 2 (página 15 de la Gaceta No. 833 de 2010) y folio 164 del cuaderno de pruebas No. 3 (página 30 de la Gaceta No. 868 de 2010). Ver folios 88 y siguientes del cuaderno de pruebas No. 4 Ver folios 13 a 36 del cuaderno de pruebas No. 4 Sentencia T-1037 08, Referencia: Expediente T-1829618, Magistrado ponente: Dr. JAIME CÓRDOBA TRIVIÑO Bogotá D.C., veintitrés (23) de octubre de dos mil ocho 2008). Ver folio 59 del cuaderno de pruebas No. 4 Ver folios 1 y 2 del cuaderno de pruebas No. 4 Ver certificación a folios 3 y 4 del cuaderno de pruebas No. 4 Ver folio 64 del cuaderno de pruebas No. 4 (página 5 de la Gaceta No. 39 de 2010) Ver folios 37 a 55 del cuaderno de pruebas No. 4 Ver folio 1 del cuaderno de pruebas No. 5 Ver folios 254 y 462 del cuaderno de pruebas No. 5 Ver certificación a folio 1 del cuaderno de pruebas No.
5. Igualmente, ver páginas 78 a 83 de la Gaceta No. 80 de 2011, a folios 179 a 182 del mismo cuaderno de pruebas. Ver 183 y 184 del cuaderno de pruebas No. 5 (páginas 82 y 83 de la Gaceta No. 80 de 2011. Ver folio 158 del cuaderno de pruebas No.
7. Ver folio 1 del cuaderno de pruebas No. 6 Ver folios 21 y 22 del cuaderno de pruebas No. 6 Ver folios 31 y 32 del cuaderno de pruebas No. 5 Ver folio 1 del cuaderno de pruebas No. 5 Ver acápite 2.1.2. (b), página 6, Supra. Ver acápite 2.1.4. (b), páginas 9 y 10, Supra. Ver acápite 2.2.3. (b), página 14, Supra. Ver acápite 2.2.5. (b), página 20, Supra. Ver acápite 2.3.2. (b), páginas 21 y 22, Supra. Ver acápite 2.3.3. (b), páginas 22 y 23, Supra. Así consta en el acta No. 12 de esa misma fecha, publicada en la Gaceta del Congreso No. 958 del 24 de noviembre de 2010. Ver Acta No. 23 de la misma fecha, publicada en la Gaceta del Congreso 849 del 2 de noviembre de 2010. Según consta en el Acta No. 33 de la misma fecha, publicada en la Gaceta del Congreso 39 del 11 de febrero de 2011. Sesión Plenaria contenida en el Acta No. 34 de la misma fecha, publicada en la Gaceta del Congreso No. 80 del 11 de marzo de 2010. Así se observa en el Acta No. 43 de la sesión plenaria de la Cámara de Representantes de esa fecha, contenida en la Gaceta del Congreso No. 237 del 6 de mayo de 2011. E igualmente, en el Acta No. 35 de la sesión plenaria del Senado de la República de la misma fecha, contenida en la Gaceta del Congreso No. 81 del 14 de marzo de 2011 Cfr. Sentencia C-644 de 2004, M.P. Rodrigo Escobar Gil, Auto 038 de 2004 M.P. Manuel José Cepeda Espinosa y Sentencia C-533 de 2004 M.P. Álvaro Tafur Galvis Auto A-089 de M.P.: Manuel José Cepeda Espinosa; SV: Jaime Araujo, Alfredo Beltrán, Jaime Córdoba y Clara Inés Vargas. Sentencia C-576 de 2006 Así consta en el Acta No. 11 de esa fecha, publicada en la Gaceta del Congreso No. 957 del 24 de noviembre de 2010 Según consta en el Acta No. 12 de esa misma fecha, publicada en la Gaceta del Congreso No. 958 del 24 de noviembre de 2010. Tal como consta en el Acta No. 22 de la misma fecha, publicada en la Gaceta del Congreso 925 del 18 de noviembre de 2010. Así se observa en el Acta No. 23 de la misma fecha, publicada en la Gaceta del Congreso 849 del 2 de noviembre de 2010 Sesión contenida en el Acta No. 32 de esa fecha, publicada en la Gaceta del Congreso No. 38 del 11 de febrero de 2011 Como consta en el Acta No. 42 de esa fecha, publicada en la Gaceta del Congreso No. 287 del 20 de mayo de 2011 Ver sentencia C-486 de 2009, M.P. María Victoria Calle Correa. La Corte ha señalado claramente que un vicio por desconocimiento del principio de unidad de materia tiene carácter sustancial y, por tanto, “no es subsanable” (Sentencia C-025 de 1993. M.P. Eduardo Cifuentes Muñoz); y “por ende la acción contra una norma legal por violar el artículo 158 de la Carta no caduca” (Sentencia C-531 de 1995. M.P. Alejandro Martínez Caballero). Ver además las sentencias C-256 de 1998 M.P. Fabio Morón Díaz, C-006 de 2001 M.P. Eduardo Montealegre Lynett, C-501 de 2001 M.P. Jaime Córdoba Triviño, C-120 de 2006 MP. Alfredo Beltrán Sierra, C-506 de 2006 M.P. Clara Inés Vargas Hernández, C-211 de 2007 M.P. Álvaro Tafur Galvis, C-214 de 2007 M.P. Álvaro Tafur Galvis y C-230 de 2008 M.P. Rodrigo Escobar Gil. La Corte, entre otras, en la Sentencia C-501 de 2001 (MP. Jaime Córdoba Treviño), en lo referente al proceso de elaboración de la ley, ha reconocido como manifestaciones del principio de unidad de materia, i) la atribución conferida a los presidentes de las comisiones legislativas de rechazar los proyectos de ley que no se refieran a una sola materia, y ii) concretar el principio democrático en el proceso legislativo al propender porque la iniciativa, los debates y la aprobación de las leyes se atengan a unas materias predefinidas desde el surgimiento mismo de la propuesta y que en esa dirección se canalicen las discusiones y los aportes previos a la promulgación de la ley M.P. Jorge Ignacio Pretelt Chaljub Cfr. Sentencia C-025 de 1993, M.P. Eduardo Cifuentes Muñoz. En el mismo sentido, ver también la Sentencia C-1067 de 2008, M.P. Marco Gerardo Monroy Cabra. Ver íbidem Cfr. ibídem Sentencia C-714 de 2008, M.P. Nilson Pinilla Pinilla. Cfr. Sentencia C-786 de 2004, M.P. Marco Gerardo Monroy Cabra. Ibídem Cfr. Sentencias C-025 de 1993, M.P. Eduardo Cifuentes Muñoz, reiterada en la Sentencia C-992 de 2001, M.P. Rodrigo Escobar Gil. Ver Sentencia C-1025 de 2001. MP Manuel José Cepeda Espinosa El segundo inciso del artículo 160 Superior establece: “Durante el segundo debate cada cámara podrá introducir al proyecto las modificaciones, adiciones y supresiones que juzgue necesarias”. Los numerales 2 y 3 del artículo 157 de la Carta señalan: “Ningún proyecto será ley sin los requisitos siguientes:(…)2º) Haber sido aprobado en primer debate en la correspondiente comisión permanente de cada cámara (…).3º) Haber sido aprobado en cada cámara en segundo debate(…)” Sobre la caracterización del principio de identidad, ver sentencias C-141 de 2010, M.P. Humberto Antonio Sierra Porto; C-539 de 2008, M.P. Humberto Antonio Sierra Porto; C-178 de 2007, M.P. Manuel José Cepeda Espinosa; C-305 de 2004, M.P. Marco Gerardo Monroy Cabra; C-312 de 2004, M.P. Alfredo Beltrán Sierra; C-1056 de 2003, M.P. Alfredo Beltrán Sierra; C-1147 de 2003, M.P. Rodrigo Escobar Gil; C- 801 de 2003, M.P. Jaime Córdoba Triviño; C-839 de 2003, M.P. Jaime Córdoba Triviño; C-922 de 2001, M.P. Marco Gerardo Monroy Cabra; C-950 de 2001, M.P. Jaime Córdoba Triviño; y C-1488 de 2000, M.P. Martha Victoria Sáchica Méndez. M.P. Humberto Antonio Sierra Porto Sentencia C-208 de 2005 “resulta contrario al principio de consecutividad en la aprobación de las leyes que un texto propuesto en el seno de las comisiones no sea sujeto al trámite correspondiente, sino que, simplemente, se delegue su estudio a las plenarias de cada cámara, puesto que tal situación, en la que la comisión correspondiente renuncia a su competencia constitucional a favor de las plenarias, impide que se efectúe debidamente el primer debate del proyecto de ley, desconociéndose con ello lo dispuesto en el inciso 2º del artículo 157 C.P.” Sentencias C-801 de 2003, C-839 de 2003, C-1113 de 2003, C-1056 de 2003, C-1147 de 2003 y C-1152 de 2003, 1092 de 2003, C-312 de 2004, C-313 de 2004, C-370 de 2004, C-372 de 2004. M.P. Jorge Ignacio Pretelt Chaljub Se aclara que se analizarán los cambios en el contenido de las disposiciones, pues, por impertinentes, no será objeto de estudio aquellas modificaciones relacionadas con la redacción, gramática o terminología. Ver Gaceta No. 488 de 2010. Folio 493 del cuaderno de pruebas No.2 Ver Gaceta No. 625 de 2010. Folio 425 del cuaderno de pruebas No. 2 Folio 493 del cuaderno de pruebas No. 2 Páginas 11 y 12 de la Gaceta No. 488 de 2010 –donde se publicó el proyecto de ley y su exposición de motivos- (folios 494 y 495 del cuaderno de pruebas No.
2) En página 10 de la Gaceta del Congreso No. 1023 de 2010, a folio 22 del cuaderno de pruebas No. 4 Ver:
1. Gaceta No. 488 de 2010, donde se encuentra publicado el proyecto de ley.2. Gaceta No. 625 de 2010, en la que se publicó la ponencia para primer debate en Cámara de Representantes.
3. Gaceta No. 958 de 2010, que contiene el Acta No. 12 del 14 de septiembre de 2010, cuando se aprobó el proyecto en primer debate.4. Gaceta No. 706 de 2010, publicación ponencia segundo debate5. Gacetas 849 y 868 de 2010, que contienen las actas No. 23 y 24 del 13 y 19 de octubre de 2010, respectivamente, donde constan las discusiones y aprobación del proyecto en segundo debate. Ver Gaceta del Congreso No. 60 del 28 de febrero de 2011 a folios 90 a 94 del cuaderno de pruebas No. 4 En página 10 de la Gaceta del Congreso No. 1023 de 2010, a folio 22 del cuaderno de pruebas No. 4 Ver las Gacetas No. 1101 y 1102 de 2010 donde se encuentra publicado el informe de la Comisión Accidental de Conciliación. M.P. Manuel José Cepeda Espinosa Sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz. C-222 de 1997, M.P. José Gregorio Hernández Galindo, donde la Corte examina la constitucionalidad de una modificación introducida a un Acto Legislativo durante el segundo período y precisa las reglas sobre trámite de leyes que son aplicables a los actos legislativos. Así lo reconoció la Corte en la sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz, en donde la Corte examina una demanda contra la Ley 1ª de 1991 (Estatuto de Puertos Marítimos), demandada, entre otras cosas, porque como en la discusión de la ley en las sesiones de la Comisión III de la Cámara de Representantes y en las sesiones plenarias de Cámara y Senado, no había habido controversia ni posiciones enfrentadas, no había existido por lo tanto debate. La Corte rechaza esta visión coloquial de “debate” y precisa que debe acudirse a la definición legal. En este sentido, la Sentencia C-222 de 1997, M.P. José Gregorio Hernández Galindo establece que el debate es un requisito indispensable de la decisión y que en virtud de su importancia constitucional se estableció la necesidad de que exista un quórum deliberatorio. Ver, entro otras, las sentencias C-141 de 2010, M.P. Humberto Antonio Sierra Porto; C-033 de 2009, M.P. Manuel José Cepeda Espinosa; C-1488 de 2000, M.P. Martha Victoria Sáchica Méndez; C-702 de 1999, M.P. Fabio Morón Díaz. Ver Sentencia C-141 de 2010, M.P. Humberto Antonio Sierra Porto Siempre y cuando haya acaecido luego de completarse una de las etapas estructurales del proceso legislativo, esto es, el debate y aprobación del proyecto de ley tanto en comisión como en plenaria de una de las cámaras. Ver, entre otras, las providencias Auto 309 de 2009, M.P. Juan Carlos Henao Pérez; Auto 081 de 2008, M.P. Jaime Córdoba Triviño; Sentencia C-241 de 2006, M.P. Marco Gerardo Monroy Cabra; C-576 de 2006, M.P. Manuel José Cepeda Espinosa. Ver la sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett. El interviniente plantea de manera puntual los siguientes interrogantes: “(…) en Colombia existen muchos archivos de entidades públicas y privadas que contienen datos personales. Por ejemplo, los comerciantes tienen datos personales sobre sus clientes, y a pesar de que en Colombia existe una normativa sobre la regulación de los archivos, ésta se encuentra dispersa y se refiere al tratamiento correcto de los archivos pero no al tratamiento de los datos personales. Lo anterior, es una razón para no excluir del ámbito de aplicación del proyecto de ley bajo estudio, la información personal que reposa en archivos.” Agrega que “es de suma relevancia que la información personal que reposa en los archivos de entidades públicas o privadas sea tratada observando el contenido del artículo 15 Superior como también las reglas jurisprudenciales que ha desarrollado esta Corporación, en el sentido de reconocer que las bases de datos y los archivos son figuras diferentes.” Cfr. sentencia T-443 de 1994, M.P. Eduardo Cifuentes Muñoz. M.P. Jaime Córdoba Triviño. La Corte expresó lo siguiente en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño: “No obstante esta comprobación, la Corte advierte necesario estipular que la legitimidad constitucional de la consagración de ámbitos de exclusión a las reglas contenidas en el Proyecto de Ley no significa, de ningún modo, que tanto esos ámbitos, como todos aquellos en los que se llevan a cabo labores de recopilación, tratamiento y circulación de datos personales, estén excluidos de la protección que incorpora el derecho fundamental al hábeas data y, en general, la libertad y las demás garantías en la Constitución, según la fórmula establecida en el artículo 15 C.P. y conforme a los principios identificados por la jurisprudencia constitucional y descritos en el apartado 2 del presente análisis material. Por lo tanto, en cada una de las actividades de gestión de datos personales deberá cumplirse con el plexo de derechos, libertades y garantías propias del derecho fundamental al hábeas data, según las consideraciones expresadas a lo largo de esta sentencia. Inclusive, la Sala advierte que las mismas normas de la ley estatutaria, en cuanto prevén los principios de administración de datos personales, al igual que los derechos y deberes de titulares, fuentes y usuarios; pueden servir de parámetro para la evaluación de la legitimidad de otras modalidades de tratamiento de información personal, en tanto dichos preceptos resulten pertinentes y aplicables. Esta conclusión se soporta en el hecho que la promulgación de una disposición estatutaria no desvirtúa el valor normativo del Texto Constitucional y la aplicación inmediata de las disposiciones que consagran los derechos fundamentales (Art. 85 C.P.).” Si bien es cierto esta observación se refiere al derecho a la intimidad, como se explicó en apartes previos, el derecho al habeas data en el sistema universal de protección de derechos humanos se sigue garantizando por intermedio del derecho a la intimidad, pues la autonomía del primero aún no ha sido reconocida, por lo menos a nivel de los tratados internacionales. Por ejemplo, en la sentencia T-396 de 1998, M.P. Antonio Barrera Carbonell, la Corte sostuvo que entes que cumplen funciones administrativas no pueden establecer excepciones a las reglas de una ley estatutaria, pues ese es un asunto de competencia exclusiva del legislador estatutario. El Comité explicó lo siguiente al respecto en la Observación General 16: “Con la introducción del concepto de arbitrariedad se pretende garantizar que incluso cualquier injerencia prevista en la ley esté en consonancia con las disposiciones, los propósitos y los objetivos del Pacto y sea, en todo caso, razonable en las circunstancias particulares del caso.” El artículo 2 de la Ley 1266 dispone al respecto: “(…) quedan excluidos de la aplicación de la presente ley aquellos datos mantenidos en un ámbito exclusivamente personal o doméstico y aquellos que circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales”. También fueron tratadas como dos hipótesis diferentes en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño, en la que la Corte manifestó sobre el contenido del inciso quinto del artículo 2: “(…) la Sala considera oportuno identificar dos contenidos diferenciados, que se predican del inciso quinto. El primero, que prescribe la inaplicabilidad de la normatividad estatutaria a aquellos datos que mantenidos en un ámbito personal o doméstico. El segundo, relacionado con la exclusión de la aplicación de la norma estatutaria respecto de los datos que circulan internamente, esto es, que no se suministran a otras personas naturales jurídicas.” En la Ley 1266 el legislador decidió darles el mismo tratamiento, es decir, resolvió excluir las dos hipótesis de la aplicación de sus disposiciones; sin embargo, como explicó esta Corte en la sentencia C-1011 de 2008, ello se debió a que la Ley 1266 se refiere exclusivamente a los datos personales financieros y comerciales destinados a calcular el riesgo crediticio de las personas, ámbito en el que sí es razonable excluir los datos que circulan internamente, pues no pueden ser usados precisamente para calcular el riesgo crediticio. M.P. Eduardo Montealegre Lynett y Clara Inés Vargas Hernández. En la sentencia C-251 de 2002, M.P. Eduardo Montealegre Lynett y Clara Inés Vargas Hernández, la Corte explicó lo siguiente: “La posibilidad de imponer deberes en materia de orden público y defensa se encuentra además delimitada por la propia Carta, que atribuye ese papel fundamentalmente a la Fuerza Pública. Así, a las Fuerzas Militares corresponde la defensa de la soberanía, la independencia, la integridad del territorio nacional y del orden constitucional, mientras que la Policía debe mantener las condiciones necesarias para el ejercicio de los derechos y libertades públicas, y asegurar que los habitantes de Colombia convivan en paz (CP arts 217 y 218). Esto significa que es la Fuerza Pública la garante de la convivencia ciudadana, y no puede trasladarse a los propios ciudadanos esa función, sin desnaturalizar la estructura constitucional del Estado colombiano, como se explicará posteriormente.” Cfr. Sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño. En la sentencia C-251 de 2002, M.P. Eduardo Montealegre Lynett y Clara Inés Vargas Hernández, la Corte expresó: “Así, esa fórmula constitucional implica una proscripción de cualquier asomo totalitario. En efecto, como es sabido, los Estados totalitarios –como el nazismo y el fascismo- que se desarrollaron en Europa entre las dos guerras mundiales, tenían algunos rasgos distintivos: eran no sólo regímenes de terror sino naciones en donde no existían límites entre el Estado y la sociedad, de suerte que la sociedad era absorbida por el Estado. Además, en ese tipo de sociedades las personas estaban al servicio del Estado, que era considerado un fin en sí mismo. En radical oposición a ese tipo de filosofías políticas, la Carta de 1991, que es esencialmente personalista y no estatalista, hace de la dignidad y los derechos de la persona la base del Estado, y por ello, en vez de poner al individuo al servicio del Estado, pone a las autoridades al servicio de la comunidad y de las personas (CP arts 1°, 2° y 5°). “El sujeto, razón y fin de la Constitución de 1991 es la persona humana”, ha reiterado esta Corte desde sus primeras decisiones. Y por consiguiente, es claro que están proscritas de nuestro ordenamiento constitucional las políticas que permitan una absorción de la sociedad por el Estado, o la instrumentación de las personas en beneficio del simple engrandecimiento y glorificación del Estado. 9- Estos rasgos definitorios del Estado colombiano, tienen implicaciones evidentes sobre las políticas de seguridad y defensa. Si el Estado se fundamenta en la dignidad y derechos de la persona, entonces la preservación del orden público no es una finalidad en sí misma sino que constituye, como esta Corte lo ha dicho, ‘un valor subordinado al respeto a la dignidad humana’, por lo que, ‘la preservación del orden público lograda mediante la supresión de las libertades públicas no es entonces compatible con el ideal democrático’. Y de otro lado, si el Estado está al servicio de la comunidad y de las personas, entonces corresponde obviamente a las autoridades del Estado proteger y ser garantes de la seguridad de las personas, y no a las personas proteger y ser garantes de la seguridad del Estado.” M.P. Jaime Córdoba Triviño. De forma similar, en la sentencia C-127 de 1993, M.P. Alejandro Martínez Caballero, la Corte concluyó “que la comunidad internacional ha reconocido en forma unánime y reiterada que el terrorismo es un delito que por ser atroz tiene un trato distinto.” Luego, en la sentencia C-762 de 2002, M.P. Rodrigo Escobar Gil, la Corte reconoció que el terrorismo afecta gravemente distintos derechos fundamentales y, por tanto, se trata de una conducta cuya necesidad de investigación y sanción ha sido previsto por las normas del derecho internacional, entre ellas aquellas que tienen carácter de ius cogens. Ver también las sentencias C-1055 de 2003, M.P. Marco Gerardo Monroy Cabra, y C-037 de 2004, M.P. Jaime Córdoba Triviño. Ver sentencia C-931 de 2007, M.P. Marco Gerardo Monroy Cabra. La Corte expresó lo siguiente en dicha oportunidad: “En efecto, en los últimos tiempos, las organizaciones delictivas se han incorporado al mundo globalizado para aprovechar sus beneficios tecnológicos y comerciales. El desarrollo de los medios de comunicación, del comercio electrónico, de los medios de transporte ha permitido la sofisticación de los mecanismos delictivos, haciendo cada vez más difícil la detección de los responsables, así como más ardua la aprehensión de sus ganancias.” La necesidad de dar aplicación a los principios del habeas data en las labores de detección de la financiación de terrorismo ya había sido anunciada por la Corte en la sentencia C-537 de 2008, M.P. Jaime Córdoba Triviño, en la que la Corporación explicó: “(…) el intercambio de información financiera que prevén las disposiciones analizadas deberá, en todo caso, estar precedido de la garantía del derecho a la autodeterminación informativa de los afectados con las medidas, en los términos del artículo 15 C.P. Por lo tanto, las acciones que ejecute el Estado con el fin de cumplir con sus compromisos en la interdicción de recursos destinados a la financiación del terrorismo, deberán garantizar que los titulares de la información conserven la facultad de conocer, actualizar y rectificar los datos concernidos. De la misma manera, el tratamiento de esa información estará supeditado a la eficacia de los principios de libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad, conforme lo ha precisado la jurisprudencia constitucional.” Informe publicado en la Gaceta No. 1080 del 13 de diciembre de 2010. M.P. Alejandro Martínez Caballero y Jorge Arango Mejía. M.P. Nilson Pinilla Pinilla. En la sentencia T-066 de 1998, M.P. Eduardo Cifuentes Muñoz, la Corte resaltó la importancia de las labores de inteligencia en un estado constitucional así: “(…) se pregunta la Corte si los organismos de seguridad están autorizados para recopilar informaciones sobre las personas. Este interrogante ya ha sido respondido de manera afirmativa por esta Corporación. Ello con fundamento en la obligación del Estado de velar por la vigencia del orden constitucional y brindarle a los asociados tanto las condiciones necesarias para el ejercicio de los derechos y las libertades como un ambiente de paz, deberes éstos cuyo cumplimiento reposa en muy importante grado en las fuerzas militares y la policía nacional (C.P., arts. 217 y 218)”. En la sentencia T-066 de 1998, M.P. Eduardo Cifuentes Muñoz, la Corte ya había precisado que si bien el recaudo de datos personales para actividades de inteligencia y contrainteligencia es autorizado por la Constitución, en todo caso debe respetar los derechos fundamentales, el debido proceso y los principios de reserva, necesidad y finalidad propios del habeas data. La Corte expresó: “Mas esta facultad no es ilimitada. Obsérvese que en el mismo aparte transcrito se establece que en el proceso de acopio de información se deben respetar los derechos humanos y el debido proceso. Además, en la misma sentencia se estableció que los aludidos organismos de seguridad deben mantener la más estricta reserva sobre los datos obtenidos, es decir que “no pueden difundir al exterior la información sobre una persona, salvo en el único evento de un ‘antecedente’ penal o contravencional, el cual permite divulgar a terceros la información oficial sobre una persona(…)De otra parte, ha de tenerse en cuenta que la información que se recopila ha de ser la estrictamente necesaria, de manera que no se afecte el derecho de los asociados a la intimidad. Además, para que se emprenda una investigación sobre determinadas personas deben existir motivos que permitan presumir de manera razonable que ellas pueden haber incurrido en un ilícito. De no existir esta última condición se abrirían las puertas a un Estado controlador, en desmedro de la libertad de los ciudadanos.” Ver sentencias T-444 de 1992, M.P. Alejandro Martínez Caballero; T-525 de 1992, M.P. Ciro Angarita Barón; y T-066 de 1998, M.P. Eduardo Cifuentes Muñoz. Según estas sentencias, la información de inteligencia y contrainteligencia es reservada y, en consecuencia, no puede ser revelada a los medios de comunicación o en “ruedas de prensa”. Además, en la primera sentencia, la Corte aseguró: “(…) de suerte que pueda incluso recopilar y archivar información sobre una persona, en el marco de sus legítimas y democráticas funciones, siempre y cuando no divulgue ni de a la publicidad por ningún medio la información sobre esa persona, salvo el evento que ella tenga antecedentes penales o contravencionales, esto es, que tenga una condena proferida en sentencia judicial definitiva, como lo dispone el artículo 248 constitucional, que se reproduce en el artículo 12 del código de procedimiento penal, como principio rector del nuevo ordenamiento procedimental.” Ver sentencia T-634 de 2001, M.P. Jaime Araujo Rentería. Ver Bignami, Francesca. “European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. Boston College Law Review, 2007. P.
609. M.P. Manuel José Cepeda Espinosa M.P. Jaime Córdoba Triviño. Ver sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett. Cfr. Sentencia T-414 de 1992, M.P. Ciro Angarita Barón. Ver sentencias T-729 de 2002, M.P. Eduardo Montealegre Lynett; C-491 de 2007, M.P. Jaime Córdoba Triviño; y C-1011 de 2008, M.P. Jaime Córdoba Triviño, y artículo 3 de la Ley 1266. M.P. Vladimiro Naranjo Mesa. M.P. Jaime Córdoba Triviño. La Corte expresó: “Aunque el precedente citado ha contemplado que la información de esta condición es propia de las personas naturales, en criterio de la Sala nada se opone a que la categoría se extienda a las personas jurídicas. Ello debido a que, en consonancia con lo señalado a propósito del análisis de constitucionalidad del literal a) del artículo objeto de examen, la aplicación del derecho al hábeas data financiero y, en general, de los principios de administración de datos personales, se predica a favor de todo sujeto jurídico que esté en capacidad de producir información susceptible de ser objeto de los actos de recolección, tratamiento y circulación a que refiere el artículo 15 C.P. En consecuencia, es compatible con la Carta Política que dentro de la definición de dato personal, se incluya el producido por las personas jurídicas, pues éstas son titulares del derecho al hábeas data.” (negrilla fuera del texto). Estos conceptos parecen ser tomados del artículo 2 de la Directiva 95 46 CE, que los define así: «responsable del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario; «encargado del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trate datos personales por cuenta del responsable del tratamiento. GRUPO DEL ARTÍCULO 29 SOBRE PROTECCIÓN DE DATOS. Este Grupo se creó en virtud del artículo 29 de la Directiva 95 46 CE. Se trata de un órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad. . Sobre la importancia de esta diferenciación, el Dictamen 1 2010 del 16 de febrero de 2010 indica: “(…) la aplicación concreta de los conceptos de responsable del tratamiento de datos y encargado del tratamiento de datos se está haciendo cada vez más compleja. Esto se debe ante todo a la creciente complejidad del entorno en el que se usan estos conceptos y, en particular, a una tendencia en aumento, tanto en el sector privado como en el público, hacia una diferenciación organizativa, combinada con el desarrollo de las TIC y la globalización, lo cual puede dar lugar a que se planteen cuestiones nuevas y difíciles y a que, en ocasiones, se vea disminuido el nivel de protección de los interesados”. En la Directiva 1 2010 sobre el concepto de encargado del tratamiento, se afirma: “(…) para poder actuar como encargado del tratamiento tienen que darse dos condiciones básicas: por una parte, ser una entidad jurídica independiente del responsable del tratamiento y, por otra, realizar el tratamiento de datos personales por cuenta de éste” En el artículo 2 de la Ley 25.326 de 2000, el legislador argentino hizo referencia al responsable de archivo, registro, base o banco de datos como el titular del respectivo archivo, registro, base o banco de datos. En Uruguay, la Ley 18.331 de 2008, define en el artículo 7 al responsable como el “propietario de la base de datos o que decida sobre la finalidad, contenido y uso del tratamiento”. La Ley Orgánica de Protección de Datos Personales española de 1999, define al responsable del tratamiento la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. La Ley 19.628 de 1999 en Chile y la Ley 8969 de 2011 en Costa Rica, definen al responsable como la persona que “administre, gerencie o se encargue de la base de datos, (…) con arreglo a la ley, para decidir cuál es la finalidad de la base de datos, cuáles categorías de datos de carácter personal deberán registrase y qué tipo de tratamiento se les aplicarán”. La fuente es definida por el artículo 3 de la Ley 1266 así: “b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos;” El usuario es definido por el artículo 3 de la Ley 1266 así: “d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos;” La Directiva afirma: “La determinación del «fin» del tratamiento es competencia del «responsable del tratamiento». Por consiguiente, quien quiera que tome esta decisión es (de facto) el responsable del tratamiento. Éste puede delegar la determinación de los «medios» del procesamiento en la medida en que se trate de cuestiones técnicas u organizativas. Las cuestiones de fondo que sean esenciales a efectos de la legitimidad del tratamiento son competencia del responsable del tratamiento. Una persona o un ente que decida, por ejemplo, cuánto tiempo se almacenarán los datos o que tenga acceso a los datos tratados actúa como responsable del tratamiento respecto de esta parte del uso de los datos y, por tanto, debe cumplir todas las obligaciones que incumben a un responsable del tratamiento.” Sobre el particular el Dictamen de 2010 precisó “…existe control conjunto cuando las diferentes partes determinan, respecto de unas operaciones de tratamiento específicas, o bien los fines o bien aquellos elementos esenciales de los medios que caracterizan al responsable del tratamiento.“No obstante, en el contexto del control conjunto, la participación de las partes en la determinación conjunta puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales. De hecho, cuando son varios los agentes, estos pueden tener una relación muy estrecha entre sí (y compartir, por ejemplo, todos los fines y medios de un tratamiento), o bien una relación más laxa (y, por ejemplo, compartir sólo los fines o los medios, o una parte de éstos). Por lo tanto, debe tomarse en consideración una amplia variedad de tipologías de control conjunto y analizarse sus consecuencias legales, procediendo con cierta flexibilidad para tener en cuenta la creciente complejidad de la realidad actual del tratamiento de datos. Habida cuenta de estas circunstancias, es necesario examinar los diferentes grados de interacción o relación que pueda haber entre las múltiples partes implicadas en el tratamiento de datos personales. En primer lugar, el mero hecho de que diferentes partes cooperen en el tratamiento de datos personales, por ejemplo en cadena, no implica que sean conjuntamente responsables del tratamiento en todos los casos, puesto que un intercambio de datos entre dos partes que no compartan fines y medios para un conjunto de operaciones comunes podría considerarse solamente como una transferencia de datos entre responsables del tratamiento que actúan por separado.” Ibídem Pág. 194 En relación con este punto la Directiva 10 es enfática en señalar lo siguiente: “Habida cuenta de estas circunstancias, cabe argumentar que la responsabilidad solidaria de todas las partes implicadas debe considerarse un medio para eliminar incertidumbres y, en consecuencia, sólo debe presumirse que existe tal responsabilidad solidaria cuando las partes implicadas no hayan establecido una asignación alternativa, clara e igualmente eficaz de las obligaciones y responsabilidades o cuando ésta no emane claramente de las circunstancias de hecho” pág.
27. Cfr. sentencia SU-1193 de 2000. Estándares internacionales sobre protección de datos personales y privacidad, aprobados el 5 de noviembre de 2009 en Madrid en el marco de la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad. Definición que coincide en gran parte con la contenida en la Directiva 9546 del Parlamento Europeo y del Consejo del 24 de octubre de 1995. Por ejemplo, la Constitución española en su artículo 18.4 señala que la ley limitará el uso de la informática, de donde algunos autores deducen que las regulaciones para el procesamiento de datos solo comprende los procesos automatizados. García González, Aristeo. La protección de datos personales: derecho fundamental del siglo
XXI. Un estudio comparado Boletín Mexicano de Derecho Comparado [en línea] 2007, XL (Septiembre-Diciembre) : Disponible en: <http: redalyc.uaemex.mx redalyc src inicio ArtPdfRed.jsp?iCve=42712003> ISSN 0041-8633 Ob cit Lusky, L., “Invasion of Privacy: a Clarification of Concepts. Citado por García González Aristeo. Ob cit M.P. Juan Carlos Henao Pérez M.P. Eduardo Montelagre Lynett Véase esta cualificación del consentimiento como libre, previo y expreso, en sentencia SU-082 de 1995 (consideraciones sexta y décima). Así mismo en sentencias T-097 de 1995, T-552 de 1997 T-527 de 2000 y T-578 de 2001. M.P. Eduardo Montealegre Lynett En la sentencia T-022 de 1993, la Corte reconoce la existencia de un "verdadero interés general" en la actividad de administración de los datos personales de contenido crediticio, cuando con la misma en términos de la Corte se "satisfaga la exigencia de dicho interés", es decir, cuando la divulgación de la información se ajuste única y exclusivamente a la finalidad para la cual se administra: que las entidades financieras puedan medir el crédito y el nivel de riesgo de sus futuros clientes. Cfr. sentencia T-729 de 2002. Sobre el principio de veracidad, en las sentencias SU-082 de 1995 y SU-089 de 1995, la Corte afirmó como contenido del derecho al habeas data, la facultad de solicitar la rectificación de la información que no corresponda a la verdad (consideración quinta) Así mismo afirmó que no existe derecho alguno a "divulgar información que no sea cierta" (consideración sexta). Reiterada en la sentencia T-097 de 1995. Véase igualmente sentencias T-527 de 2000 y T-578 de 2001, entre otras. En la sentencia T-1085 de 2001, la Corte tuteló el derecho al habeas data al considerar que la entidad administradora vició de parcialidad la información, al suministrar datos negativos sin haber atendido la petición de dación en pago que presentara el actor. Sentencia T-729 de2002 Sobre el alcance de la obligación de retirar la información negativa, la Corte, en sentencia T-022 de 1993, afirmó que una vez satisfechos los presupuestos para solicitar la cancelación de los datos, "ésta deberá ser total y definitiva. Vale decir, la entidad financiera no podrá trasladarlos ni almacenarlos en un archivo histórico. Tampoco limitarse a hacer una simple actualización del banco de datos cuando lo procedente es la exclusión total y definitiva del nombre del peticionario favorecido con la tutela. Porque ello no sólo iría en menoscabo del derecho al olvido sino que se constituiría en instrumento de control apto para prolongar injerencias abusivas o indebidas en la libertad e intimidad de su titular." Sobre la descripción de este riesgo, la Corte, en sentencia T-414 de 1992, afirmó: "Es preciso, de otra parte, recordar que a partir de la década del cincuenta máquinas tales como los computadores han hecho posible no sólo crear e interconectar enormes "bancos de datos" que pueden suministrar inmediatamente una vasta cantidad de información personal a grandes distancias y en forma más comprensiva, sino también establecer correlaciones entre datos que aisladamente son las más de las veces inofensivos pero que reunidos pueden descubrir aspectos cuya revelación atenta contra la libertad e intimidad del ciudadano." La “Resolución de Madrid” es un documento producto de la “Propuesta Conjunta para la Redacción de Estándares Internacionales para la protección de la Privacidad, en relación con el Tratamiento de Datos de carácter personal”, acogido favorablemente por la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad, celebrada el 5 de noviembre de 2009 en Madrid. El límite al procesamiento de datos significa que este debe ser adecuado, relevante y no excesivo frente a los propósitos para los cuales se recabaron. La necesidad indica que debe hacerse lo posible para limitar el procesamiento de datos a lo estrictamente necesario. Está referido a que el controlador de datos debe ofrecer a la persona la información suficiente para que esta tenga la opción de establecer una relación de transparencia con aquel. Sostiene que el controlador de datos es responsable de adoptar todas las medidas necesarias para seguir las pautas del procesamiento de datos personales que imponga la legislación nacional u otra autoridad competente. Señala que las transferencias internacionales de datos sólo deberán efectuarse si el país receptor, ofrece, como mínimo, el mismo nivel de protección de datos personales que brindas los principios aquí reseñados.Adicionalmente, este principio desarrolla los factores para determinar si un país receptor otorga las normas mínimas de protección de datos: 1) la naturaleza de los datos; 2) el país de origen; 3)el país receptor; 4) el propósito para el cual se procesan los datos, y 5) las medidas de seguridad vigentes para la transferencia y el procesamiento de datos personales. El derecho de acceso el derecho de la persona solicitar y obtener del controlador de datos información sobre sus datos personales. La persona tiene derecho a solicitar que el controlador de datos corrija o suprima los datos personales que puedan ser incompletos, inexactos, innecesarios o excesivos. La persona podría objetar el procesamiento de sus datos personales en los casos en que exista una razón legítima, como perjuicio o angustia injustificada y sustancial para ella. Que se reconoce en el principio de legitimación del dato personal. Establece que el controlador de datos y el procesador de datos deben disponer de medidas técnicas y de organización razonables para garantizar la integridad, confidencialidad y disponibilidad de los datos personales. Los controladores de datos y los procesadores de datos tienen el deber de mantener la confidencialidad de todos los datos personales, inclusive más allá de terminada la relación entre la personal y el controlador de datos. Con el fin de asegurar el cumplimiento y la aplicación de los principios de la protección de datos, la OEA señala que debe disponerse de una autoridad supervisora y establecerse un recurso judicial para las personas. Sobre la autoridad, señala que esta debe ser imparcial e independiente. Asimismo, debe contar con capacidad técnica, facultades y recursos suficientes para realizar investigaciones y auditorías a fin de asegurar el cumplimiento de las normas pertinentes. M.P. Jaime Córdoba Triviño http: eur-lex.europa.eu LexUriServ LexUriServ.do?uri=CELEX:31995L0046:ES:NOT M.P. Ciro Angarita Barón M.P Eduardo Cifuentes Muñoz M.P. Jorge Arango Mejía M.P. Ciro Angarita Barón MP. Álvaro Tafur Galvis M.P. Eduardo Cifuentes Muñoz M.P. Clara Inés Vargas MP. Eduardo Montealegre Lynett M.P. Álvaro Tafur Galvis M.P. Álvaro Tafur Galvis El término es utilizada por el Dictamen 3 2010 sobre el principio de responsabilidad, emitido por el Grupo de Protección de Datos de la Unión Europea. La seguridad, es uno de los elementos que debe contar con las garantías necesarias de protección de datos personales en los SRS. En consecuencia, el Grupo de Trabajo diseñó ciertos parámetros bajo los cuales el acceso a la información personal en redes sociales debe estar protegido, pues de no ser así, generaría desconfianza en el usuario, al no tener la certeza de que su información no va a ser tratada adecuadamente. Al respecto se indicó: “Los SRS deberían pues establecer parámetros por defecto respetuosos de la intimidad, que permitan a los usuarios aceptar libre y específicamente que personas distintas a sus contactos elegidos accedan a su perfil, con el fin de reducir el riesgo de un tratamiento ilícito por terceros. Los perfiles de acceso ilimitado no deberían ser localizables por los motores de búsqueda internos, incluso por la función de búsqueda por parámetros como la edad o el lugar (…)”. M.P. Jaime Córdoba Triviño. “Cfr. Corte Constitucional, sentencia C-517 98, concepto reiterado en la sentencia C-692 03.” M.P. Jaime Córdoba Triviño. Corte Constitucional, sentencia C-853 del 25 de noviembre de 2009. M.P. Jorge Iván Palacio Palacio. M.P. Manuel José Cepeda Espinosa” M.P. Humberto Antonio Sierra Porto” Artículo 6: “(…)
2. Los Estados Partes garantizarán en la máxima medida posible la supervivencia y el desarrollo del niño”.Artículo 27: ´1. Los Estados Partes reconocen el derecho de todo niño a un nivel de vida adecuado para su desarrollo físico, mental, espiritual, moral y social.
2. A los padres u otras personas responsables por el niño les incumbe la responsabilidad primordial de proporcionar, dentro de sus posibilidades y medios económicos, las condiciones de vida que sean necesarias para el desarrollo del niño (…).´” De conformidad con el Diccionario de la Real Academia de la Lengua Española, “prevalecer” significa, en su primera acepción, “sobresalir una persona o cosa; tener alguna superioridad o ventaja entre otras”. “En igual sentido, el artículo 5 de la Convención sobre Derechos del Niño dispone que “los estados partes respetarán las responsabilidades, los derechos y los deberes de los padres o, en su caso, de los miembros de la familia ampliada o de la comunidad, según establezca la costumbre local, de los tutores u otras personas encargadas legalmente del niño, de impartirle, en consonancia con la evolución de sus facultades, dirección y orientación apropiadas para que el niño ejerza los derechos reconocidos en la presente convención”. “Sentencia T-510 de 2003, MP. Manuel José Cepeda Espinosa)” Cfr. Sentencia T-502 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Ver sentencia C-318 de 2003. M.P. Jaime Araújo Rentería. Ver sentencia T-466 de 2006. M.P. Manuel José Cepeda Espinosa. Ver sentencia C-318 de 2003. M.P. Jaime Araújo Rentería. El Memorando de Montevideo acoge una serie de recomendaciones que son el resultado del Seminario de trabajo “Derechos, Adolescentes y Redes Sociales en Internet” que se llevó a cabo en Montevideo los días 27 y 28 de julio de 2009, con la participación de varios académicos y expertos de muchos países latinoamericanos, Canadá y España. http: www.iijusticia.org Memo.htm En este Memorando se busca equilibrar el ejercicio del derecho al acceso a la información y el conocimiento, y también mitigar los riesgos que su mal uso puede entrañar para el ejercicio de otros derechos fundamentales de los menores de 18 años, pues podrían ser víctimas de discriminación, explotación sexual, pornografía, entre otros, impactando negativamente su desarrollo armónico e integral. Ahondando en el contenido del Memorándum de Montevideo, se encuentra que presenta una serie de recomendaciones con el fin de que todos los actores involucrados en la protección de datos personales de los niños, niñas y adolescentes, (i) puedan extender los aspectos positivos de la Sociedad de la Información y Conocimiento, incluyendo la Internet y las redes sociales digitales, (ii) adviertan las prácticas perjudiciales que serán muy difíciles de revertir, y (iii) prevengan los impactos negativos que estas prácticas conllevan. De otro lado, especifica que los actores involucrados en la protección y tratamiento de datos personales, son: en primer lugar, el Estado, las Entidades Educativas, los progenitores u otras personas que se encuentren a cargo de su cuidado y los educadores. En particular, el Estado y las instituciones educativas deben concientizar a los padres y a las personas responsables, acerca de los riesgos que los niños, las niñas y adolescentes enfrentan en los ambientes digitales. En general, se debe transmitir a los menores de 18 años que la Internet no es un espacio sin normas, impune o sin responsabilidades, y que toda acción tiene sus consecuencias. En efecto, establece una serie de pautas para educar a los niños, las niñas y adolescentes en el uso responsable y seguro de la Internet y las redes sociales digitales, ya que podrían verse afectados sus derechos y los de terceros. (Numerales 1 al 5 del acápite denominado: “Recomendaciones para los estados y entidades educativas para la prevención y educación de niñas, niños y adolescentes”).En segundo lugar, acerca de la función que desarrolla el legislador en cada país, el Memorándum establece que la creación, reforma o armonización normativa debe realizarse tomando como consideración primordial el interés superior de los niños, las niñas y adolescentes que contenga como mínimo los derechos y principios básicos reconocidos internacionalmente y los mecanismos para la efectiva protección de sus datos personales (numerales 6 al 9 del capítulo “Recomendaciones para los Estados sobre el Marco Legal”)En tercer lugar, resalta que los sistemas judiciales tienen un rol muy relevante en el aseguramiento de un buen uso de la Internet y las redes sociales digitales. Señala que las sanciones civiles y penales deben aplicarse no sólo para rectificar los derechos vulnerados sino también para enviar a los ciudadanos y a las empresas reglas claras sobre la interpretación de las leyes y de los principios fundamentales (numerales 10 al 13 del aparte “Recomendaciones para la aplicación de las leyes por parte de los Estados”)En cuarto lugar, el Memorándum de Montevideo, establece que las empresas que proveen los servicios de acceso a la Internet, desarrollan las aplicaciones o las redes sociales digitales, deben comprometerse de manera decidida en materia de protección de datos personales y la vida privada, particularmente de los niños, las niñas y los adolescentes. Para el efecto contempla una serie de recomendaciones (numerales 19 al 30 del capítulo “Recomendaciones para la Industria”). En primer lugar (…) a raíz del día de debate general sobre la realización de los derechos del niño en la primera infancia celebrado en 2004, el Comité subrayó que (…) Hay estudios que demuestran que el niño es capaz de formarse opiniones desde muy temprana edad, incluso cuando todavía no puede expresarlas verbalmente. Por consiguiente, la plena aplicación del artículo 12 exige el reconocimiento y respeto de las formas no verbales de comunicación, como el juego, la expresión corporal y facial y el dibujo y la pintura, mediante las cuales los niños muy pequeños demuestran capacidad de comprender, elegir y tener preferencias. En segundo lugar, el niño no debe tener necesariamente un conocimiento exhaustivo de todos los aspectos del asunto que lo afecta, sino una comprensión suficiente para ser capaz de formarse adecuadamente un juicio propio sobre el asunto. En tercer lugar, los Estados Partes también tienen la obligación de garantizar la observancia de este derecho para los niños que experimenten dificultades para hacer oír su opinión. Por ejemplo, los niños con discapacidades (…) minorías (…) indígenas (…) migrantes y otros (…) en la Observación General número 12 de 2009 del Comité de los derechos del niño. En aplicación del principio de conservación del derecho, la sentencia C-078 de 2007, señaló: “La Corte ha entendido que en virtud del principio de conservación del derecho, la declaratoria de inexequibilidad simple sólo puede prosperar cuando la expresión legislativa es absolutamente incompatible con la Carta y no existe ninguna interpretación de la misma que pueda ajustarse a la Constitución. Adicionalmente, como se verá adelante, la Corte ha encontrado que para efectos de adoptar la correspondiente decisión es fundamental ponderar el efecto de la declaratoria de inexequibilidad sobre los derechos de sujetos de especial protección a fin de modular el sentido del fallo para no desproteger bienes constitucionalmente protegidos”. Se subraya la importancia de que el Estado adelante una campaña seria para concientizar a los niños, las niñas y adolescentes, acerca de la importancia del buen uso que le deben dar a sus datos personales. Por ejemplo, en materia de redes sociales empiezan a dibujarse nuevos derechos. Así, el Grupo de Trabajo sobre Protección de Datos de la Unión Europea sostiene que en estos sistemas se deberían adoptar las siguientes medidas:“Obligaciones de los SRS1. Los SRS deberían informar a los usuarios de su identidad y proporcionarles información clara y completa sobre las finalidades y las distintas maneras en que van a tratar los datos personales.
2. Los SRS deberían establecer parámetros por defecto respetuoso de la intimidad.
3. Los SRS deberían informar y advertir a sus usuarios frente a los riesgos de atentado a la intimidad cuando transfieren datos a los SRS.
4. Los SRS deberían recomendar a sus usuarios no poner en línea imágenes o información relativa a otras personas sin el consentimiento de éstas.
5. Como mínimo, en la página inicial de los SRS debería figurar un enlace hacia una oficina de reclamaciones, tanto para miembros como para no miembros, que cubra cuestiones de protección de datos.
6. La actividad comercial debe ajustarse a las normas establecidas por la Directiva relativa a la protección de datos y la Directiva sobre la protección de la vida privada en el sector de las comunicaciones electrónicas.
7. Los SRS deben establecer plazos máximos de conservación de los datos de los usuarios inactivos. Las cuentas abandonadas deben suprimirse.
8. Por lo que se refiere a los menores, los SRS deberían adoptar medidas adecuadas con el fin de limitar los riesgos.” Remolina, Nelson. ¿Tiene Colombia un nivel adecuado de protección de datos personales a la luz del estándar europeo?. Cfr. Sentencia C-1011 de 2008 M.P. Jaime Córdoba Triviño Cfr. sentencia C-1011 de 2008 M.P. Jaime Córdoba Triviño Cfr. Ibídem. http: eur-lex.europa.eu LexUriServ LexUriServ.do?uri=CELEX:31995L0046:ES:NOT Cfr. sentencia C-265 de 2002, M.P. Manuel José Cepeda Espinosa. En esta ocasión la Corte declaró inexequible el inciso tercero del artículo 64 de la Ley 675 de 2001, pues consideró que “(…) condicionar la posibilidad del cerramiento a una autorización administrativa, sin señalar criterios que impidan dicha apropiación y exclusión, resulta insuficiente para proteger los bienes constitucionalmente garantizados”. Auto 049 de 2008 M.P. Jaime Córdoba Triviño Cfr. Corte Constitucional, sentencias C-734 03 y C-852
05. Cfr. Corte Constitucional, sentencias C-028 97 y C-290
02. Auto 049 de 2008 M.P. Jaime Córdoba Triviño Cfr. sentencias T-220 de 1994, T-158 de 2005 y T-1160A 01, entre otras. TRONCOSO REGAIDA, Antonio “La Protección de Datos Personales. En busca del equilibrio” Editorial Tiralt to blanchtratados” Valencia 2010. Págs. 1727 y siguientes. Según este autor, este convenio de cooperación forzó a algunos Estado europeos a regular internamente en sus legislaciones el tema de la protección de datos. Señala que específicamente en España éste fue un motor para la aprobación de la ley orgánica que regula el tema, la LORTAD. Este recuento normativo se encuentra en TRONCOSO REGAIDA, págs. 1737-1739 www.ec.europa.eu Ley 67 de 1998. Ley de Protección de Datos Personales, articulo
25. Ley 25.326 de 2000. Artículo
29. Articulo 29. “1) Créase la DIRECCION NACIONAL DE PROTECCION DE DATOS PERSONALES, en el ámbito de la SECRETARIA DE JUSTICIA Y ASUNTOS LEGISLATIVOS del MINISTERIO DE JUSTICIA Y DERECHOS HUMANOS, como órgano de control de la Ley Nº 25.326. El Director tendrá dedicación exclusiva en su función, ejercerá sus funciones con plena independencia y no estará sujeto a instrucciones.
2) La DIRECCION NACIONAL DE PROTECCION DE DATOS PERSONALES se integrará con un Director Nacional, Nivel "A" con Función Ejecutiva I, designado por el PODER EJECUTIVO NACIONAL, por el plazo de CUATRO (4) años, debiendo ser seleccionado entre personas con antecedentes en la materia.” (Negritas fuera del texto original). www.jus.gov.ar datospersonales.aspx BRUNO J GAIRO E IGNACIO M SOBA. “La regulación procesal del Habeas Data”. Editorial IB de F. Montevideo-Buenos Aires, citando a Ibáñez, Perfecto Andrés, Pág. 28 Según TRONCOSO REGAIDA, una de los mayores inconvenientes de las agencias de protección de datos en Europa es su falta de coercibilidad. Por su parte, en el modelo americano y sus características de leyes sectoriales, se echa de menos la existencia de un ente central encargado de la vigilancia, regulación y protección de los datos personales. Traducción libre del inglés al español. Sobre este particular, el artículo 2º del Decreto 4327 05 establece que la Superintendencia Financiera de Colombia, es un organismo técnico adscrito al Ministerio de Hacienda y Crédito Público, con personería jurídica, autonomía administrativa y financiera y patrimonio propio. Del mismo modo, el artículo 1º del Decreto 2153 92 define a la Superintendencia de Industria y Comercio como un organismo de carácter técnico adscrito al Ministerio de Desarrollo Económico, que goza de autonomía administrativa, financiera y presupuestal. El artículo 2º del Decreto 4327 05 establece que la Superintendencia Financiera de Colombia, es un organismo técnico adscrito al Ministerio de Hacienda y Crédito Público, con personería jurídica, autonomía administrativa y financiera y patrimonio propio. Igualmente, el artículo 1º del Decreto 2153 92 define a la Superintendencia de Industria y Comercio como un organismo de carácter técnico adscrito al Ministerio de Desarrollo Económico, que goza de autonomía administrativa, financiera y presupuestal. Cfr. Sentencia C-1011 de 2008. P.p. 233 y 234 P. 236 Cfr. Sentencia SU-1010 de 2008. Cfr. sentencia C-401 de 2010. M.P. Luís Ernesto Vargas Silva. Cfr sentencia C-1011 de 2008. Considerando 3.6.2. Sentencia C-406 de 2004, M.P. Clara Inés Vargas Hernández. Sentencia C-406 de 2004, M.P. Clara Inés Vargas Hernández. Artículo 18 del Proyecto de Ley Estatutaria numero 221 de 2007 Cámara, 027 de 2006 senado acumulado con el numero 05 de 2006 Senado: “Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del Banco de Datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.Cierre o clausura de operaciones del Banco de Datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de Bancos de Datos que administren datos prohibidos”. Sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño. Sentencia C-1011 de 2008, M.P. Jaime Córdoba Treviño. Argentina, por ejemplo, mediante Decisión del 30 de junio de 2003, fue certificada por garantizar un nivel adecuado de protección en lo que respecta a datos personales transferidos desde la Comunidad con arreglo a la Directiva 95 46 CE del Parlamento y del Consejo Europeo, entre otros por contar con un registro público de base de datos. Para los Estados es recurrente justificar la transferencia internacional de datos por motivos de seguridad pública, seguridad nacional, investigaciones contra el terrorismo, labores de inteligencia militar o policial, cooperación judicial, controles de inmigración, etc. En el plano empresarial, las multinacionales necesitan circular información entre las diferentes sucursales que poseen en varios países del mundo, o requieren información para brindar atención telefónica a los clientes por medio de call centers internacionales. Nelson Remolina-Angarita, ¿Tiene Colombia un nivel adecuado de protección de datos personales a la luz del estándar europeo? 16 International Law, Revista Colombiana de Derecho Internacional, 489-524 (2010). El Grupo de Trabajo fue creado por el artículo 29 de la Directiva 95 46 CE. Es un órgano consultivo independiente de la UE sobre protección de datos y vida privada. Sus funciones son definidas en el artículo 30 de la citada Directiva y en el artículo 14 de la Directiva 97 66 CE. Ley 1266 de 2008, Por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones. ARTÍCULO
26. PARÁGRAFO 2º: las disposiciones contenidas en el presente artículo serán aplicables para todos los datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008. Estándares internacionales sobre protección de datos personales y privacidad, aprobados el 5 de noviembre de 2009 en Madrid en el marco de la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad. Definición que coincide en gran parte con la contenida en la Directiva 95 46 del Parlamento Europeo y del Consejo del 24 de octubre de 1995. Cfr. sentencia T-729 de 2002 Sentencia C-1011 de 2008. P. 106 En la sentencia C-474 de 2003 la Corte se refirió ampliamente a la materia indicando: “Conforme a todo lo anterior, la Corte concluye que la definición de los incentivos para recuperar el patrimonio arqueológico y cultural de la Nación es un asunto que corresponde primariamente desarrollar al Legislador. Esto no significa que la ley deba regular detalladamente toda la materia, pues la Carta no establece una estricta reserva legal; por consiguiente, algunos aspectos de la regulación de esas actividades, que no sean desarrollados directamente por la ley, pueden entonces ser reglamentados por la autoridad administrativa, y en especial por el Gobierno. Por ello esta Corte ha precisado que “la extensión del campo para ejercer la potestad reglamentaria no la traza de manera subjetiva y caprichosa el Presidente de la República, sino que la determina el Congreso de la República al dictar la ley, pues a mayor precisión y detalle se restringirá el ámbito propio del reglamento y, a mayor generalidad y falta de éstos, aumentará la potestad reglamentaria” (…). Sin embargo, lo que no puede el Legislador es atribuir integralmente la reglamentación de la materia al Gobierno, pues el Congreso se estaría desprendiendo de una competencia que la Carta le ha atribuido. Por ello esta Corte ha señalado que el desarrollo de la potestad reglamentaria por el Gobierno exige que la ley haya previamente configurado una regulación básica o materialidad legislativa, a partir de la cual, el Gobierno puede ejercer la función de reglamentar la ley con miras a su debida aplicación, que es de naturaleza administrativa, y está entonces sujeta a la ley. Y es que si el Legislador no define esa materialidad legislativa, estaría delegando en el Gobierno lo que la Constitución ha querido que no sea materia de reglamento sino de ley. El “requisito fundamental que supone la potestad reglamentaria”, ha dicho esta Corte, es “la existencia previa de un contenido o materia legal por reglamentar” (…). Por ello, en anteriores oportunidades, esta Corte ha retirado del ordenamiento aquellas regulaciones legales que no establecían suficientemente una materialidad legislativa, que permitiera el posterior desarrollo de la potestad reglamentaria gubernamental.” Corte Constitucional, sentencia C-1011
08. Sobre el particular, se encuentra que el artículo 2° de la Directiva 95 46 CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define al responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario”. A su vez, la misma norma considera como encargado del tratamiento a “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” Como se observa, el legislador estatutario colombiano se limitó a transcribir estas definiciones, al margen de cualquier tradición jurídica nacional a ese respecto.La naturaleza incompleta de la regulación estatutaria se demuestra por el hecho que, contrario a la norma objeto de examen, la Directiva europea sí ofrece una categoría asimilable al usuario del dato personal. En efecto, el artículo 2° de esa normatividad define al destinatario como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que reciba comunicación de datos, se trate o no de un tercero. No obstante, las autoridades que puedan recibir una comunicación de datos en el marco de una investigación específica no serán considerados destinatarios.” Estos destinatarios, si bien no tienen un marco de obligaciones jurídicas en el marco de la Directiva Europea, sí le son asignadas tales deberes por las legislaciones nacionales. Así, como se demuestra en el caso español (en el que paradójicamente se inspira el legislador estatutario colombiano), el artículo 11 de la Ley Orgánica 15 1999 de protección de datos de carácter personal, reconoce la circulación del dato y los deberes de protección del habeas data por parte del destinatario, cuando indica que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” Para el caso español, el artículo 35 de la Ley Orgánica 15 1999 de protección de datos de carácter personal, instituye a la Agencia de Protección de Datos como un “ente de Derecho público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones Públicas en el ejercicio de sus funciones”. De manera similar en Alemania, la sección 22(4) de la Ley de Protección de Datos (Bundesdatenschutzgesetz, BDSG) de 1990, enmendada en 1994, confiere al Comisionado Federal de Protección de Datos (i) el estatus de oficial de derecho público respecto de las demás autoridades de la Federación; (ii) independencia en el ejercicio de sus funciones, quedando sometido solamente a la ley; y (iii) sometimiento exclusivamente a la supervisión legal del Gobierno Federal. Otro tanto sucede en Francia, en donde la Comisión Nacional de Informática y Libertades es, de conformidad con la Ley del 6 de agosto de 2004, un organismo administrativo independiente, encargado de entre otros muchos asuntos (i) comprobar que se respete la ley, controlando las aplicaciones informáticas; (ii) hacer uso de sus poderes de comprobación y de investigación para instruir las quejas, disponer de un mejor conocimiento de algunos ficheros, apreciar mejor las consecuencias del uso de la informática en determinados sectores y garantizar un seguimiento de sus deliberaciones; y (iii) supervisar además la seguridad de los sistemas de información asegurándose de que adoptan todas las precauciones para impedir que los datos no se tergiversen o se pongan en conocimiento de personas no autorizadas. (Funciones detalladas en la página web http: www.cnil.fr espanol la-cnil funciones ).