T-729-02
REPÚBLICA DE COLOMBIA
Sentencia T-729/02
HABEAS DATA-Contenido y alcance
HABEAS DATA-Principio de operatividad
El ámbito de acción o de
operatividad del derecho al habeas data o derecho a la autodeterminación
informática, está dado por el entorno en el cual se desarrollan los procesos de
administración de  bases de datos personales.   De tal forma que integran el
contexto material: el objeto o la actividad de las entidades administradoras de
bases de datos, las regulaciones internas, los mecanismos técnicos para la recopilación,
procesamiento, almacenamiento, seguridad y divulgación de los datos personales
y la reglamentación sobre usuarios de los servicios de las administradoras de
las bases de datos.
ADMINISTRACION DE DATOS PERSONALES-Principios
DATOS PERSONALES-Características
HABEAS DATA Y DERECHO A LA INFORMACION-Clasificación de la información
DERECHOS FUNDAMENTALES RELACIONADOS CON
MANEJO DE BASES DE DATOS-Ausencia
de regulación
Ante la inexistencia de mecanismos ordinarios de
protección de los derechos relacionados con la libertad informática, y la
ausencia de una ley estatutaria que regule con amplitud esta materia, situación
denunciada en múltiples oportunidades por esta Corte, y aceptando que la acción
de tutela a pesar de su especial importancia en materia de protección de los
derechos al habeas data y a la intimidad, no constituye herramienta suficiente
para la reconducción adecuada de las conductas desarrolladas en el ámbito del
poder informático, la Corte como guardiana de la integridad y supremacía de la
Constitución, y en desarrollo del principio de eficacia de los derechos
fundamentales, hará la siguiente declaración: reiterará la invitación al
Congreso de la República e incluso a la Procuraduría General de la Nación y a
la Defensoría del Pueblo, para que en la medida de sus posibilidades presenten
e impulsen respectivamente, un proyecto de ley estatutaria que ofrezca una
regulación amplia,  consistente e integral en la materia.
DATOS PERSONALES EN PAGINA DE INTERNET DE
CATASTRO DISTRITAL-Se violan
principios/PRINCIPIOS EN ADMINISTRACION DE DATOS PERSONALES
Para la Corte, la recopilación y
publicación de la información contenida en la base de datos de Catastro, está
sometida a los principios de la administración de datos, precisamente por que
la misma está conformada por datos personales mediante los cuales se asocia una
realidad patrimonial con una persona determinada. La Sala, al examinar en el
caso concreto el poder de irradiación de estos principios como manifestación
del derecho a la autodeterminación informática, encuentra que se presenta una
vulneración de los derechos fundamentales del demandante. A partir de la
inobservancia y desconocimiento de los principios de libertad, finalidad e
individualidad, rectores de la administración de datos personales, la Sala
considera lo siguiente: con la publicación de la base de datos sobre la
información catastral de Bogotá en la Internet, tal y como está dispuesta, el
Departamento administrativo de Catastro, vulnera el derecho fundamental a la
autodeterminación informática del demandante. En consecuencia, se torna
indispensable conceder la tutela invocada y ordenar a la respectiva entidad que
haga cesar la conducta vulneratoria del  derecho, de tal forma que en adelante
se abstenga de publicar, con posibilidad de acceso indiscriminado y sin el
consentimiento previo y libre, información personal del actor.
DATOS PERSONALES EN PAGINA DE INTERNET DE
SUPERINTENDENCIA NACIONAL DE SALUD-Se violan principios
Considera la Corte que, con la publicación
de la base de datos sobre los afiliados al sistema integral de seguridad social
en Salud, la Superintendencia Nacional de Salud vulnera el derecho fundamental
a la autodeterminación informática del actor.  En efecto, toda vez que este
tipo de  datos personales está catalogado como información semi-privada, es
decir que su acceso se encuentra restringido, la posibilidad de su conocimiento
por parte de terceros totalmente ajenos al ámbito propio en el cual se obtuvo
dicha información, a partir del sencillo requisito de digitar su número de
identificación, desconoce los principios constitucionales de libertad,
finalidad, circulación restringida e individualidad propios de la
administración de datos personales. Por lo anterior, resulta procedente
conceder la tutela invocada y ordenar a la respectiva entidad que haga cesar la
conducta vulneratoria de su derecho, en el sentido de permitir que cualquier
persona tenga acceso a información personal sobre el actor.
DERECHO A LA AUTODETERMINACION INFORMATICA-Incremento de riesgos de vulneración
efectiva
Ante la posibilidad de acceso a
múltiples bases de datos personales (publicadas ahora en la Internet), el
fortalecimiento del poder informático (caracterizado por su titularidad en
ocasiones anónima), y la carencia casi absoluta de controles, se han
incrementado los riesgos de vulneración efectiva no sólo del derecho a la
autodeterminación informática, sino de los demás derechos fundamentales puestos
en juego en el ámbito informático: la intimidad, la libertad e incluso la
integridad personal.
Referencia: expediente T-467467
Acción de tutela instaurada por Carlos
Antonio Ruiz Gómez contra el Departamento Administrativo de Catastro (Alcaldía
Mayor de Bogotá) y la Superintendencia Nacional de Salud.
Magistrado Ponente:
Dr.
EDUARDO MONTEALEGRE LYNETT
Bogotá D.C., cinco (5) de septiembre de dos mil dos
(2002).
La Sala Séptima de Revisión de la Corte
Constitucional integrada por los magistrados Clara Inés Vargas Hernández,
Álvaro Tafur Galvis y Eduardo Montealegre Lynett, quien la preside, en
ejercicio de sus competencias constitucionales y legales, específicamente las
previstas en los artículos 86 y 241 numeral 9º de la Constitución Política, y
en los artículos 33 y siguientes del Decreto 2591 de 1991, ha proferido la
siguiente
SENTENCIA
Dentro del proceso de revisión del fallo proferido por
la Sala Laboral del Tribunal Superior de Distrito Judicial de Bogotá en única
instancia, dentro del expediente de tutela T-467467.
I. ANTECEDENTES.
1. Hechos.
1. Desde el año de 2001, el Departamento
Administrativo de Catastro del Distrito Capital, ha dispuesto en la Internet
una página virtual que incorpora una base de datos sobre la información
catastral de Bogotá. Mediante la digitación del número del documento de
identificación de cualquiera persona, es posible obtener información básica
(dirección, zona de conservación, vigencia de la formación, tipo de propiedad,
estrato, área de terreno, área de construcción), acerca de uno (y siempre el
mismo) de los bienes inmuebles registrados en la base de datos bajo dicho
número.
Así mismo, mediante la digitación de al menos cuatro
datos de cinco (dirección del predio, matrícula inmobiliaria, código homologado
de información predial, cédula catastral y documento de identidad), es posible
obtener información detallada del predio, tanto jurídica (números de escrituras
públicas, notaría, propietario, porcentaje de copropiedad etc.), como económica
(valor del metro cuadrado del terreno, valor del metro cuadrado construido,
monto de los últimos cinco avalúos, vigencia de los avalúos, etc.).
2. Igualmente, la Superintendencia Nacional de Salud
ha dispuesto en la Internet una página virtual que incorpora una base de datos
con información relativa a la afiliación al régimen de seguridad social en
salud, con la cual, mediante la digitación del número del documento de
identificación de cualquier persona, es posible acceder a información relativa
al nombre completo del afiliado, la fecha de afiliación, los meses en mora y
las personas beneficiarias del afiliado, entre otras.
3. En virtud de estos hechos, el ciudadano Carlos
Antonio Ruiz Gómez presentó acción de tutela contra las dos entidades
responsables de las publicaciones, bajo el siguiente argumento: la disposición
y la facilidad en el acceso a tal información, en las circunstancias actuales
de orden público (delincuencia común y grupos armados al margen de la ley),
además de violar su derecho a la intimidad, pone en riesgo sus derechos y los
de su familia a la vida, la integridad personal, la propiedad y la libertad,
por lo cual solicita se suspenda de manera inmediata la acción perturbadora de
sus derechos.
2. Decisión de instancia.
La Sala Laboral del Tribunal Superior de
Distrito Judicial de Bogotá denegó la tutela impetrada. Consideró la
corporación: primero, que con la publicación de información mediante las
referidas páginas de Internet no se presenta intromisión irracional en la
órbita reservada del actor, ni se divulgan hechos privados ni hechos
tergiversados o falsos. Segundo, que en cumplimiento del principio de
eficiencia de la administración pública, las entidades del Estado están en la
obligación de adoptar esta clase de mecanismos de información. Tercero, que
frente a la página de la Superintendencia de Salud, con la racionalización y
publicación de la información, se pretende la calidad en la prestación del
servicio de salud y el control de los recursos de los asociados, en
cumplimiento de lo ordenado por el artículo 3 del decreto 1259 de 1994. Y
cuarto, que frente a la página de Catastro, la información dispensada tras la
digitación del número de identificación es la general o básica del predio, la
cual es de dominio público, y que por otro lado, para obtener información
jurídica y económica, se requiere la digitación de datos adicionales que al ser
de carácter privado, restringen la posibilidad de acceso a la misma.
Concluyó el Tribunal que, "con la existencia de la
información en dichas páginas de la Internet, no se pone en peligro la
integridad física que aduce el tutelante, cuando solamente se arrojan datos que
corresponden a la generalidad de la información de los usuarios, en vía de
cumplir los fines y propósitos de estas instituciones".
II. CONSIDERACIONES DE LA SALA.
1. Competencia.
De conformidad con lo establecido en los artículos 86
y 241, numeral 9º de la Constitución Política y 31 a 36 del Decreto 2591 de
1991, la Sala Séptima de Revisión de la Corte Constitucional es competente para
revisar el fallo de tutela de la referencia.
2. Pruebas decretadas por la Sala.
Considerando que el presente caso
plantea una tensión particular entre varios derechos fundamentales, que dicha
tensión se desarrolla en el ámbito de la Internet como medio de comunicación
global, y que sobre el tema no existe regulación; con la finalidad de contar
con los mejores elementos de juicio, se solicitaron y se anexaron al expediente
conceptos técnicos de las siguientes instituciones: Facultad de Ciencias
humanas, Departamento de sociología de la Universidad Nacional de Colombia
(fls. 88 a 91); Departamento administrativo de seguridad (DAS) división de
investigaciones informáticas y electrónicas (fls. 92 a 96); Superintendencia nacional
de Salud (fls. 102 a 108); Departamento administrativo de catastro de Bogotá
(fls. 111 a 114); Ministerio de comunicaciones (126 a 129); Documento CONPES
3072 (fls 130 a 151); Fiscalía General de la Nación (fls. 115 a 125); Facultad
de jurisprudencia de la Universidad del Rosario (fls. 250 a 267); Facultad de
Ciencias sociales, Departamento de antropología de la Universidad de los Andes
(fls. 268 y 269); Facultad de derecho, Departamento de derecho constitucional
de la Universidad Externado de Colombia (fls. 272 a 275); Facultad de
ingeniería civil, Universidad de la Salle (fls. 277 a 279); Facultad de
ciencias humanas, Departamento de antropología de la Universidad Nacional de
Colombia (fls. 280 a 281).
3. Problema jurídico y temas por desarrollar.
Procederá la Sala a pronunciarse, acerca de
las condiciones en las cuales, la  posibilidad de acceder a información sobre
personas naturales, mediante la digitación del número de identificación,
gracias a la manipulación de ciertas bases de datos dispuestas en la Internet,
desconoce los derechos fundamentales de los ciudadanos referenciados en las
mismas.
Para estos efectos la Sala se pronunciará sobre (a) el
contenido y alcance del derecho constitucional al habeas data o a la
autodeterminación informática; (b) los principios de la administración de las
bases de datos; (c) los datos personales y las diversas clasificaciones de la
información; y (d) la deficiencia en los mecanismos de protección de derechos
fundamentales relacionados con el manejo de las bases de datos y la necesidad
de regulación.
4. Temas jurídicos a tratar.
a.) El contenido y alcance del derecho constitucional
al habeas data o a la autodeterminación informática.
Tanto la consagración constitucional del derecho al habeas
data, como sus desarrollos jurisprudenciales, encuentran justificación
histórica en el surgimiento del denominado poder informático[1]
y  la posibilidad del manejo indiscriminado de los llamados datos personales[2].
Durante la vigencia de la actual Constitución, el habeas data pasó de
ser una garantía[3] con alcances muy
limitados, a convertirse en un derecho de amplio espectro. Es así como bajo la
égida del derecho general de libertad (artículo 16) y la cláusula específica de
libertad en el manejo de los datos (artículo 15 primer inciso), la
jurisprudencia ha reconocido la existencia-validez del llamado derecho a la
autodeterminación informática[4]. En este sentido, derecho
a la autodeterminación informática y derecho al habeas data, son
nociones jurídicas equivalentes[5] que comparten un mismo
referente.
En la actualidad y a partir de los enunciados
normativos del artículo 15 de la Constitución, la Corte Constitucional ha
afirmado la existencia-validez de tres derechos fundamentales constitucionales
autónomos: el derecho a la intimidad, el derecho al buen nombre y el derecho al
habeas data[6]. Sin
embargo, el estado actual de cosas no fue siempre el mismo[7].
El camino de la delimitación empieza en el año de 1994, con la sentencia T-229
de 1994, en la cual la Corte estableció una clara diferencia entre el derecho a
la intimidad y el derecho al buen nombre. Más adelante, en el año de 1997, con
la sentencia T-557 de 1997 la Corte precisó las diferencias entre el derecho a
la intimidad y el habeas data[8], después de que la
relación entre ambos se había manejado como de género a especie desde el año de
1992.
Para la Sala, la diferenciación y delimitación de los
derechos consagrados en el artículo 15 de la Constitución, cobra especial
importancia por tres razones: (i) por la posibilidad de obtener su protección
judicial por vía de tutela de manera independiente; (ii) por la delimitación de
los contextos materiales que comprenden sus ámbitos jurídicos de protección; y
(iii) por las particularidades del régimen jurídico aplicable y las diferentes
reglas para resolver la eventual colisión con el derecho a la información.
El derecho al habeas data o a la
autodeterminación informática.
Concepto.
El derecho fundamental al habeas data,
es aquel que otorga la facultad[9] al titular de datos
personales, de exigir a las administradoras de datos personales el acceso,
inclusión, exclusión, corrección, adición, actualización, y certificación de
los datos, así como la limitación en la posibilidades de divulgación,
publicación o cesión de los mismos, conforme a los principios[10]
que informan el proceso de administración de bases de datos personales.
El ámbito de operatividad.
El ámbito de acción o de operatividad del derecho al habeas
data o derecho a la autodeterminación informática, está dado por el entorno
en el cual se desarrollan los procesos de administración de  bases de datos
personales.   De tal forma que integran el contexto material: el objeto o la
actividad de las entidades administradoras de bases de datos, las regulaciones
internas, los mecanismos técnicos para la recopilación, procesamiento,
almacenamiento, seguridad y divulgación de los datos personales y la
reglamentación sobre usuarios de los servicios de las administradoras de las
bases de datos.
b.) Principios de la administración de las bases de
datos.
La administración de los datos personales.
Para la Corte, la especial necesidad de disponibilidad
de información mediante la conformación de bases de datos personales, unida a
la potencialidad de afectar los derechos fundamentales que apareja el
desarrollo de dicha actividad, tornan indispensable someter el proceso de
administración de los datos a ciertos principios jurídicos, con el fin de
garantizar la armonía en el ejercicio de los derechos fundamentales de las administradoras,
de los usuarios y de los titulares de los datos.
En concepto de la Corte, se entiende por el proceso de
administración de datos personales, las prácticas que las entidades públicas o
privadas adelantan con el fin de conformar, organizar y depurar bases de datos
personales, así como la divulgación de estos últimos en un contexto claramente
delimitado y con sujeción a ciertos principios.
Principios de la administración de datos personales.
Para la Sala, reiterando la Jurisprudencia de la Corte,
el proceso de administración de los datos personales se encuentra informado por
los principios de libertad, necesidad, veracidad, integridad, incorporación,
finalidad, utilidad, circulación restringida, caducidad e individualidad.
Según el principio de libertad[11],
los datos personales sólo pueden ser registrados y divulgados con el
consentimiento[12] libre, previo y expreso
del titular, de tal forma que se encuentra prohibida la obtención y divulgación
de los mismos de manera ilícita[13] (ya sea sin la previa
autorización del titular o en ausencia de mandato legal o judicial). En este
sentido por ejemplo, se encuentra prohibida su enajenación o cesión por
cualquier tipo contractual.
Según el principio de necesidad[14],
los datos personales registrados deben ser los estrictamente necesarios para el
cumplimiento de las finalidades perseguidas con la base de datos de que se
trate, de tal forma que se encuentra prohibido el registro y divulgación de
datos que no guarden estrecha relación con el objetivo de la base de datos.[15]
Según el principio de veracidad[16],
los datos personales deben obedecer a situaciones reales, deben ser ciertos, de
tal forma que se encuentra prohibida la administración de datos falsos o
erróneos.
Según el principio de integridad,[17]
estrechamente ligado al de veracidad, la información que se registre o se
divulgue a partir del suministro de datos personales debe ser completa, de tal
forma que se encuentra prohibido el registro y divulgación de datos parciales,
incompletos o fraccionados. Con todo, salvo casos excepcionales, la integridad
no significa que una única base de datos pueda compilar datos que, sin valerse
de otras bases de datos, permitan realizar un perfil completo de las personas.
Según el principio de finalidad, tanto el acopio, el
procesamiento y la divulgación de los datos personales, debe obedecer a una
finalidad[18]constitucionalmente
legítima, definida de manera clara, suficiente y previa; de tal forma que queda
prohibida la recopilación de datos sin la clara especificación acerca de la
finalidad de los mismos, así como el uso o divulgación de datos para una
finalidad diferente a la inicialmente prevista[19].
Según el principio de utilidad, tanto el acopio, el
procesamiento y la divulgación de los datos personales, debe cumplir una
función[20] determinada, como
expresión del ejercicio legítimo del derecho a la administración de los mismos;
por ello, está prohibida la divulgación de datos que, al carecer de  función,
no obedezca a una utilidad clara o determinable.
Según el principio de circulación restringida,
estrechamente ligado al de finalidad, la divulgación y circulación de la
información está sometida a los límites específicos determinados por el objeto
de la base de datos[21], por la autorización del
titular y por el principio de finalidad, de tal forma que queda prohibida la
divulgación indiscriminada de los datos personales[22].
Según el principio de incorporación[23],
cuando de la inclusión de datos personales en determinadas bases, deriven
situaciones ventajosas para el titular, la entidad administradora de datos
estará en la obligación de incorporarlos, si el titular reúne los requisitos
que el orden jurídico exija para tales efectos, de tal forma que queda prohibido
negar la incorporación injustificada a la base de datos.
Según el principio de caducidad, la información
desfavorable al titular debe ser retirada[24] de las bases
de datos siguiendo criterios de razonabilidad[25] y
oportunidad, de tal forma que queda prohibida la conservación indefinida[26]
de los datos después que han desaparecido las causas que justificaron su acopio
y administración.
Según el principio de individualidad, las
administradoras deben mantener separadamente las bases de datos que se
encuentren bajo su administración, de tal forma que queda prohibida la conducta
dirigida a facilitar cruce de datos a partir de la acumulación de informaciones
provenientes de diferentes bases de datos[27].
Además de las obligaciones derivadas de los principios
rectores del proceso de administración de bases de datos personales, existen
otros que tienen su origen directo en normas constitucionales y legales, sobre
todo lo realtivo a la obligación de diligencia en el manejo de los datos
personales y la obligación de indemnizar los perjuicios causados por las
posibles fallas en el proceso de administración.
c.) Los datos personales y las diversas
clasificaciones de la información.
Definición y características del dato personal: objeto
protegido.
Acogiendo posiciones doctrinales en la materia, desde
la sentencia T-414 de 1992, la Corte ha señalado como características del dato
personal[28] las siguientes: i) estar
referido a aspectos exclusivos y propios de una persona natural, ii) permitir
identificar a la persona, en mayor o menor medida, gracias a la visión de
conjunto que se logre con el mismo y con otros datos; iii) su propiedad[29]
reside exclusivamente en el titular del mismo, situación que no se altera por
su obtención por parte de un tercero de manera lícita o ilícita, y iv) su
tratamiento está sometido a reglas especiales (principios) en lo relativo a su
captación, administración y divulgación.
Los datos personales se encuentran por lo general en
los llamados "bancos de datos", que han sido definidos como el
"conjunto de informaciones que se refieren a un sector particular del
conocimiento, las cuales pueden articularse en varias bases de datos y ser
distribuidas a los usuarios de una entidad (administradora) que se ocupa de su
constante actualización y ampliación"[30].
Habeas data y derecho a la información.
Los datos personales, por sus condiciones especiales, prima
facie se encuentran fuera de la órbita de conductas protegidas por el
régimen general del derecho constitucional a la información. En consecuencia,
la colisión entre derecho al habeas data o derecho a la
autodeterminación informática y derecho a la información, deberá resolverse
atendiendo las particularidades tanto de la información, convertida en datos
personales, como de los rasgos y poder de irradiación del derecho a la
autodeterminación informática
Clasificación de la información.
Para la adecuada comprensión de la colisión entre los
derechos a la información y al habeas data, en ocasiones extensible al
derecho a la intimidad, la Corte propone una tipología de la información que,
mediante el manejo de criterios más o menos estables, facilite la unificación
de la jurisprudencia constitucional y la seguridad jurídica entre los actores
más usuales de los mismos.
La primera gran tipología, es aquella dirigida a
distinguir entre la información impersonal y la información personal. A su vez,
en esta última es importante diferenciar igualmente la información personal
contenida en bases de datos computarizadas o no y la información personal
contenida en otros medios, como videos o fotografías, etc.
En función de la especialidad del régimen aplicable al
derecho a la autodeterminación, esta diferenciación es útil principalmente por
tres razones: la primera, es la que permite afirmar que en el caso de la
información impersonal no existe un límite constitucional fuerte[31]
al derecho a la información, sobre todo teniendo en cuenta la expresa
prohibición constitucional de la censura (artículo 20 inciso 2º), sumada en
algunos casos a los principios de publicidad, transparencia y eficiencia en lo
relativo al funcionamiento de la administración pública (artículo 209) o de la
administración de justicia (artículo 228). Una segunda razón, está asociada con
la reconocida diferencia entre los derechos a la intimidad, al buen nombre y al
habeas data, lo cual implica  reconocer igualmente las diferencias entre
su relación con la llamada información personal y su posible colisión con el
derecho a la información. La tercera razón, guarda relación con el régimen
jurídico aplicable a los llamados procesos de administración de datos inspirado
por principios especiales y en el cual opera, con sus particularidades, el
derecho al habeas data.
La segunda gran tipología que necesariamente se
superpone con la anterior, es la dirigida a clasificar la información desde un
punto de vista cualitativo en función de su publicidad y la posibilidad legal
de obtener acceso a la misma. En este sentido la Sala encuentra cuatro grandes
tipos: la información pública o de dominio público, la información
semi-privada, la información privada y la información reservada o secreta.
Así, la información pública, calificada como tal según
los mandatos de la ley o de la Constitución, puede ser obtenida y ofrecida sin
reserva alguna y sin importar si la misma sea información general, privada o
personal. Por vía de ejemplo, pueden contarse los actos normativos de carácter
general, los documentos públicos en los términos del artículo 74 de la
Constitución, y las providencias judiciales debidamente ejecutoriadas;
igualmente serán públicos, los datos sobre el estado civil de las personas o
sobre la conformación de la familia. Información que puede solicitarse por
cualquier persona de manera directa y sin el deber de satisfacer  requisito
alguno.
La información semi-privada, será aquella que por
versar sobre información personal o impersonal y no estar comprendida por la
regla general anterior, presenta para su acceso y conocimiento un grado mínimo
de limitación, de tal forma que la misma sólo puede ser obtenida y ofrecida por
orden de autoridad administrativa en el cumplimiento de sus funciones o en el
marco de los principios de la administración de datos personales. Es el caso de
los datos relativos a las relaciones con las entidades de la seguridad social o
de los datos relativos al comportamiento financiero de las personas.
La información privada, será aquella que por versar
sobre información personal o no, y que por encontrarse en un ámbito privado,
sólo puede ser obtenida y ofrecida por orden de autoridad judicial en el
cumplimiento de sus funciones. Es el caso de los libros de los comerciantes, de
los documentos privados, de las historias clínicas o de la información extraída
a partir de la inspección del domicilio.
Finalmente, encontramos la información reservada, que
por versar igualmente sobre información personal y sobretodo por su estrecha
relación con los derechos fundamentales del titular - dignidad, intimidad y
libertad- se encuentra reservada a su órbita exclusiva y no puede siquiera ser
obtenida ni ofrecida por autoridad judicial en el cumplimiento de sus
funciones. Cabría mencionar aquí la información genética, y los llamados
"datos sensibles"[32] o relacionados con la
ideología, la inclinación sexual, los hábitos  de la persona, etc.
Para la Corte, esta tipología es útil al menos por dos
razones: la primera, porque contribuye a la delimitación entre la información
que se puede publicar en desarrollo del derecho constitucional a la
información, y aquella que constitucionalmente está prohibido publicar como
consecuencia de los derechos a la intimidad y al habeas data. La
segunda, porque contribuye a la delimitación e identificación tanto de las
personas como de las autoridades que se encuentran legitimadas para acceder o
divulgar dicha información.
d.) Deficiencia de mecanismos de protección de los
derechos fundamentales relacionados con el manejo de las bases de datos.
Ausencia de regulación.
Ante la inexistencia de mecanismos ordinarios de
protección de los derechos relacionados con la libertad informática[33],
y la ausencia de una ley estatutaria que regule con amplitud esta materia,
situación denunciada en múltiples oportunidades por esta Corte[34],
y aceptando que la acción de tutela a pesar de su especial importancia en
materia de protección de los derechos al habeas data y a la intimidad,
no constituye herramienta suficiente para la reconducción adecuada de las
conductas desarrolladas en el ámbito del poder informático, la Corte como
guardiana de la integridad y supremacía de la Constitución, y en desarrollo del
principio de eficacia de los derechos fundamentales, hará la siguiente
declaración: reiterará la invitación al Congreso de la República e incluso a la
Procuraduría General de la Nación y a la Defensoría del Pueblo, para que en la
medida de sus posibilidades presenten e impulsen respectivamente, un proyecto
de ley estatutaria que ofrezca una regulación amplia,  consistente e integral
en la materia.
Dada la necesidad de proteger efectivamente y de
manera categórica el derecho a la autodeterminación informática, la Corte
considera indispensable que se establezcan normas sobre la obligación de
adoptar los mecanismos de seguridad adecuados, que permitan la salvaguardia de
la información contenida en las bases de datos. Se requieren normas que
establezcan sanciones y regímenes especiales de responsabilidad para las entidades
administradoras de bases de datos y para los usuarios de la información, así
como normas dirigidas a desestimular y sancionar prácticas indebidas en
ejercicio del poder informático: cruce de datos, divulgación indiscriminada,
bases de datos secretas, entre otras. Por último, también son indispensables
normas que regulen los procesos internos de depuración y actualización de datos
personales, así como los de las solicitudes de rectificación, adición y
supresión de los mismos.
De igual manera, con el fin de que se pueda establecer
el equilibrio[35] correspondiente entre
los derechos a la información y a la autodeterminación informática, es
necesario que el acceso a la información personal debidamente administrada se
realice bajo dos principios, llamados a operar bajo la premisa de la posición
de garante[36] de la entidad
administradora y del peticionario: el principio de responsabilidad compartida,
según el cual, tanto quien solicita la información como quien la suministra,
desarrollen su conducta teniendo en cuenta la existencia de un interés
protegido en cabeza del titular del dato. Y el principio de cargas mutuas,
según el cual, a mayor información solicitada por un tercero, mayor detalle
sobre su identidad y sobre la finalidad de la información.
5. Del caso concreto.
En el presente caso corresponde a la Sala
definir si, con la posibilidad de que cualquier persona pueda acceder a datos
personales del señor Carlos Antonio Ruiz Gómez, mediante la digitación de su
número de identificación, gracias a la manipulación de bases de datos
publicadas en sendas páginas de la Internet por parte del Departamento
Administrativo de Catastro del Distrito de Bogotá y de la Superintendencia
Nacional de Salud, se desconocen sus derechos fundamentales a la
autodeterminación informática o a la intimidad.
El caso de los datos personales dispuestos
en la página de Internet de Catastro Distrital.
La Sala comparte la opinión del
representante de Catastro, en el sentido de afirmar que la información
disponible con la digitación del número de cédula es precaria, y que para el
acceso a información específica sobre los diversos bienes inmuebles
registrados, es necesario reunir cuatro de cinco datos posibles. Datos que, por
el carácter confidencial de los mismos, hacen imposible que terceros totalmente
ajenos al titular del número de identificación, tengan acceso a información
pormenorizada de los diversos bienes.
En este orden de ideas, teniendo en cuenta
la inocuidad de la información accesible tras la digitación del número de
identificación[37], podría eventualmente
concluirse que la conducta de Catastro no vulnera derecho fundamental alguno.
Sin embargo, para la Corte, la
recopilación y publicación de la información contenida en la base de datos de
Catastro, está sometida a los principios de la administración de datos,
precisamente por que la misma está conformada por datos personales mediante los
cuales se asocia una realidad patrimonial con una persona determinada. La Sala,
al examinar en el caso concreto el poder de irradiación de estos principios
como manifestación del derecho a la autodeterminación informática, encuentra
que se presenta una vulneración de los derechos fundamentales del señor Carlos
Antonio Ruiz Gómez. Las razones son las siguientes:
1.)  En primer lugar, la conducta de
Catastro no se ajusta al principio de libertad,  bacilar en los procesos
de administración de datos. Según este principio, la publicación y divulgación
de la información, debe estar precedida de autorización expresa y libre de
vicios del titular de los datos. Encuentra la Sala que, esta circunstancia no
fue atendida por Catastro, quien procedió a la publicación de la base en la
Internet, sin el consentimiento previo del señor Carlos Antonio Ruiz.
2.) En segundo lugar, la conducta de
Catastro desconoce de manera indirecta el principio de finalidad, en cuanto
que permite el acceso indiscriminado a la información personal del señor
Carlos Antonio Ruiz a través de su publicación en la Internet.  Para la Corte,
el proceso de administración de datos personales debe obedecer a una finalidad
definida de manera clara y previa, que en el caso de catastro se concreta en la
posibilidad de acceso a la información predial en determinadas condiciones y
por ciertas personas naturales o jurídicas.   En este sentido, Catastro, al
facilitar el acceso a información personal de manera indiscriminada,
distorsiona la finalidad a la cual estaba llamada la base de datos,  pues
permite que extraños, sin intereses visibles, accedan a la información sin que
sea posible ningún tipo de control por parte de sus  titulares.
3.) En tercer lugar, las condiciones de
acceso indiscriminado a la información, aunque esta sea precaria,  constituyen
un riesgo cierto que debe ser evitado ante la posible elaboración de perfiles
virtuales.  Esta situación conduce a analizar el acance del principio de
individualidad.  Según este principio, el Departamento Administrativo de
Catastro, como administrador de datos personales, debe abstenerse de realizar
conductas que  faciliten  el cruce de datos  y la construcción de perfiles
individuales.  Nuevamente encuentra la Corte que, Catastro, con la publicación
de información patrimonial del señor Carlos Antonio Ruiz Gómez, al facilitar
las condiciones para que la misma sea sumada a otra, con el concurso de
diversas fuentes de información, vulnera  su derecho a la autodeterminación
informática.
En conclusión,  a partir de la
inobservancia y desconocimiento de los principios de libertad, finalidad e
individualidad, rectores de la administración de datos personales, la Sala
considera lo siguiente: con la publicación de la base de datos sobre la
información catastral de Bogotá en la Internet, tal y como está dispuesta, el Departamento
administrativo de Catastro Distrital de Bogotá, vulnera el derecho fundamental
a la autodeterminación informática del señor Carlos Antonio Ruiz Gómez.
En consecuencia, se torna indispensable
conceder la tutela invocada y ordenar a la respectiva entidad que haga cesar la
conducta vulneratoria del  derecho, de tal forma que en adelante se abstenga de
publicar, con posibilidad de acceso indiscriminado y sin el consentimiento
previo y libre, información personal del señor Carlos Antonio Ruiz Gómez.
El caso de los datos personales dispuestos
en la página de Internet de la Superintendencia Nacional de Salud.
En este aspecto, la Sala considera que la
información disponible tras la digitación del número de identificación, al
estar referida a datos personales del actor que tienen la virtud de revelar
aspectos de su órbita privada (su condición de afiliado o no, la condición de
beneficiarios de ciertas personas, la EPS a la cual se encuentra afiliado, si
está o no en mora, la fecha de afiliación, las posibles modificaciones en la
afiliación, etc.), se encuentra sometida a los principios de la administración
de datos personales, en los términos de esta sentencia.
Según el principio de finalidad, los
datos, además de procurar un objetivo constitucionalmente protegido, deben
conservar el propósito por el cual fueron suministrados u obtenidos,  el cual
está determinado generalmente por los ámbitos específicos en los que dicha
operación se realiza y que en este caso es el propio de las relaciones privadas
entre el titular de los datos y las entidades de la seguridad social.
Este principio, ligado al de la
circulación restringida, indica que efectivamente la información personal
del señor Carlos Antonio Ruiz Gómez, por ser información semi-privada, está
llamada a circular exclusivamente dentro de las entidades que conforman el
sistema integral de seguridad social en salud.
En este sentido, la Sala reconoce que a
pesar de existir un interés público en la información contenida en esta base de
datos, el cual está mediado por el derecho a la información de las entidades
que incorporan el sistema integral de seguridad social en salud (fines de
control en los pagos, de cobertura, de volumen de beneficiarios y demás
utilidades de tipo estadístico amparadas en la ley), del mismo no se desprende
la posibilidad de conocimiento indiscriminado de la información, situación que
se facilita por su disponibilidad y libertad de acceso gracias a  la Internet.
Considera entonces la Corte que, con la publicación
de la base de datos sobre  los afiliados al sistema integral de seguridad
social en Salud, la Superintendencia Nacional de Salud vulnera el derecho
fundamental a la autodeterminación informática del señor Carlos Antonio Ruiz
Gómez.  En efecto, toda vez que este tipo de  datos personales está catalogado
como información semi-privada, es decir que su acceso se encuentra restringido,
la posibilidad de su conocimiento por parte de terceros totalmente ajenos al
ámbito propio en el cual se obtuvo dicha información, a partir del sencillo
requisito de digitar su número de identificación, desconoce los principios
constitucionales de libertad, finalidad, circulación restringida e
individualidad propios de la administración de datos personales.
Por lo anterior, resulta procedente
conceder la tutela invocada y ordenar a la respectiva entidad que haga cesar la
conducta vulneratoria de su derecho, en el sentido de permitir que cualquier
persona tenga acceso a información personal sobre el actor.
Lo anterior no obsta para que la
Superintendencia Nacional de Salud pueda adelantar la actividad de
administración de la referida base de datos, siempre y cuando la misma se
desarrolle en el ámbito propio del sistema integral de seguridad social en
salud, de tal forma que la base de datos pueda ser conocida por las personas
autorizadas para ello, en concordancia con las finalidades de las entidades
promotoras de salud, las instituciones prestadoras, las entidades de control,
los usuarios y demás personas que integran el régimen de seguridad social de
salud.
Los casos de los datos personales
dispuestos en las páginas de Internet de Catastro Distrital y de la
Superintendencia Nacional de Salud.
Ante el surgimiento del poder informático,
la existencia de un número único de identificación de los nacionales
colombianos se ha constituido hoy en un factor de riesgo para el ejercicio de
los derechos fundamentales.  Esta  situación se hace evidente, ante la relativa
facilidad de efectuar los llamados "cruces de datos", de tal forma
que con la digitación de un sólo dato (el número de identificación) y la
disponibilidad de varias bases de datos personales, es posible en contados
minutos elaborar un "perfil virtual" de cualquier persona.
Esta posibilidad, cercana a la vulneración
del derecho a la autodeterminación informática, se pone en evidencia en el caso
bajo estudio, aunque de manera aparentemente inocua.   En este orden de ideas
considera la Sala que, aunque precaria, tanto la información patrimonial, como
la información acerca del núcleo familiar y de las características de la
afiliación al sistema de seguridad social en salud del señor Carlos Antonio
Ruiz Gómez, permite construir una pequeña semblanza del titular, que incluso
podría perfeccionarse ante la posibilidad de acceso indiscriminado a nuevas
bases de datos personales.
Esta situación afecta sus derechos
fundamentales, no sólo en lo que concierne a la autodeterminación informática,
sino también en lo relativo a su intimidad, libertad e integridad física, entre
otros.
Considera entonces la Sala que, ante la
posibilidad de acceso a  múltiples bases de datos personales (publicadas ahora
en la Internet), el fortalecimiento del poder informático (caracterizado por su
titularidad en ocasiones anónima), y la carencia casi absoluta de controles, se
han incrementado los riesgos de vulneración efectiva no sólo del derecho a la
autodeterminación informática, sino de los demás derechos fundamentales puestos
en juego en el ámbito informático: la intimidad, la libertad e incluso la
integridad personal.
Estos riesgos, como lo ha señalado la
Corte, por su magnitud y especial naturaleza, son inevitables e irremediables
mediante el simple ejercicio de la acción de tutela. Es entonces por esta razón
y ante la evidencia que el caso bajo estudio supone en términos de certeza y
potencialidad de los riesgos de afectación de los derechos fundamentales, que
la Sala considera urgente la expedición de una regulación integral, comprensiva
y suficiente en la materia, como se procederá a declararlo en la parte
resolutiva de la presente sentencia.
III. DECISION.
En mérito de lo expuesto, la Sala Séptima de
Revisión de la Corte Constitucional, administrando justicia en nombre del
pueblo colombiano y por mandato de la Constitución Política de 1991,
RESUELVE:
Primero.
Revocar la sentencia
proferida por la Sala Laboral del Tribunal Superior de Distrito Judicial de
Bogotá, y en su lugar Conceder la tutela al derecho a la autodeterminación informática
vulnerado por el Departamento Administrativo de Catastro de Bogotá y por la
Superintendencia Nacional en Salud, por la publicación de sendas bases de datos
en páginas de la internet. En consecuencia, se les ordena
eliminar cualquiera
posibilidad de acceso indiscriminado, mediante la digitación del número de
identificación, a los datos personales del ciudadano Carlos Antonio Ruiz Gómez,
en los términos de esta sentencia.
Segundo.
Exhortar al Procurador
General de la Nación para que en cumplimiento de sus deberes constitucionales,
consagrados en los artículos 277 numeral 2º,  y 278 numeral 3º de la
Constitución, promueva la presentación de un proyecto de ley estatutaria con el
fin de dotar a los ciudadanos colombianos de mecanismos suficientes para la protección
de los derechos fundamentales a la autodeterminación informática, habeas
data, intimidad, libertad e información, entre otros.
Tercero.
Exhortar al  Defensor del
Pueblo para que en cumplimiento de sus deberes constitucionales consagrados en
el artículo 282 numeral 6º de la Constitución, promueva la presentación de un
proyecto de ley estatutaria con el fin de dotar a los ciudadanos colombianos de
mecanismos suficientes para la protección de los derechos fundamentales a la
autodeterminación informática, habeas data, intimidad, libertad e
información, entre otros.
Cuarto.
Exhortar al Congreso de la
República para que en la medida de sus posibilidades tramite y apruebe el
respectivo proyecto de ley estatutaria sobre las condiciones de ejercicio, principios,
y mecanismos judiciales y administrativos de protección de los derechos
fundamentales a la autodeterminación informática, habeas data,
intimidad, libertad e información, entre otros.
Quinto. Por Secretaría General de esta
Corporación librar las comunicaciones de que trata el decreto 2591 de
1991.
Comuníquese, notifíquese, cúmplase e insértese en la
Gaceta de la Corte Constitucional.
Eduardo
Montealegre Lynett
Magistrado.
álvaro Tafur
Gálvis
Magistrado.
CLARA INÉS VARGAS HERNÁNDEZ
Magistrada.
MARTHA
VICTORIA SÁCHICA MÉNDEZ
Secretaria
General
[1] En la sentencia T-414 de 1992, la Corte, siguiendo al
profesor Vittorio Frosini, definió el poder informático como una especie de
"dominio social sobre el individuo", consistente en "la
posibilidad de acumular informaciones en cantidad ilimitada, de confrontarlas y
agregarlas entre sí, de hacerle un seguimiento en una memoria indefectible, de
objetivizarlas y transmitirlas como mercancía en forma de cintas, rollos o
discos magnéticos". Así mismo, en la sentencia T-307 de 1999, afirmó:
" En las sociedades tecnológicas contemporáneas el manejo sistemático de
datos personales sirve a propósitos tan variados como  apoyar los procesos de
distribución de las cargas y los bienes públicos; facilitar la gestión de las
autoridades militares y de policía; o, fomentar el funcionamiento del mercado.
En tales condiciones, quien tiene la posibilidad de acopiar, ordenar, utilizar
y difundir datos personales adquiere un poder de facto, denominado “poder
informático”... Como puede advertirse, el abuso o la negligencia en el
ejercicio de este enorme poder, apareja un serio riesgo, entre otros, para los
derechos fundamentales a la personalidad, a la identidad, a la igualdad, a la
intimidad, a la honra, al buen nombre o al debido proceso del sujeto
concernido."
[2] Así lo interpretó la Corte en la sentencia T-307 de
1999, al afirmar que "El habeas data es un derecho fundamental
autónomo que tiene la función primordial de equilibrar el poder entre el sujeto
concernido por el dato y aquel que tiene la capacidad de recolectarlo,
almacenarlo, usarlo y transmitirlo."
[3] En las sentencias T-094 de 1995, T-097 de 1995 y
T-119 de 1995, la Corte, a pesar de reconocer al habeas data como
"derecho autónomo", sigue tratándolo como garantía, en la medida en
que lo considera un instrumento para la protección de otros derechos como la
intimidad, la honra y el buen nombre.
[4] Sobre el derecho innominado a "conocer,
actualizar y rectificar las informaciones recogidas en archivos y bancos de
datos" de que trata el artículo 15 de la Constitución, y que ha sido
asociado al concepto de habeas data, la Corte en la sentencia T-414 de
1992  lo definió como derecho a la "libertad informática". Así mismo,
en la sentencia SU-082 de 1995, lo definió como derecho a la
"autodeterminación informática", y en la sentencia T-552 de 1997 como
"autodeterminación informativa".
[5] Esta equivalencia se pone de manifiesto en la
sentencia SU- 082 de 1995 en la cual la Corte afirma que el derecho a la
autodeterminación informática, constituye el "núcleo esencial" del
derecho al habeas data. En el mismo sentido Cfr., sentencias T-552 de
1997 y T-307 de 1999.
[6] La Corte ha entendido el habeas data como un
derecho autónomo, como una garantía y como un derecho-garantía. Si bien en
estricto rigor, se trata de la garantía de los derechos a la autodeterminación
informática y a la libertad, ante la ausencia de normatividad tanto sustantiva
como procesal, y para efectos de su justiciabilidad por parte del juez de
tutela, se entenderá como un derecho-garantía en los términos de la sentencia
T-307 de 1999.
[7] A partir de la sentencia T-414 de 1992, la Corte
tuteló indistintamente los derechos a la intimidad y a la autodeterminación
informática en los casos en los cuales estuvieran comprometidos derechos
fundamentales y datos personales. Sólo hasta la sentencia T-552 de 1997, la
Corte deslinda definitivamente los dos derechos. Sobre esta evolución
jurisprudencial se pueden consultar las sentencias T-022 de 1993, en la que la
Corte resuelve un caso sobre vulneración de derechos a partir de la divulgación
de datos erróneos, y trata indistintamente los derechos a la intimidad y a la
autodeterminación informática; en la sentencia SU-082 de 1995, al resolver un
caso de supuesta vulneración de derechos a partir de divulgación de datos
personales incompletos, la Corte confunde el derecho a la autodeterminación
informática en materia de hechos crediticios representados en datos personales
y el derecho a la intimidad, al concluir que no se vulneraba el derecho a la
intimidad, debido a que la información crediticia no integra el ámbito de
protección de este derecho; en la sentencia T-176 de 1995, a pesar de que la
Corte afirma que el derecho a la autodeterminación informática se encuentra
"claramente diferenciado del derecho a la intimidad y el buen
nombre", la herencia jurisprudencial de la sentencia SU-082 de 1995,
reiterada en el caso, no permite sostener tal afirmación; en la sentencia T-261
de 1995, al resolver sobre la legitimidad de la conducta de un depositario de
datos personales que los cedió a un tercero sin la debida autorización del
titular, la Corte, a partir de la confusión entre el derecho a la
autodeterminación informática y el derecho a la intimidad, debido a que los
datos personales suministrados (nombre, dirección y teléfono) eran de dominio
público, no encontró violación del derecho a la intimidad.
[8] La Corte en la sentencia T-552 de 1997, al resolver
un caso acerca de la divulgación de datos personales en materia crediticia,
afirmó que si bien con tal conducta no se vulneraba el derecho a la intimidad,
si se podría vulnerar el derecho a la  "autodeterminación
informativa" siempre y cuando los datos divulgados no fueran completos,
reales o actuales. Dijo la Corte: "El derecho al habeas data es,
entonces, un derecho claramente diferenciado del derecho a la intimidad, cuyo
núcleo esencial está integrado por el derecho a la autodeterminación
informativa...". Frente al caso concreto, dijo la Corte que “aunque el
actor considerara que el demandado atropelló su derecho a la intimidad, lo cierto
es que según lo visto, no es este derecho, sino el del habeas data, el
que podría resultar vulnerado, de llegarse a comprobar que la entidad de
crédito divulgó información errónea". Finalmente en la sentencia T-527 de
2000, se estableció con claridad la diferencia, en los siguientes términos:
"De otra parte, la Corporación debe reiterar, una vez más su doctrina
jurisprudencial, en el sentido de que el artículo 15 superior establece tres
derechos con sus dimensiones específicas a saber: el derecho a la intimidad, al
buen nombre y al habeas data, este último relacionado, en buena medida
con los datos de carácter crediticio o económico." Situación reflejada en
la parte resolutiva, en la cual la Corte decidió tutelar el derecho al habeas
data por haber ocurrido la caducidad del dato adverso.  En el mismo sentido
véase la sentencia T-578 de 2001.
[9] En este sentido, en sentencia T-414 de 1992, la Corte afirmó: "la
libertad informática, consiste ella en la facultad de disponer de la
información, de preservar la propia identidad informática, es decir, de
permitir, controlar o rectificar los datos concernientes a la personalidad del
titular de los mismos y que, como tales, lo identifican e individualizan ante
los demás." Así mismo, en sentencia SU-082 de 1995, afirmó: "La
autodeterminación informática es la facultad de la persona a la cual se
refieren los datos, para autorizar su conservación, uso y circulación, de
conformidad con las regulaciones legales." Y en la sentencia T-552 de 1997
afirmó: "...el derecho a la autodeterminación informativa implica, como lo
reconoce el artículo 15 de la Carta Fundamental, la facultad que tienen todas
las personas de “conocer, actualizar y rectificar las informaciones que se
hayan recogido sobre ellas en bancos de datos y en archivos de entidades
públicas y privadas.”
[10] El fundamento de validez de los llamados principios
de la administración de datos personales, se encuentra en el segundo inciso del
artículo 15 de la Constitución, el cual constituye en términos de la Corte,
"el contexto normativo y axiológico dentro del cual debe moverse,
integralmente el proceso informático" y del cual derivan "unas reglas
generales que deben ser respetadas para poder afirmar que el proceso de acopio,
uso y difusión de datos personales sea constitucionalmente legítimo", y
que a su vez son el resultado "de la aplicación directa de las normas
constitucionales al proceso informático." Así en sentencia T-307 de 1999
(consideración 20)
[11] En la sentencia T-022 de 1993, la Corte resolvió el
caso de la circulación de datos personales de contenido crediticio sin el
consentimiento del titular de los datos. Es así como la Corte, bajo la
necesidad de "favorecer una plena autodeterminación de la persona" y
ante la "omisión de obtener la autorización expresa y escrita del titular
para la circulación  de sus datos económicos personales", resolvió
conceder la tutela de los derechos a la intimidad y al debido proceso (léase
propiamente habeas data) y ordenó a la central de información financiera
el bloqueo de las datos personales del actor. Este principio encuentra su
justificación, en la necesidad de evitar el riesgo que el poder informático
entraña, en la medida que con el mismo se pueden afectar derechos fundamentales
del titular del dato.
[12] Véase esta cualificación del consentimiento como
libre, previo y expreso, en sentencia SU-082 de 1995 (consideraciones sexta y
décima). Así mismo en sentencias T-097 de 1995,  T-552 de 1997 T-527 de 2000 y
T-578 de 2001.
[13] Sobre esta prohibición, a propósito de  la
interpretación del enunciado del artículo 15 de la Constitución y de la manera
como se deben manejar los datos en relación con el principio de libertad, la
Corte en la sentencia SU-028 de 1995, afirmó: "los datos conseguidos, por
ejemplo, por medios ilícitos no pueden hacer parte de los bancos de datos y
tampoco pueden circular. Obsérvese la referencia especial que la norma hace a
la libertad, no sólo económica sino en todos los órdenes. Por esto, con razón
se ha dicho que la libertad, referida no sólo al aspecto económico, hace parte
del núcleo esencial del habeas data." En el mismo sentido en la
Sentencia T-176 de 1995, consideró como una de las hipótesis de la vulneración
del derecho al habeas data la recolección de la información "de
manera ilegal, sin el consentimiento del titular de dato."
[14] Sobre este principio y su relación con el principio
de finalidad, la Corte en sentencia T-307 de 1999, afirmó: "la información
solicitada por el banco de datos, debe ser la estrictamente necesaria y útil,
para alcanzar la finalidad constitucional perseguida. Por ello, los datos sólo
pueden permanecer consignados en el archivo mientras se alcanzan los objetivos
perseguidos. Una vez esto ocurra, deben desaparecer" (consideración 20).
[15] En este sentido, la Corte en sentencia SU-082 de
1995, bajo la clasificación de los datos personales, en datos íntimos y datos
personales no íntimos, consideró prohibida la inclusión de información que
pertenezca a la esfera íntima de la persona, por considerarla violatoria del
derecho a la intimidad, con lo cual empieza a perfilar el llamado principio de
necesidad determinado por el objeto y la función específica de cada base de
datos. Ya en la sentencia T-176 de 1995, la Corte consideró como una de la
hipótesis de vulneración del derecho al habeas data, que la información
recaiga "sobre aspectos íntimos de la vida de su titular no susceptibles
de ser conocidos públicamente".
[16] Sobre el principio de veracidad, en las sentencias
SU-082 de 1995 y SU-089 de 1995, la Corte afirmó como contenido del derecho al habeas
data, la facultad de solicitar la rectificación de la información que no
corresponda a la verdad (consideración quinta) Así mismo afirmó que no existe
derecho alguno a "divulgar información que no sea cierta"
(consideración sexta). Reiterada en la sentencia T-097 de 1995. Véase
igualmente sentencias T-527 de 2000 y T-578 de 2001, entre otras. En la
sentencia T-1085 de 2001, la Corte tuteló el derecho al habeas data al
considerar que la entidad administradora vició de parcialidad la información,
al suministrar datos negativos sin haber atendido la petición de dación en pago
que presentara el actor.
[17] Sobre el principio de integridad, la Corte en la sentencia
SU-082 de 1995, estudió el caso de la divulgación de datos personales de
contenido crediticio incompletos. Bajo el principio de la integridad, la Corte
decidió tutelar los derechos tanto a la información de que son titulares, en
este ámbito las entidades financieras, como el del habeas data del cual
es titular el propietario de los datos personales y ordenó a la entidad
administradora de datos, completar la información acerca del comportamiento
comercial del actor.
[18] En la sentencia T-022 de 1993, la Corte reconoce la
existencia de un "verdadero interés general" en la actividad de
administración de los datos personales de contenido crediticio, cuando con la
misma en términos de la Corte se "satisfaga la exigencia de dicho
interés", es decir, cuando la divulgación de la información se ajuste
única y exclusivamente a la finalidad para la cual se administra: que las
entidades financieras puedan medir el crédito y el nivel de riesgo de sus
futuros clientes.
[19] En este sentido, la Corte ha perfilado la llamada
teoría de los ámbitos, de tal forma que se admite que el suministro de datos
personales se realiza en un contexto más o menos delimitado. En consecuencia,
la referida información se destinará a realizar los fines exclusivos para los
cuales fue entregada por el titular, en relación con el objeto de la base de
datos y con el contexto en el cual estos son suministrados. Así, en sentencia
T-552 de 1997, la Corte afirmó como derivación del derecho a la
autodeterminación informativa, la facultad de poder exigir "el adecuado
manejo de la información que el individuo decide exhibir a los otros"
(consideración 2.1.)
[20] Para la Corte, la utilidad de la
información constituye una exigencia a partir de una concepción relativa de los
derechos, de tal forma que la ausencia de utilidad legítima constituiría un
abuso del derecho. En este sentido, en la sentencia T-119 de 1995, la Corte
consideró que la sola autorización de funcionamiento de las entidades
administradoras de datos, no constituía garantía de la legitimidad de sus
conductas. Dijo la Corte: "...es claro que, por una parte, los derechos
consagrados en la Constitución Política no son absolutos sino que encuentran
sus límites en el orden jurídico y en los derechos de los demás, y, por otra,
que quien abusa de su derecho, afectando a sus congéneres, no puede reclamar
para sí el reconocimiento de una conducta legítima, menos si con ellos deja
indefensa a su víctima."
[21] Así, en sentencia SU-082 de 1995, la Corte se
pronunció sobre el derecho de las entidades financieras a obtener información
sobre los perfiles de riesgo de los eventuales usuarios de sus servicios, el
cual se encuentra justificado y a la vez restringido a la defensa de los
intereses de la institución financiera. Dijo la Corte: "Obsérvese que
cuando un establecimiento de crédito solicita información sobre un posible
deudor, no lo hace por capricho, no ejerce innecesariamente su derecho a
recibir información. No, la causa de la solicitud es la defensa de los
intereses de la institución que, en últimas, son los de una gran cantidad de
personas que le han confiado sus dineros en virtud de diversos contratos."
[22] Es el caso de la llamada "información
específica" en materia registral. Como bien se sabe, la inscripción del
nacimiento se descompone en dos secciones, una genérica y otra específica;
aquella es de público conocimiento, ésta está sometida a circulación
restringida. La información específica, según el artículo 52 del Decreto ley
1260 de 1970 incluye: la hora, el lugar de nacimiento y las huellas plantares
del registrado, los nombres de padre y madre, su oficio, nacionalidad y estado
civil, así como el nombre del profesional que atendió el parto.  Esta
información según el artículo 108 del Decreto ley 1260 de 1970 está sometida a
circulación restringida.  Dice el artículo 115, "las copias y los
certificados de las actas, partidas y folios de nacimiento se reducirán a la
expresión del nombre, el sexo, el lugar y la fecha de nacimiento.    Las copias
y certificados que consignen el nombre de los progenitores y la calidad de la
filiación, solamente podrán expedirse en los casos en que sea necesario
demostrar el parentesco y con esa sola finalidad, previa indicación del
propósito y bajo recibo, con identificación del interesado.   La expedición y
detentación injustificada de copias o certificados de folios de registro de
nacimiento con expresión de los datos específicos mencionados en el artículo 52
(decreto ley 1260 de 1970) y la divulgación de su contenido sin motivo
legítimo, se considerarán atentados contra el derecho a la intimidad y serán
sancionados como contravenciones, en los términos de los artículos 53 a 56 del
Decreto ley 1118 de 1970."
[23] En la sentencia T-307 de 1999, al resolver el caso de
una actora que después de intentar infructuosamente durante varios años su
inclusión al régimen subsidiado de salud mediante el sistema SISBEN, y dada la
inexistencia de bases de datos que permitieran llevar un control efectivo y
real de los beneficiarios de dicho régimen por parte de la entidad territorial
responsable, la Corte, a partir de la existencia del llamado habeas data
aditivo, ordenó a la entidad territorial implementar mecanismos que permitiera
dispensar la información necesaria para efectos del reconocimiento de los
derechos a la salud, a la seguridad social , a la igualdad y al habeas data
de la peticionaria.
[24] Sobre el alcance de la obligación de retirar la
información negativa, la Corte, en sentencia T-022 de 1993, afirmó que una vez
satisfechos los presupuestos para solicitar la cancelación de los datos,
"ésta deberá ser total y definitiva. Vale decir, la entidad financiera no
podrá trasladarlos ni almacenarlos en un archivo histórico. Tampoco limitarse a
hacer una simple actualización del banco de datos cuando lo procedente es la
exclusión total y definitiva del nombre del peticionario favorecido con la
tutela. Porque ello no sólo iría en menoscabo del derecho al olvido sino que se
constituiría en instrumento de control apto para prolongar injerencias abusivas
o indebidas en la libertad e intimidad de su titular."
[25] Bajo el principio de razonabilidad, la Corte desde la
sentencia SU-082 de 1995, fijó reglas jurisprudenciales sobre los términos de
caducidad de los datos personales negativos, relativos a la información
financiera. Términos que están llamados a operar en casos similares, debido a
la ausencia de norma expresa y sobre todo a la necesidad de evitar "el
abuso del poder informático" como desarrollo necesario del derecho a la
autodeterminación informática. Sobre el tema pueden consultarse las siguientes
sentencias: SU-089 de 1995, T-527 de 2000, T856 de 2000, T-578 de 2001, entre otras.
Así mismo, en la sentencia T-119 de 1995, la Corte, tras haber transcurrido el
tiempo razonable de permanencia de la información adversa, tuteló el derecho al
habeas data y ordenó a la entidad administradora la cancelación
inmediata de los datos personales negativos.
[26] Correlativo a este "deber", la Corte, desde
la sentencia T-414 de 1992,  afirmó la existencia del llamado "derecho al
olvido", fundado en los principios de vigencia limitada en el tiempo del
dato personal y de integridad y veracidad de las informaciones. Principios que
imponen a las administradoras de datos, entre otras, la obligación de
permanente actualización o la de eliminación de los mismos según las
circunstancias del caso. Lo que no implica de manera alguna la negación o la
supresión de la historia de las personas, sino que en relación con los
principios de libertad y de no discriminación, la permanencia del dato negativo
ante la posibilidad y el riesgo de que de los mismos se desprendan futuras
privaciones a diversos derechos de su titular, impone la necesidad de su
cancelación o supresión de las bases de datos.
[27] Sobre la descripción de este riesgo, la Corte, en
sentencia T-414 de 1992, afirmó: "Es preciso, de otra parte, recordar que
a partir de la década del cincuenta máquinas tales como los computadores han hecho
posible no sólo crear e interconectar enormes "bancos de datos" que
pueden suministrar inmediatamente una vasta cantidad de información personal a
grandes distancias y en forma más comprensiva, sino también establecer
correlaciones entre datos que aisladamente son las más de las veces inofensivos
pero que reunidos pueden descubrir aspectos cuya revelación atenta contra la
libertad e intimidad del ciudadano."
[28] La primera aproximación jurisprudencial al concepto
se realizó en la sentencia T-414 de 1992, en la cual la Corte, adoptando uno de
elaboración doctrinal, definió  qué se entiende por dato personal, así:
"El dato que constituye un elemento de la identidad de la persona,
que en conjunto con otros datos sirve para identificarla a ella y solo a
ella...". Más adelante, en la sentencia T-022 de 1993, afirmó: "Por
su manifiesta incidencia en la efectiva identificación o posibilidad de
identificar a las personas, tal característica le confiere al dato una singular
aptitud para afectar la intimidad de su titular mediante investigaciones o
divulgaciones abusivas o indebidas."
[29] Así mismo, en la sentencia T-414 de 1992, frente a la
titularidad del dato y a su posibilidad de apropiación por un tercero, la Corte
indicó: "Lo cierto es que por las muy estrechas relaciones entre el dato
personal y la intimidad que atrás hemos destacado, la sola búsqueda y hallazgo
de un dato no autoriza a pensar que se ha producido simultáneamente su
apropiación exclusiva y, por tanto, la exclusión de toda pretensión por parte
del sujeto concernido en el dato. De ahí que no pueda hablarse de que existe un
propietario del dato con las mismas implicaciones como si se tratara de una
casa, un automóvil o un bien intangible. Tampoco cabe pensar que la entidad que
recibe un dato de su cliente en ejercicio de una actividad económica, se
convierte por ello mismo en su propietario exclusivo...".  En este mismo
fallo la Corte se pronunció acerca de la imposibilidad de someter los asuntos
concernientes a los datos personales al derecho clásico de propiedad, y excluyó
cualquier intento de reconocerle validez a la idea de su apropiación por parte
de terceros.
[30] Sobre esta definición Cfr., sentencia  T-414 de 1992.
[31] Esta calificación se justifica, entre otras, en
virtud de la existencia de ciertos derechos igualmente constitucionales, como
es el caso de los derechos de propiedad intelectual (artículo 61 de la
Constitución) que constituyen un límite de rango constitucional al derecho a la
información.
[32] En la sentencia T-307 de 1999, sobre la llamada
información "sensible", la Corte afirmó: "...no puede
recolectarse información sobre datos “sensibles” como, por ejemplo, la
orientación sexual de las personas, su filiación política o su credo religioso,
cuando ello, directa o indirectamente, pueda conducir a una política de
discriminación o marginación."
[33] Sobre la inexistencia de una regulación comprensiva
del poder informático, y la insuficiencia de los mecanismos de protección
actualmente vigentes, la Corte se ha pronunciado en repetidas ocasiones. Así,
en las sentencias T-414 de 1992, SU-082 de 1995, T-307 de 1999 entre otras. En
esta última, frente al problema de la insuficiencia de los mecanismos de
protección, afirmó: "estos mecanismos resultan algunas veces insuficientes
para la garantía plena, pronta y efectiva de los derechos comprometidos en el
proceso informático. En efecto, no sólo se trata de garantías ex post,
que no establecen ab initio reglas claras para todas las partes
comprometidas en este proceso, sino que muchas veces no tienen el alcance
técnico que se requiere para lograr la verdadera protección de todos los bienes
e intereses que se encuentran en juego."
[34] Así en sentencias T-414 de 1992, SU-082 de 1995,
SU-089 de 1995 y T-307 de 1999.
[35] Sobre la posibilidad de armonización de los derechos
a la información y a la autodeterminación informática e intimidad, en la
sentencia T-097 de 1995 la Corte afirmó: "El funcionamiento de los bancos
de datos y archivos informáticos que corresponde al derecho de toda persona a
emitir y recibir informaciones (Artículo 20 C.P.) no es incompatible con el
respeto a los derechos fundamentales de las personas a quienes se refieren los
datos ni con la efectiva aplicación de los preceptos que los garantizan."
[36] La posición de garante tiene origen en el nivel de
riesgo que apareja la actividad de las administradoras de datos personales, lo
que se traduce en términos de la Corte, en un "deber de especial
diligencia" asociado al deber de garantizar el respeto a la dignidad
humana y  los derechos fundamentales a la libertad, buen nombre y honra de los
titulares de los datos Así, en sentencia T-414 de 1992. En un sentido similar
se pronunció la Corte en la sentencia T-1085 de 2001, caso en el cual, ante el
peligro de la negligencia en la actualización de la información que tiene la
virtud de viciar de parcialidad los reportes, se impone una "mayor
diligencia" de las administradoras de datos.
[37] En efecto se trata de datos generales acerca de uno
(y siempre el mismo) de los predios que figuren registrados con el número de
identificación, lo que torna imposible, tanto la elaboración de un perfil del
estado patrimonial real del titular del número de identificación, como la
ubicación certera de todos los bienes registrados bajo dicho número.