Source: https://1library.co/document/dy4wpv5q-habeas-data-y-direccion-ip-un-mercado-potencialmente-inseguro-para-los-datos-personales.html
Timestamp: 2020-04-10 19:03:36+00:00

Document:
#Dirección #Ip #Hábeas #Data #Privacidad #Datos Personales #Protección De Datos Personales
(1)HÁBEAS DATA Y DIRECCIÓN IP: UN MERCADO POTENCIALMENTE INSEGURO PARA LOS DATOS PERSONALES. ALVARO DE ANGULO SANZ LUZ ANGELA DUARTE GONZÁLEZ. PONTIFICIA UNIVERSIDAD JAVERIANA FACULTAD DE CIENCIAS JURÍDICAS MAESTRÍA EN DERECHO ECONÓMICO BOGOTÁ, COLOMBIA JULIO DE 2015.
(2) HÁBEAS DATA Y DIRECCIÓN IP: UN MERCADO POTENCIALMENTE INSEGURO PARA LOS DATOS PERSONALES. ALVARO DE ANGULO SANZ LUZ ANGELA DUARTE GONZÁLEZ. TESIS, TRABAJO DE GRADO. Director de Tesis: FERNANDO CASTILLO CADENA. PONTIFICIA UNIVERSIDAD JAVERIANA FACULTAD DE CIENCIAS JURÍDICAS MAESTRÍA EN DERECHO ECONÓMICO BOGOTÁ, COLOMBIA JULIO DE 2015.
(3) RESUMEN En el presente trabajo, se muestran los elementos jurídicos y microeconómicos que se consideran relevantes para tener en cuenta por parte del regulador en hábeas data, dado el mercado de la dirección IP; se realiza un análisis de diferentes teorías microeconómicas que permiten concluir que la clasificación formal de la dirección IP como dato personal, no es suficiente para garantizar la protección de la información personal que se comparte en Internet, siendo necesario una concientización por parte de los usuarios de Internet, de que toda la información al momento en que se comparte en la Red, adquiere el carácter de pública.. PALABRAS CLAVE: Dirección IP, hábeas data, privacidad, información personal, datos personales, mercado, regulación..
(4) TABLA DE CONTENIDO. INTRODUCCIÓN .......................................................................................................... 11 1. Privacidad en Internet y Entendimiento de la Dirección IP ..................................... 14 2. El hábeas data en Colombia y la dirección IP ........................................................ 23 2.1.. El hábeas data en Colombia ............................................................................ 23. 2.2. Entendimiento de la dirección IP como dato desde la regulación de hábeas data. 42 2.2.1.. Posición de GOOGLE................................................................................ 44. 2.2.2.. Posición de la Superintendencia de Industria y Comercio – SIC. .............. 45. 2.2.3.. Análisis Comparado .................................................................................. 47. 2.3.. La dirección IP como un dato personal de carácter sensible ........................... 52. 3. Análisis económico del mercado de la dirección IP ................................................ 54 3.1.. Determinación de los mercados ....................................................................... 55. 3.2.. Análisis de la Elección del Consumidor de Información Personal .................... 75. 3.3. Formas de intervención del Regulador y Análisis de los costos de producción de direcciones IP ....................................................................................................... 78 4. CONCLUSIONES ................................................................................................... 83 5. BIBLIOGRAFÍA ....................................................................................................... 86.
(5) HÁBEAS DATA Y DIRECCIÓN IP: UN MERCADO POTENCIALMENTE INSEGURO PARA LOS DATOS PERSONALES. INTRODUCCIÓN Actualmente, la humanidad se encuentra ante la peor crisis en materia de privacidad en toda la historia1. De hecho, Google es considerado como el mayor peligro en términos de hábeas data y existen fallos judiciales sobre el particular. En Colombia, y en razón al presente estudio, existe un Concepto del año 2015 en el cual la Superintendencia de Industria y Comercio sostiene que la dirección IP es un dato personal privado. A nivel mundial se ha dado un intenso debate en términos de hábeas data y privacidad, sobre el tratamiento que se le debe otorgar a la dirección IP. En algunos países del mundo, ya se ha resuelto este interrogante y los diferentes tribunales o autoridades competentes se han pronunciado sobre el particular, aunque en diversos sentidos. Hay quienes consideran que la dirección IP no debe ser catalogada como un dato personal, ya que no se encuentra vinculada a una persona natural, sino que identifica a una máquina en internet2. Por otro lado, hay quienes sostienen que a través de la dirección IP se puede conocer hasta los aspectos más íntimos y sensibles de una persona3.. Tene, O. (2008). What google knows: privacy and internet search engines. Utah, Estados Unidos: Utah Lwa Review. 2 En el capítulo Análisis Comparado se expondrá la sentencia del el Tribunal de Apelación de Paris. 3 Como la Agencia de Protección de Datos Española.. 1.
(6) El mercado de los datos personales ha tomado gran relevancia en la economía internacional y son considerados como la moneda de oro de la economía digital y el motor de la economía del siglo XXI4. En el presente trabajo se pretende brindar diferentes elementos de juicio, tanto jurídicos como económicos, para abordar un tema polémico y actual, como es la protección de datos personales en internet. Desde el punto de vista de los titulares de la información o los cibernautas en general, existe un desconocimiento o tolerancia excesiva frente al tratamiento que se les está otorgando a sus datos personales (este fenómeno se conoce como the chilling effect5). Desde el punto de vista constitucional se requiere regular el tratamiento del dato personal, más aun cuando la dirección IP, como se expondrá en el presente trabajo, es solo una de las formas que debe regularse para garantizar el derecho al hábeas data como consecuencia de las tecnologías de la información y las comunicaciones. Hoy en día es prácticamente imposible para una persona saber ¿qué datos se han recolectado sobre ella?, ¿quién los recolectó?, ¿qué usos le están dando a esa información?, ¿a quién le están permitiendo acceso a esa información?, o ¿a quién le están enviando o circulando sus datos personales? (Remolina, 2013, p. 2) La hipótesis que se busca demostrar en el presente trabajo, es la siguiente: en Colombia existe un mercado de direcciones IP asociadas a personas determinadas o determinables; aquello que se intercambia es un dato compuesto por la dirección IP, y el usuario al que le otorgaron dicha dirección. Ese dato, al permitir identificar el sujeto que. Remolina, N. (sin fecha determinada). ‘Big data, big problema?’. Ámbito Jurídico. Recuperado de: http://www.ambitojuridico.com/BancoConocimiento/N/noti-130723-13big_data_big_problem/noti-13072313big_data_big_problem.asp (Revisión 21/06/2015)13big_data_big_problem.asp 5 Tene, O., op. cit. 4.
(7) navega e interactúa en internet, facilita acceder a los gustos y preferencias de los consumidores, por lo que tiene un valor intrínseco para las estrategias políticas, de mercadeo, religiosas, etc. Para demostrar la mencionada hipótesis, se efectuará un análisis microeconómico del mercado de la dirección IP, entendida esta como un número asociado a una cuenta que identifica o podría identificar una persona6, con el fin de concluir cómo éste podría resultar afectado según la regulación que se adopte sobre la materia en Colombia. Dentro de las diferentes posibilidades, en el presente trabajo se sostendrá que la dirección IP es un dato personal sensible que incluso podría estar asociado a menores de edad. No obstante, no se puede perder de vista que la dirección IP es tan solo uno de los mecanismos con los que se puede asociar a una persona determinada en internet. Existen otras herramientas como cookies o mediante logging. Igualmente, desde el punto de vista técnico hay otras capas e identificaciones de un equipo en internet, como es el caso de la dirección MAC. Por lo tanto, el presente trabajo abordará un análisis económico y desde la regulación de hábeas data de tan sólo una de las capas de identificación de un equipo en Internet (la dirección IP), dejando la preocupación abierta sobre la existencia de otras formas de conocer el comportamiento de un usuario en Internet.. La mayoría de datos personales al analizarse de forma desagregada o individualizada, no tienen el potencial para determinar al titular de la información, aunque al agregarse, se produce el fenómeno conocido como BIG DATA.. 6.
(8) 1. Privacidad en Internet y Entendimiento de la Dirección IP. La información personal de los consumidores en términos de sus gustos y preferencias tiene un valor incalculable para las empresas y los departamentos de mercadeo. Los consumidores, de forma algo desprevenida, dan su información personal a cambio de algún descuento o concurso, por nombrar algún ejemplo. Al momento de realizar las compras en el supermercado, si el consumidor está afiliado a algún programa de fidelidad, entregará toda la información relativa a sus gustos, preferencias, restricciones económicas etc., a cambio de un descuento o acumulación de puntos. Entre más información entregue el consumidor, mayor será el descuento o incentivo esperado. En adición a la información personal que el usuario suministra de forma consciente y expresa, este tipo de registros en los supermercados genera un historial que permite garantizar una publicidad eficiente y dirigida al público correspondiente. En la red sucede algo similar; los comerciantes se esfuerzan por tener la mayor cantidad de información posible. Desean conocer de qué pagina venimos, cuáles son los intereses del usuario, la capacidad adquisitiva, etc. En la web, la información es más dirigida. La idea es no perder recursos, por ejemplo, promocionando carteras a hombres o niños, no ofertar suntuosos hoteles a personas que no tienen la capacidad adquisitiva, o libros o música que no son de su preferencia..
(9) Para no perder recursos con publicidad ineficiente, las empresas de mercadeo separan a sus clientes en “tribus”. Dependiendo de la “tribu” a la que pertenece, la publicidad se dirige en determinado sentido. La información que se obtiene para poder clasificar a una persona dentro de determinada “tribu” radica en su comportamiento en internet. Hay empresas como Accenture7 que dentro de sus servicios de consultoría incluye mercadotecnia basada en “perfiles virtuales”. Teniendo claro lo anterior, en el presente capitulo se pretende evidenciar la tensión existente entre tecnología y privacidad y la dirección IP como un dato que permite identificar personas determinadas en la web. Para el efecto, se expondrán algunos casos ilustrativos como son: Caso What Google Knows y Caso Contiendas Electorales8. Posteriormente, se analizará el entendimiento de la dirección IP para los propósitos del presente trabajo, estudiando el alcance que podría tener en términos de identificación del usuario del mismo.. 1.1.. Caso What Google Knows9 Los motores de búsqueda son los actores centrales de internet y hoy en día. Google es el rey indiscutible de las búsquedas. Google domina internet guiando usuarios a través del océano de datos no relacionados hacia la información buscada por el usuario con una precisión y velocidad sorprendente. Google juega con una interface simple y. Accenture es una Compañía multinacional de consultoría de gestión, servicios tecnológicos y outsourcing. Baker, S. (2011) Numerati. Lo saben todo de ti. España: Seix Barral. 9 Tene, O., op. cit.. 7. 8.
(10) amigable y un algoritmo complejo. Es evidente que Google es una poderosa herramienta que ha facilitado la forma en la que se navega en internet. No obstante lo anterior, el poder que ha adquirido Google como el último árbitro en el éxito comercial de una empresa, ha llamado la atención hasta el punto que la existencia comercial de ésta depende de aparecer en los resultados de búsqueda de Google. En igual sentido, existe una generalizada preocupación por el poder informático que ha adquirido Google, por la gran cantidad de datos personales que administra, convirtiéndose así en la base de datos central para usuarios de información personal. No solamente porque registra las búsquedas realizadas por los usuarios, sino por que es quien almacena el correo electrónico (Gmail), la agenda (Calendar), las fotos (Picasa), videos (YouTube), blogs (Blogger), documentos (Docs y hojas de cálculo), redes sociales (Orkut), noticias (Reader), información de la tarjeta de crédito (Checkout); en términos generales, la vida digital de millones de usuarios. El acceso y almacenamiento de grandes cantidades de información personal por parte de Google crea un serio problema en términos de privacidad. Edward Felten, científico en computación de Princeton, calificó esta situación como “el problema en términos de privacidad más complejo en toda la historia de la humanidad”10. Todos los días millones de usuarios proporcionan sin restricciones de ningún tipo, valiosa. 10. Baker, S., op. cit..
(11) información personal relativa a intereses, necesidades, deseos, miedos, placeres e intenciones. Que una empresa tenga tal poder sin mayores restricciones es una preocupación legítima, no solamente por el potencial “mal uso” que Google le pueda dar a esa información, sino por el “mal uso” que los Estados11 o hackers12 puedan realizar. Como consecuencia de la regulación existente en Europa, Google ha accedido a disminuir el término de permanencia de la información recolectada mediante las búsquedas, de 18 a 9 meses. Google argumenta que uno de los insumos requeridos para que el motor de búsqueda funcione correctamente es el historial de búsquedas de los usuarios y se plantea el siguiente ejemplo: piénsese en un usuario que ingresa la siguiente búsqueda “Paris Hilton” en Google. Dependiendo de su historial de búsquedas Google va a lanzar resultados tales como: información de alojamientos en el hotel Hilton ubicado en Paris, o información relacionada con Paris Hilton. Google argumenta que su éxito depende del resultado de las búsquedas, que el historial es un factor determinante dentro del algoritmo desarrollado. Privacy International, un reconocido grupo defensor de los derechos humanos, en el 2007 realizó un estudio comparando las políticas de privacidad de más de 20 proveedores de servicios en internet, incluyendo a Microsoft, Yahoo, Amazon e eBay13. En dicho estudio, Google fue el proveedor peor rankeado y Privacy International calificó. Existe colaboración entre Google y el Gobierno de EEUU en materia penal y de inteligencia nacional. En reiteradas oportunidades los sistemas de seguridad de Google han sido superados por Hackers y ladrones de identidad. 13Tene, O., op. cit. 11 12.
(12) a Google como una amenaza endémica para la privacidad y criticó el uso agresivo e invasivo que por medio de la tecnología está realizando Google respecto a la información personal de los usuarios. El 13 de mayo de 2014, en un polémico fallo, el Tribunal de Justicia de la Unión Europea resolvió un caso originado por la inconformidad de un ciudadano español frente al resultado de la búsqueda cuando alguien “googleaba” su nombre (arrojaba información relacionada a una deuda antigua). En este caso, Google mencionaba que este buscador no realizaba tratamiento a ninguna información y que los contenidos no eran creados por Google. En esa medida ellos no se pueden hacer responsables frente al contenido de terceros que ha sido encontrado por el motor de búsqueda en Internet. El Tribunal, por el contrario, consideró que Google sí realizaba tratamiento de datos personales14, toda vez que almacena las búsquedas realizadas y los resultados de dichas búsquedas. La actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales»”(Tribunal de Justicia de la Unión Europea, 1993).. Según el artículo 3º de la Ley 1581 de 2012, en Colombia se entiende como Tratamiento, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.”. 14.
(13) En este caso, el Tribunal señaló que el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona, los vínculos a páginas web publicadas por terceros y que contienen información que afecte a esta persona; incluso, los motores de búsqueda deben eliminar esta información así ésta no haya sido borrada de la página del tercero.. 1.2.. Caso Contiendas electorales. Existe un fenómeno interesante en las últimas contiendas electorales en donde los hackers, la información personal, e Internet, juegan un papel importante. Stephen Baker, señala que en las contiendas electorales, la minería de datos desempeña un rol importante desde diferentes ángulos. Por un lado, las búsquedas, consultas, páginas visitadas y en general el comportamiento de las personas en Internet, permiten inferir las inclinaciones políticas de una persona determinada. Este tipo de información permite calificar a los potenciales electores en diferentes grupos. El principal interés se centra en aquellos votantes indecisos a quienes se debe dirigir la mayor cantidad de recursos en las campañas. Igualmente, dicha información permite realizar discursos de campañas enfocados a cada grupo dependiendo de sus intereses y necesidades. De acuerdo con los casos mencionados, es claro que la información personal que revelan las personas a través de internet es explotada económicamente para diferentes.
(14) propósitos,. tales. como. mercadeo,. campañas. políticas,. o. incluso. relaciones. interpersonales. Se considera que esta información podría entrar en el marco de la regulación en materia de hábeas data, siempre y cuando se encuentre individualizada; de lo contrario es simple información estadística y uno de los mecanismos (no el único) para asociar a una persona con un comportamiento en internet es través de la dirección IP, toda vez que como se explicará a continuación, cada persona para ingresar a internet, requiere de una dirección que permita el intercambio de información en la red.. 1.3.. Entendimiento de la dirección IP. Para los fines planteados en el presente trabajo, es imprescindible entender que la dirección IP (siglas dadas por su significado en inglés “Internet Protocol”), es una de las herramientas esenciales que permiten la comunicación a través de internet. La dirección IP es aquel número que da la ubicación del sujeto que envía un mensaje en la red, con el fin de que reciba su respuesta; incluso se podría asociar la IP con la dirección de correspondencia de cada usuario en la red. La forma en que las máquinas conectadas a internet se comunican, es a través de la dirección IP, haciendo posible que la información sea enviada y recibida por su exacto destino en Internet. Actualmente, existen dos tipos de direcciones IP en uso: IPv4 e IPv6. La primera de ellas (IPV4), fue desarrollada inicialmente el 1º de enero de 1983, y es la versión más usada (IANA); está compuesta por 32-bits que se divide en dos partes: el número de red y el número de computadora. Asimismo, los 32 bits son divididos en 4.
(15) grupos de 8 bits, separados por puntos, y son representados en formato decimal (por ejemplo, 181.129.79.193). Cada bit en el octeto tiene un peso binario. El valor mínimo para un octeto es 0 y el valor máximo es 255 (Network Information Center Mexico, S.C.). La segunda versión de la dirección IP, denominada IPv6, se generó en el año 1999, en atención a que la IPv4 no estaba siendo suficiente para la alta demanda de direcciones IP. La IPv6 está compuesta por un número de 128 bits, lo cual permite 360 sextillones de direcciones IP, mientras que la IPv4 permitía un máximo de 4.294.967.296 direcciones IP (ICANN). Para el desarrollo de toda la dinámica que implica la comunicación en internet, se han constituido varios organismos que garantizan un Internet seguro, estable y adaptable a las diferentes tecnologías que se vayan desarrollando. Es así como se constituye la Corporación para la Asignación de Nombres y Números en Internet – ICANN, como una organización internacional sin ánimo de lucro que integra a representantes gubernamentales y no comerciales, al sector industrial y a particulares con el objetivo de discutir, debatir y desarrollar políticas sobre la coordinación técnica del sistema de nombres de dominio de internet (ICANN). Como una dependencia de la ICANN, se encuentra la Autoridad de Números Asignados en Internet – IANA, la cual es la responsable de la coordinación global de las direcciones IP. La IANA ubica las dirección IP a los diferentes Registros Regionales de Internet15, quienes a su vez, asignan las direcciones IP a los PSI (Proveedores de Servicios de Internet).. 15. Existen cinco (5) Registros Regionales de Internet: AFRINIC, APNIC, ARIN, LACNIC y RIPE NCC..
(16) La asignación de este número a cada equipo es efectuada por el PSI, quien es el encargado de escoger la dirección IP que asignará a cada usuario. De esta forma, quien conozca qué dirección IP tiene asignada una máquina, podrá determinar con sólo rastrear la dirección IP, el comportamiento que ha tenido en Internet. Si bien la dirección IP puede ser dinámica (cambia cada vez que se ingresa a internet) o estática, el PSI siempre tiene la posibilidad de conocer qué usuarios han accedido a Internet con determinada dirección IP. Aterrizando lo anterior a una realidad más cercana, imagínese que por la dirección IP que es asignada a su teléfono inteligente de su propiedad (información que es conocida y puede ser transada por el PSI) se puede identificar de una forma más detallada (incluso, más privada) verificando las páginas electrónicas que se han visitado, los correos que se han enviado, incluso los mensajes instantáneos que se han compartido, y por supuesto, la información personal que se ha puesto a disposición de la red. Así, es en razón a la posibilidad que tienen diferentes sujetos de acceder a una información tan personal, como la que se asocia a los teléfonos celulares, que es imprescindible analizar si la dirección IP es o no un dato que por ser asociable a una persona, pueda ser considerado como un dato personal, como se expondrá a continuación..
(17) 2. El hábeas data en Colombia y la dirección IP. En el presente capítulo se pretende realizar una contextualización en materia de hábeas data, tener un entendimiento del objeto de estudio y del problema que se busca resolver en el presente trabajo. Para el efecto, en primer lugar, se realizará una descripción de la evolución en materia legal y jurisprudencial frente el derecho al hábeas data. En segundo lugar, se expondrá el problema existente entre protección de datos personales y la dirección IP como herramienta para identificar técnicamente a “equipos” en internet; se planteará cómo se ha resuelto el interrogante en otros países y se expondrá el caso colombiano. En tercer lugar, se explicará que la dirección IP en algunos casos se encuentra asociada a información sensible del titular e incluso vinculada a menores de edad.. 2.1.. El hábeas data en Colombia El derecho fundamental al hábeas data ha ganado protagonismo tanto en el. escenario internacional, como en el doméstico. La Sentencia proferida por el Tribunal de Justicia de la Unión Europea, del 13 de mayo de 2014, es un caso interesante de estudio ya que evidencia un debate profundo entre el ejercicio de un derecho abstracto contra realidades técnicas y tecnológicas que dificultan su protección. En Colombia podemos evidenciar un cambio profundo a partir de la expedición de la Ley 1581 de 2012 y su respectiva reglamentación. Dicho cambio se puede ver en el.
(18) ejercicio de las empresas16 quienes solicitan autorizaciones para realizar tratamiento de datos personales, cuentan con políticas para la realización de dicho tratamiento y, en general, han adoptado mayores estándares de protección, y mejores prácticas corporativas sobre el particular. Adicionalmente, es claro el papel dinámico de la Superintendencia de Industria y Comercio (en adelante SIC), quien ha tomado polémicas decisiones que afectan tanto al Estado como a los particulares. Igualmente, en Colombia se incorporó un novedoso mecanismo de supervisión y vigilancia (responsabilidad demostrada o accountability) y recientemente se sumó a pronunciamientos proteccionistas que han considerado la dirección IP como un dato personal. Existen condenas en materia penal y actualmente hay ciudadanos pagando condenas restrictivas de la libertad, por conductas que atentan el derecho al hábeas data17. En el presente capítulo se pretende describir la evolución del derecho al hábeas data en Colombia de manera esquemática. Para el efecto se dividirá el proceso en tres etapas: (i) Periodo comprendido entre la promulgación de la C.N. y la sanción de la Ley 1266 de 200818; (ii) periodo comprendido entre la sanción de la Ley 1266 de 2008 y la. Algunas empresas tenían incorporados estándares de protección, incluso con anterioridad a la sanción de la Ley 1266 de 2008, en cumplimiento a pronunciamientos jurisprudenciales emitidos por la Corte Constitucional en sede de tutela. No obstante, estas prácticas se encontraban solamente en algunos sectores de la economía, principalmente centrales de información. 17 Sentencia del trece (13) de septiembre de dos mil once (2011), de la Corte Suprema de Justicia, Sala de Casación Penal, M.P., Magistrado Ponente, Fernando Alberto Castro Caballero. 18 Con anterioridad a la Constitución de 1991 existían normas que protegían datos personales sectoriales, tales como historias médicas (Ley 23 de 1981) y datos referentes a la identidad de las personas, como son sus datos biográficos, su filiación y fórmula dactiloscópica (Ley 96 de 1985). 16.
(19) sanción y reglamentación de la Ley 1581 de 2012 y; (iii) Desde la Sanción de la Ley 1581 de 2012 a la actualidad. Lo anterior, con el propósito de brindar elementos de juicio mediante una aproximación al estado del arte en materia de hábeas data en Colombia.. 2.1.1. Periodo comprendido entre la promulgación de la C.N. y la sanción de la Ley 1266 de 2008 (1991-2008). Con la promulgación de la Constitución de 1991 se reconoció el derecho al hábeas data y se le otorgó el rango de derecho fundamental. No obstante, fue hasta la sanción de la Ley 1266 de 2008 (para el dato de contenido crediticio, comercial y financiero) y particularmente hasta la sanción de la Ley 1581 de 2012, que se contó con una Ley Estatutaria que desarrollara la materia frente a la universalidad de datos personales. “El artículo 15 significó un antes y un después en la materia, no solo por su novedad en aquella época, sino por su actual relevancia social y económica, porque estamos en la denominada “sociedad de la información” o “era de la información”, en la que los datos personales son el eje de muchas actividades y la moneda de la economía digital” (Remolina, 2013, p. XXI). Esta etapa se caracteriza por un importante desarrollo jurisprudencial, ya que al no existir una norma estatutaria, la protección de este derecho se ejercía mediante acciones de tutela que carecían de efectos erga omnes (lo anterior sin prejuicio de la Sentencia.
(20) SU 082 de 1995) cuyo desarrollo es principalmente la jurisprudencia constitucional en sede de tutela. En esta etapa se establecen los aspectos fundamentales del derecho, así como algunas reglas concretas, siendo destacable lo siguiente:. . Entendimiento del derecho al hábeas data como un derecho autónomo. En un comienzo, la Corte Constitucional no entendió el derecho al hábeas data. como un derecho autónomo; en su defecto la Corte consideró que era parte del derecho a la intimidad, la honra y el buen nombre. A partir de la Sentencia T-094 de 199519, la Corte cambió su posición y reconoció al hábeas data como un derecho autónomo. No obstante, lo trataba como una garantía, ya que lo consideraba como un instrumento para la protección de derechos, tales como la intimidad, la honra y el buen nombre. En 1995, con la sentencia SU-082 de 1995, la Corte reconoció el derecho al hábeas data como un derecho independiente en los siguientes términos: A diferencia de lo que ocurre en otras legislaciones, en Colombia el hábeas data está expresamente establecido en la Constitución. Al respecto, el artículo 15, después de consagrar los derechos de todas las personas a la intimidad y al buen nombre, agrega: "De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido. 19. Colombia. Corte Constitucional. Sentencias T-094 de 1995, T-097 de 1995 y T-119 de 1995..
(21) sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.. Este, concretamente, es el derecho al hábeas data.. En la Sentencia T-552 de 1997, la Corte precisó las diferencias entre el derecho a la intimidad y el hábeas data, después de que la relación entre ambos se había manejado como de género a especie, desde el año de 199220.. En dicha sentencia la Corte señaló que "El derecho al hábeas data es, entonces, un derecho claramente diferenciado del derecho a la intimidad, cuyo núcleo esencial está integrado por el derecho a la autodeterminación informativa..." (Corte Constitucional, Sentencia T-552 de 1997).. Con posterioridad, la Corte reafirmó este punto señalando: "De otra parte, la Corporación debe reiterar, una vez más su doctrina jurisprudencial, en el sentido de que el artículo 15 superior establece tres derechos con sus dimensiones específicas a saber: el derecho a la intimidad, al buen nombre y al hábeas data" (Corte Constitucional, Sentencia T-527 de 2000).. . Conceptualización, delimitación y alcance del derecho fundamental.. Colombia. Corte Constitucional. Sentencia T-729 de 2002 M.P. Magistrado Ponente: Dr. Eduardo Montealegre Lynett. 20.
(22) En este periodo, la Corte señaló los aspectos determinantes del derecho al Hábeas Data, los cuales siguen vigentes en la actualidad y se encuentran replicados en las leyes estatutarias que desarrollan dicho derecho. En este sentido se conceptualizó el alcance y definición propia del derecho, se estableció cuál es el núcleo esencial del mismo y las prerrogativas y contenidos mínimos. La Corte Constitucional en esta etapa señaló, que entre las prerrogativascontenidos mínimos- que se desprenden de este derecho, se encuentran las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas está recogida en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información; (ii) el derecho a incluir nuevos datos con el fin de que se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad; (v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titularsalvo las excepciones previstas en la normativa (Corte Constitucional, Sentencia C-748 de 2011).. . Núcleo esencial del derecho. La Corte Constitucional en el periodo descrito, estableció que el núcleo esencial. del derecho al hábeas data es la autodeterminación informativa, entendida como “la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso.
(23) y circulación, de conformidad con las regulaciones legales” (Corte Constitucional, Sentencia SU-082 de 1995).. . Reglas específicas frente al tratamiento de datos personales. La Corte Constitucional, particularmente frente al dato de contenido comercial,. crediticio y financiero, mediante sentencias de unificación, fijó las reglas específicas frente al tratamiento de los datos personales. Entre dichas reglas, se encuentran las siguientes: . Término de caducidad de la información negativa (derecho al olvido): “El término para la caducidad del dato lo debe fijar, razonablemente, el legislador. Pero, mientras no lo haya fijado, hay que considerar que es razonable el término que evite el abuso del poder informático y preserve las sanas prácticas crediticias, defendiendo así el interés general. Si el pago se ha producido en un proceso ejecutivo, es razonable que el dato, a pesar de ser público, tenga un término de caducidad, que podría ser el de cinco (5) años. Sin embargo, cuando el pago se ha producido una vez presentada la demanda, con la sola notificación del mandamiento de pago, el término de caducidad será solamente de dos (2) años, es decir, se seguirá la regla general del pago voluntario.”. . Principio de la Libertad informática: “En relación con el derecho a la información y la legitimidad de la conducta de las entidades que solicitan información de sus eventuales clientes, a las centrales de información que para el efecto se han creado, así como la facultad de reportar a quienes incumplan las obligaciones con ellos contraídas,. tiene como base fundamental y punto de equilibrio, la.
(24) autorización que el interesado les otorgue para disponer de esa información, pues al fin y al cabo, los datos que se van a suministrar conciernen a él, y por tanto, le asiste el derecho, no sólo a autorizar su circulación, sino a rectificarlos o actualizarlos, cuando a ello hubiere lugar. Autorización que debe ser expresa y voluntaria por parte del interesado, para que sea realmente eficaz, pues de lo contrario no podría hablarse de que el titular de la información hizo uso efectivo de su derecho.” Los aspectos tratados y desarrollados desde este periodo y que han sido reiterados en muchas sentencias posteriores son: . La dignidad humana como supremo principio de la Constitución de 1991.. . La definición de una cuarta generación de derechos.. . Creación de la regla jurisprudencial que establece la prevalencia del derecho a la intimidad sobre el derecho a la información.. . Creación de la regla jurisprudencial que señala que el titular de la información es el propietario de sus datos personales.. . Incorporación en la jurisprudencia de conceptos de libertad informática, hábeas data, derecho constitucional informático, cárcel del alma, perfiles de personas virtuales, poder informático, y derecho al olvido.. . Establecimiento de la necesidad de la autorización previa del titular del dato como requisito para el tratamiento de datos personales, cumplimiento del “debido proceso informático” y del uso responsable de la informática. (Remolina, 2013, p. 31.).
(25) 2.1.2. Periodo comprendido entre la sanción de la Ley 1266 de 2008 y la sanción y reglamentación de la Ley 1581 de 2012 (2008-2012) Este periodo comienza con la sanción de la Ley Estatutaria 1266 de 2008 y termina con la sanción de la Ley Estatutaria 1581 de 2012. En virtud de la Ley 1266 de 2008, los conceptos, definiciones, principios para la administración de datos personales, así como la adopción de reglas concretas para la caducidad del dato negativo, quedaron estipuladas en una norma estatutaria. En igual sentido, la Corte Constitucional, al realizar el análisis previo de constitucionalidad a la Ley Estatutaria, mediante la Sentencia de Constitucionalidad C1011 de 2008, realizó una recopilación de la jurisprudencia de dicha Corte sobre la materia, elevando los efectos de la jurisprudencia de la Corte en sede de tutela, a sentencia de constitucionalidad con efectos erga omnes. La Ley 1266 de 2008, estableció los derechos y deberes correspondientes a cada actor involucrado en el tratamiento de datos personales (Titular de la Información, Operador de la información, Fuentes de la Información y Usuarios de la Información); señaló las reglas específicas frente al término de permanencia de la información negativa, dispuso un proceso especial para las peticiones, consultas y reclamos de los titulares, y creó una autoridad en materia de hábeas data, con facultades de inspección, control y vigilancia, y con capacidad para imponer sanciones pecuniarias (la Ley asignó estas competencias a la Superintendencia de Industria y Comercio)21.. La Superintendencia Financiera conservó estas facultades, frente a las entidades vigiladas por ésta. Esta situación, es decir, dos Superintendencias ejerciendo una vigilancia sobre el mismo aspecto legal, 21.
(26) Durante este periodo existió ambigüedad frente al ámbito de aplicación de la norma como se procederá a explicar.. . Ambigüedad teórica frente al ámbito de aplicación de la Ley 1266 de 2008. El artículo 2º de la Ley 1266 de 2008, estableció el ámbito de aplicación de la. norma señalando que “La presente ley se aplica a todos los datos de información personal registrados en un banco de datos, sean estos administrados por entidades de naturaleza pública o privada. (…)”. La Corte Constitucional, en el respectivo análisis previo de constitucionalidad, consideró que el ámbito de aplicación era exclusivamente frente a los datos de contenido comercial, crediticio y financiero relacionados con el cálculo del riesgo crediticio. La dicotomía existente en el Proyecto entre disposiciones de carácter general, que por su naturaleza regularían todo el espectro de relaciones derivadas de la administración de datos personales y normas particulares, destinadas a prever las reglas para la gestión de datos relacionados con el cálculo del riesgo creditito es, en criterio de la Corte, apenas aparente. Ello en tanto concurren varios argumentos para concluir que el proyecto de ley estatutaria objeto de examen constituye una regulación parcial del derecho fundamental al hábeas data, concentrada en las reglas para la administración de datos personales de carácter financiero destinados al. pero dependiendo de la actividad de la persona objeto de la vigilancia, puede generar una suerte de arbitramento regulatorio donde un actor podía encontrar ventajas regulatorias, dependiendo de quién lo vigile..
(27) cálculo del riesgo crediticio, razón por la cual no puede considerarse como un régimen jurídico que regule, en su integridad, el derecho al hábeas data, comprendido como la facultad que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en archivos y bancos de datos de naturaleza pública o privada. Para sustentar esta conclusión existen argumentos de carácter sistemático, teleológico e histórico, como pasa a explicarse. (…) Las consideraciones expuestas demuestran que el Proyecto de Ley tiene un propósito unívoco, dirigido a establecer las reglas para la administración de. datos. personales. de. contenido. financiero. y. crediticio.. Esta. comprobación, como lo han puesto de presente algunos de los intervinientes y el Ministerio Público, plantea dos aspectos que deben analizarse de forma específica: (i) la legitimidad que el legislador estatutario realice regulaciones de los derechos fundamentales, aplicables de manera sectorial; y (ii) la objeción fundada en que regulaciones de esta naturaleza violan la Constitución, en tanto incurren en una omisión legislativa relativa.” (Corte Constitucional, Sentencia C-1011 de 2008) No obstante lo anterior, la Corte Constitucional en la parte resolutiva de la Sentencia declaró la constitucionalidad del artículo 2º sin ninguna condición 22.. Parte motiva de la Sentencia C-1011 de 2008 “Segundo.-Declarar EXEQUIBLES los artículos 1º, 2º, 4º, 7º, 8º, 9º, 10, 11, 12, 15, 16, 18, 19, 20, 21 y 22 del Proyecto de Ley Estatutaria objeto de revisión”. 22.
(28) El hecho de que la Corte hubiese declarado exequible el artículo 2º del Proyecto de Ley Estatutaria, sin ningún tipo de condicionamiento, a pesar de que en la parte motiva dispuso que se trataba de una norma sectorial, generó incertidumbre frente al ámbito de aplicación de la norma. Por lo tanto, al no existir relación entre la parte motiva y la resolutiva, se puede entender como obiter dicta o obiter dictum, perdiendo así fuerza vinculante. Este argumento cobra mayor relevancia si se tiene en cuenta que mediante el Auto Aclaratorio 159 de 2009, la Corte aclaró y corrigió algunos aspectos de la Sentencia C-1011 de 2008. Dichos aspectos, aclararon y corrigieron el contenido de la Sentencia, tanto en la parte motiva como resolutiva. En este Auto Aclaratorio, la Corte no se pronunció frente al “error” anteriormente mencionado. Siendo así las cosas, podría interpretarse válidamente que la intensión de la Corte no fue delimitar el ámbito de la Ley, y dentro de la disquisición realizada por ésta, los argumentos expuestos en la parte motiva, que restringen el ámbito de aplicación de la Ley, es simple obiter dicta sin poder vinculante. Este periodo es importante ya que además de contar con la primera Ley Estatutaria que desarrollara el artículo 15 de la Constitución Política, en materia de hábeas data, en enero de 2009, se sancionó la Ley de delitos informáticos la cual introdujo el siguiente tipo penal: Artículo 269F: Violación de datos personales. El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique.
(29) o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes. (Congreso de la República de Colombia, Ley 1273 de 2009) Por último, es pertinente señalar, que al crearse una autoridad en materia de hábeas data, se generó una nueva fuente de derecho (fuente auxiliar) consistente en la doctrina de la Superintendencia de Industria y Comercio a través de los conceptos expedidos por ésta.. 2.1.3. Desde la Sanción de la Ley 1581 de 2012 hasta la actualidad. En este subcapítulo se pretende abordar el periodo comprendido entre el 18 de octubre de 2012 (sanción de la Ley 1581 de 2012) hasta la actualidad. En primer lugar se mencionarán las principales razones que dieron origen a la Ley 1581. En segundo lugar, se pretende mencionar algunos impactos que ha tenido dicha normatividad y, por último, se mencionará el nuevo sistema de inspección, control y vigilancia introducido por el Decreto 1377 de 2013.. . Principales razones que dieron origen a la Ley 1581 de 2012. Según Nelson Remolina, las principales razones que dieron origen a la Ley 1581. de 2012, fueron las siguientes:.
(30) . Insuficiencia y deficiencia de la Ley Estatutaria 1266 de 2008 para proteger los datos personales diferentes a los de índole comercial y financiera.. . Necesidad de establecer reglas obligatorias, generales e integrales para el tratamiento de datos personales que respondan a la reglamentación integral de un derecho fundamental.. . Generación de un marco legal para que Colombia obtenga el nivel adecuado de protección frente a las autoridades europeas y cuente con un marco legal competitivo que facilite la realización de negocios que impliquen tratamiento de datos personales. (Remolina, 2013, p. 82) Respecto al primer punto, como se mencionó anteriormente, la Corte. Constitucional restringió el ámbito de aplicación de la Ley Estatutaria 1266 (independientemente de la discusión señalada frente al poder vinculante de dicha restricción), generando así la necesidad de contar con otra Ley que desarrolle el artículo 15 de la Constitución, pero frente a todos los datos personales y no solamente respecto a los datos de contenido comercial, financiero y crediticio. Con la sanción de la Ley 1581 de 2012, terminó la ambigüedad señalada anteriormente, por lo que en la actualidad Colombia cuenta con dos leyes estatutarias que desarrollan el derecho al hábeas data: una de aplicación general (Ley 1581 de 2012) y otra de carácter sectorial (Ley 1266 de 2008). En cuanto al segundo y tercer punto mencionado por el profesor Remolina, es importante tener en cuenta la importancia de contar con reglas generales, integrales y obligatorias frente al tratamiento de datos personales, y poder ser considerado como un país con un nivel adecuado en la materia. Entre otros aspectos, tener un nivel adecuado.
(31) permite la transferencia internacional de datos personales con países que sí cuentan con un nivel adecuado. Sobre el particular, la exposición de motivos del proyecto de Ley 046 de 2010 de la Cámara de Representantes (previo tránsito por el Congreso y revisión por parte de la Corte, este proyecto fue sancionado como la Ley Estatutaria 1581 de 2012) dispuso lo siguiente: Por último es importante mencionar que en la actualidad Colombia es considerada como un país no seguro en protección de datos por la Comunidad Europea. Este hecho se traduce en un obstáculo comercial a la transferencia de datos personales de ciudadanos europeos para que sean tratados en Colombia y limita sustancialmente el crecimiento del sector de tercerización de procesos de negocio (BOP&O), identificado por el gobierno como un sector de clase mundial en el marco del Programa de Transformación Productiva (Exposición de Motivos de la Cámara de Representantes, Proyecto de Ley 046 de 2010) Este proyecto incorpora en su articulado las mejores prácticas internacionales en materia de protección de datos; estas prácticas se encuentran contempladas en el Convenio 108 de 1981 del Consejo de Europa, la Directiva Europea 95/46 de 1995, la Resolución 45/95 de 1990 de la ONU y la Resolución de Madrid de 2009. El esfuerzo del Estado por expedir esta Ley Estatutaria, tuvo como objetivo lograr la acreditación de Colombia por parte de la Unión Europea, como un país seguro en la protección de datos y así poder acceder al mercado europeo sin restricciones atrayendo inversión extrajera.
(32) y generando nuevos empleos23.. . Algunos Impactos de la Ley 1581 de 2012. Con la sanción de la Ley 1581 de 2012, y en particular con la expedición del. Decreto 1377 de 2013, las empresas24 comenzaron a solicitar autorizaciones en adelante y tuvieron que subsanar la situación frente a los datos recolectados antes de la su expedición. Esto significó que cada empresa que contara con bases de datos o archivos con datos personales (piénsese en clientes, proveedores o usuarios) tuviese que tratar de contactarse con cada uno para solicitar autorización, salvo que demostrara una imposibilidad para requerir el consentimiento uno a uno, caso en el cual debía informar al titular de la información utilizando medios de comunicación masivos. Lo anterior implicó que durante el segundo semestre del año 2013 cada titular de la información (prácticamente cualquier persona) recibiese diferentes solicitudes de autorizaciones a través de correos electrónicos, correspondencia postal, mensajes de texto, llamadas telefónicas y que además viese anuncios en las páginas web, periódicos, revistas etc.. Colombia. Cámara de Representantes. Exposición de Motivos del Proyecto de Ley Estatutaria 046 de 2010, Gaceta del Congreso No. 488 de 2010. 24 Con excepción de aquellas empresas que se encontraban obligadas en virtud de la Ley 1266 de 2008, las cuales ya contaban con autorizaciones. 23.
(33) Igualmente, diferentes empresas y entidades públicas han adoptado altos estándares de protección de datos personales y han capacitado a sus respectivos empleados para tal fin25. Esto ha significado un avance hacia una cultura de protección de datos personales, lo cual se puede evidenciar en los diferentes casos que se presentan ante los jueces o la superintendencia, como se demostrará a continuación. Al revisar la jurisprudencia de la Corte Constitucional, se evidencia que con anterioridad a la Ley 1581 de 2012, la gran mayoría de casos presentados surgen con ocasión al tratamiento de datos personales de contenido comercial, crediticio y financiero (DATACREDITO-CIFIN). Se trata, en términos generales, de titulares de la información, reclamando por los datos que sobre ellos reposan en las centrales de información. Con posterioridad, se presentaron ante las Cortes y Superintendencia, diferentes casos con supuestos fácticos diversos. A manera de ejemplo se presentaron en sede de tutela casos relacionados con los siguientes datos personales: . Datos contenidos en bases de datos de EPS´s relacionados con preexistencias médicas (Corte Constitucional, Sentencia T-802/13).. . Datos relativos a imágenes con fines publicitarios (Corte Constitucional, Sentencia T-634/13). Sobre el particular es pertinente señalar que la SIC cuenta con programas de capacitaciones para las empresas. 25.
(34) . Datos relativos a los certificados laborales para la emisión del bonos pensionales (Corte Constitucional, Sentencia T-592/13).. . Datos contenidos en las bases de datos de las universidades para la generación de certificaciones académicas (Corte Constitucional, Sentencia T-058/13).. . Datos contenidos en la base de datos de la Procuraduría General de la Nación para la generación de certificados de antecedentes disciplinarios (Corte Constitucional, Sentencia T-699/14).. . Datos contenidos en la base de datos en la “Lista Clinton” (Corte Constitucional, Sentencia T-363/14).. . Datos contenidos en la base de datos DEFENCARGA y COLFECAR relativo a los de incidentes presentados (Corte Constitucional, Sentencia T-176A/14). Igualmente, es importante mencionar que la Superintendencia de Industria y. Comercio en comunicado del 23 de enero de 2014 le pide a la Corte Suprema de Justicia “suprimir datos de menores de edad en versiones públicas de las sentencias” 26.. . Nuevo sistema de inspección, control y vigilancia: responsabilidad demostrada frente al tratamiento de datos personales. Con anterioridad al Decreto 1377 de 2013, para que una empresa fuese. sancionada por la SIC, el caso objeto de reclamación debía ser interpuesto en primer. Igualmente, es importante mencionar que la Superintendencia de Industria y Comercio en comunicado del 23 de enero de 2014 le pide a la Corte Suprema de Justicia “suprimir datos de menores de edad en versiones públicas de las sentencias” http://www.sic.gov.co/drupal/noticias/node/7038 (Revisado 21/06/2015). 26.
(35) lugar, frente al Responsable o el Encargado del Tratamiento y en caso de que el reclamo subsistiera, el titular podía acudir a la SIC para que investigara y tomara una decisión. Con el nuevo sistema de inspección, control y vigilancia, la SIC a su completa discreción, puede investigar a cualquier empresa y será la empresa la encargada de demostrar su diligencia y cuidado. Este cambio implica, en primer lugar, una variación en el rol de las empresas, pasando de un rol reactivo (su actuar inicia con un reclamo o queja) a un rol proactivo, ya que en cualquier momento puede ser objeto de una investigación, y teniendo en cuenta que la carga de la prueba la asume la empresa, ésta deberá demostrar que se han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012. Dichas medidas, y en general el estándar de cuidado esperado, depende de los criterios establecidos en el mismo: naturaleza jurídica, tamaño de la empresa, naturaleza de los datos objeto de tratamiento, el tipo de tratamiento y el riesgo potencial del tratamiento sobre los derechos del titular. En segundo lugar, este cambio implica el inicio de un modelo que promueve la autorregulación de las empresas en materia de protección de datos personales. Este tipo de modelo, conocido como “accountability”, obliga a la empresa a demostrar su responsabilidad, cuidado y diligencia, promueve la autorregulación y ha demostrado ser.
(36) un modelo exitoso para alcanzar un nivel adecuado en materia de protección de datos personales27. Por último, se presenta un cuadro que resume la evolución en materia de protección de datos personales en Colombia. Tabla 1 Evolución del Hábeas Data en Colombia28. 2.2.. 1991-2008. 2008-2012. 2012 a la fecha. . Norma Constitucional. x. x. x. . Principios básicos jurisprudenciales. x. x. x. . Principios Legales. x. x. . Normas Sectoriales. x. x. . Norma General. . Autoridad de control, inspección y Vigilancia. x. x. . Norma Penal. x. x. . Sistema de supervisión y control basado en la diligencia probada. x. x. Entendimiento de la dirección IP como dato desde la regulación de hábeas data. La Ley 1581 de 2012 define dato personal como “Cualquier información vinculada. o que pueda asociarse a una o varias personas naturales determinadas o determinables”.. Ornelas, L. G., Higuera, M. (2013). La autorregulación en materia de protección de datos personales: la vía hacia una protección global. (Spanish). Revista De Derecho Comunicaciones Y Nuevas Tecnologías, (9), 1-30. 28 Fuente de la Tabla: Elaboración propia 27.
(37) En igual sentido la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define dato personal como “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. La pregunta que surge es si la dirección IP en los términos expuestos constituye un dato personal o no. Esta cuestión ha sido objeto de diferentes pronunciamientos por parte de diversas autoridades en varios Estados, que se expondrán en el capítulo Análisis Comparado. La respuesta tiene implicaciones importantes ya que una decisión en uno u otro sentido significa la aplicabilidad de las normas en la materia frente a este dato. En caso de que sea considerado como un dato personal, esto implica que los PSI tienen la calidad de responsables del tratamiento y deben cumplir con una serie de obligaciones cuyo cumplimiento implica toda clase de retos en términos tecnológicos. Sobre el particular, es de considerar importante la posición de Google sobre la dirección IP en términos de protección de datos personales, así como de la SIC..
(38) 2.2.1. Posición de GOOGLE29. Google, a través de su blog oficial emitió un comunicado sentando su posición frente a si la dirección IP debe ser considerada como un dato personal. En términos generales, Google tiene una posición mixta bajo el entendido de que en algunas ocasiones la dirección IP es un dato personal y en otras no. Google explica que la dirección IP le permite a una página enviar la información (piénsese en el resultado de una búsqueda) al equipo correcto. Igualmente, señala que la dirección IP es un recurso escaso y, en consecuencia, los PSI maximizan su utilidad reasignando la misma dirección IP a varios usuarios (lo anterior, teniendo en cuenta que no todos los usuarios se conectan al mismo tiempo). Igualmente, señala que una misma dirección IP puede ser utilizada por varias personas si el equipo o la conexión a internet se comparte con varias personas. Dado lo anterior, una misma dirección IP puede ser asignada a múltiples personas, y varias personas pueden conectarse utilizando la misma dirección IP, por lo que no siempre es posible asociar una dirección IP a una persona específica. No obstante lo anterior, Google reconoce que en algunos contextos la dirección IP sí es un dato personal, y esto sucede cuando un PSI asigna una dirección IP a un equipo que se conecta con una cuenta de suscripción particular y en consecuencia la dirección IP se asocia con una persona específica. No obstante, las direcciones IP. Whitten, A. (22 de febrero de 2008). Are IP addresses personal? Recuperado de: http://googlepublicpolicy.blogspot.com/2008/02/are-ip-addresses-personal.html (Revisado 21/06/2015). 29.
(39) registradas por cada sitio web sin información adicional no deben considerarse datos personales, debido a que estos sitios web por lo general no pueden identificar a los seres humanos que se encuentran detrás de estas cadenas de números.. 2.2.2. Posición de la Superintendencia de Industria y Comercio – SIC. En el marco de la presente investigación, se presentó una consulta a la SIC en los siguientes términos: ¿La Dirección IP en Colombia es considerada como un dato personal? En caso afirmativo ¿Debe ser considerada como un dato público, semiprivado, privado o sensible? En respuesta a la consulta presentada, la SIC en concepto del 30 de enero de 2015 señaló lo siguiente: (…) En este orden de ideas, se considera dato personal toda pieza de información relativa a una persona natural determinada o determinable mediante “identificadores”, por ejemplo, a titulo enunciativo, una dirección “IP”(1), en la medida en que cada vez que una persona natural accede a Internet puede ser identificado por la dirección “IP” atribuida por el proveedor de acceso a Internet. Hay que señalar que el Grupo de Trabajo del artículo 29 (2), en el informe No. 37, indicó que la dirección “IP” sí es un dato personal. Dijo el órgano: los proveedores de acceso a Internet y los administradores de redes locales.
(40) pueden identificar por medios razonables a los usuarios de Internet a los que han asignado direcciones IP, pues registran sistemáticamente en un fichero la fecha, la hora, la duración y la dirección IP dinámica asignada al usuario de Internet. Lo mismo puede decirse de los proveedores de servicios de Internet que mantienen un fichero registro en el servidor http. En ese escenario, la dirección “IP” es un dato personal, siempre y cuando: (i) este vinculada a una persona, o (ii) pueda realmente identificar a la persona, con independencia del tipo de IP. (SIC, 2015) Respecto al segundo interrogante la SIC señaló que se trata de un dato personal privado, en los siguientes términos: “En ese contexto, en consonancia con las normas y criterios jurisprudenciales, el dato personal se clasifica en: (i) dato público; (ii) dato semiprivado; y, (iii) dato privado, tales como la dirección “IP”. Es pertinente señalar que la SIC llega a esta conclusión utilizando como fuentes la doctrina de la Agencia Española de Protección de Datos, la Directiva 95/46/CE de 1995 y la Directiva 97/66/CE de 1997 y el Grupo de Trabajo del artículo 29.30 De las definiciones normativas expuestas, la posición de Google y de la SIC sobre la connotación del dato “dirección IP” se desprende la siguiente conclusión: La dirección IP es un dato personal privado, cuando se encuentra asociado a una persona particular. En ese sentido una lista con diferentes direcciones IP que le son. Este Grupo de trabajo se creó en virtud del artículo 29 de la Directiva 95/46/CE. Es un órgano consultivo europeo independiente sobre la protección de datos y la intimidad 30.
(41) entregadas a un PSI no contiene datos personales y no se rige por la Ley 1581 de 2012. No obstante, la lista de las direcciones IP otorgadas a usuarios determinados, sí se rige por la Ley Estatutaria. Lo anterior, teniendo en cuenta que si puedo asociar la direcciones IP utilizadas por personas determinadas, es posible conocer su comportamiento en la red y tener acceso a diferente aspectos íntimos de esta persona.. 2.2.3. Análisis Comparado En materia de protección de datos personales/privacy existe una tensión entre Europa y EEUU. Aunque en ambos modelos existen normas que protegen los datos personales, el enfoque y concepción misma del derecho es diferente. La tensión que existe entre ambos sistemas tiene relevancia para Colombia teniendo en cuenta, en primer lugar, que la legislación Colombiana ha seguido el modelo Europeo y como se describió anteriormente, la Ley 1581 de 2012 incorporó “en su articulado las mejores prácticas internacionales en materia de protección de datos contempladas en Convenio 108 de 1981 del Consejo de Europa, la Directiva Europea 95/46 de 1995, la Resolución 45/95 de 1990 de la ONU y la Resolución de Madrid de 2009 .” (Cámara de Representantes. Exposición de Motivos del Proyecto de Ley Estatutaria 046 de 2010) En segundo lugar, al Estado Colombiano, le debe interesar quién tiene la mayor cantidad de información personal, incluso sensible, (afectan la intimidad del titular en los términos del artículo 5 de la Ley 1581) de los titulares de la información nacionales. Sobre el particular, es pertinente recordar que Facebook y Google son empresas.
(42) norteamericanas, que cotizan en el mercado norteamericano y cuya propiedad accionaria se encuentra en cabeza de miles de inversionistas norteamericanos. El principal activo de estas compañías son los datos personales de millones de usuarios, una decisión que afecte este activo, afecta a la economía norteamericana (Suuberg, 2013). Estados Unidos fue visto como un líder a nivel mundial en materia de protecciones sobre privacidad. Esta posición de liderazgo la perdió durante la década de los 70`s, periodo en el cual varios países europeos adoptaron legislaciones en materia de protección de datos personales. La Ley Hesse de 1970 de Alemania fue la primera Ley en materia de protección de datos personales, y con posterioridad diferentes países de Europa (Suiza y Dinamarca en los 70`s; Noruega y Finlandia 80`s; Luxemburgo, Bélgica, España y Portugal 90´s, ). Los últimos países en adoptar estas medidas en Europa fueron Italia y Grecia quienes lo hicieron con posterioridad a la Directiva del 95. (Suuberg, 2013, p. 274) Respecto a la evolución de la protección de datos personales, se menciona que existen dos generaciones. La primera generación se preocupaba por posibles abusos del Estado frente a los ciudadanos en términos de la información solicitada por los Estados. de. Bienestar.. La. segunda. generación,. centró. su. atención. en. la. autodeterminación informativa y dotó al ciudadano de diferentes instrumentos para poder ejercer su derecho. En EEUU la legislación en materia de protección de datos personales no ha tenido este mismo proceso en parte, como consecuencia de un fuerte cabildeo “lobby” ejercido por empresas como Google, Facebook, Ebay, Amazon, y un grupo industrial incluyendo.
(43) Microsoft, Cisco, Intel, I.B.M., Oracle, Motorola Mobility, Texas Instrumments, Dell. (Suuberg, 2013, p. 270) En términos generales puede señalarse que las principales diferencia entre estos modelos son: . En el sistema de EEUU la protección de datos personales es vista como un derecho del consumidor. En el sistema europeo se entiende como un derecho fundamental.. . En EEUU existen normas de carácter sectorial. En Europa existen normas generales y sectoriales. En consecuencia, en Europa todo dato personal es protegido, mientras que en EEUU solamente se protegen aquellos datos personales señalados en las normas.. . En el sistema europeo existe una autoridad en materia de protección de datos personales con facultades sancionatorias. En el modelo de EEUU no existe una autoridad como tal, aunque la Comisión Federal del Comercio tiene pronunciamientos sobre el particular.. A continuación, se expondrán diferentes pronunciamientos de distintas autoridades frente al entendimiento de la dirección IP como dato personal.. . Caso España.. La Agencia de Protección de Datos Española en el 2003 señaló que la dirección IP es un dato personal en los siguientes términos:.
(44) Así́ pues, aunque no siempre sea posible para todos los agentes de Internet identificar a un usuario a partir de datos tratados en la Red, desde esta Agencia de Protección de Datos se parte de la idea de que la posibilidad de identificar a un usuario de Internet existe en muchos casos y, por lo tanto, las direcciones IP tanto fijas como dinámicas, con independencia del tipo de acceso, se consideran datos de carácter personal resultando de aplicación la normativa sobre protección de datos.”31 En igual sentido en octubre de 2014, se pronunció el Tribunal Supremo de España32, frente a un caso relacionado con redes P2P en el siguiente sentido: Esta Sala estima que las direcciones IP son datos personales, en el sentido del artículo 3 LOPD, ya que contienen información concerniente a personas físicas "identificadas o identificables". El hecho a que alude la parte recurrente, de no tener al alcance de su mano la identificación del titular de los datos por medios y plazos razonables, no es obstáculo para la conclusión que mantenemos de que se trata de datos personales, pues de conformidad con la definición de datos personales del artículo 2.a) de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de. Agencia Española de Protección de datos. (2013) Informe 327/2003, Recuperado de: http://www.agpd.es/portalwebAGPD/canaldocumentacion/informes_juridicos/otras_cuestiones/common/p dfs/2003-0327_Car-aa-cter-de-dato-personal-de-la-direcci-oo-n-IP.pdf 32 España. Tribunal Supremo de España. Sala de lo Contencioso Administrativo, Sentencia del 03 de octubre de 2014. Recuperado de: http://www.poderjudicial.es/cgpj/es/Poder%2DJudicial/Sala%2Dde%2DPrensa/Notas%2Dde%2Dprensa/ El%2DTS%2Dprohibe%2Da%2DPromusicae%2Dusar%2Dlos%2Ddatos%2Dde%2Dlos%2Dusuarios%2 Dde%2Dredes%2Dde%2Dintercambio%2Dde%2Darchivos%2Dsin%2Dsu%2Dconsentimiento (Revisado 21/06/2015). 31.
(45) octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, por dato personal habrá de entenderse, al igual que señala el artículo 3.a) LOPD antes citado, toda información sobre una persona física identificada o identificable, añadiendo el artículo 2.a) de la Directiva 95/46 que "se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación.. . Caso Francia.. El Tribunal de Apelación de París en dos sentencias del 27 de abril y del 15 de mayo de 2007, en un caso también relacionado con el uso de tecnología p2p, consideró que la dirección IP no es un dato personal. Esta sentencia permitió a los titulares de los derechos de autor, identificar a los usuarios no autorizados para descargar el contenido. El Tribunal argumentó que la dirección IP no identifica personas sino máquinas en internet33.. . Unión Europea. En el informe No. 37 del Grupo de Trabajo del artículo 29, grupo creado en virtud de la Directiva 95/46/CE, se estableció lo siguiente:. L’adresse IP n’est pas une donnée indirectement nominative. (29 de junio de 2007). Legalis. Recuperado de http://www.legalis.net/spip.php?page=breves-article&id_article=1956 (Revisado 21/06/2015). 33.
(46) “los proveedores de acceso a Internet y los administradores de redes locales pueden identificar por medios razonables a los usuarios de Internet a los que han asignado direcciones IP, pues registran sistemáticamente en un fichero la fecha, la hora, la duración y la dirección IP dinámica asignada al usuario de Internet. Lo mismo puede decirse de los proveedores de servicios de Internet que mantienen un fichero registro en el servidor http”.. 2.3.. La dirección IP como un dato personal de carácter sensible. Como se mencionó anteriormente, la SIC mediante concepto del 30 de enero de 2015, señaló que la dirección IP en Colombia es considerada como un dato personal privado. Se procederá a plantear que la dirección IP dependiendo del contexto puede ser considerada como un dato personal sensible e incluso datos personales asociados a menores. La Ley 1581 define dato sensible en los siguientes términos: “Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos.
Modelo para la Construcción de un Almacén de Datos (Data Warehouse)-Edición Única
ADMINISTRADOR D E Lleva a cabo el monitoreo de la BASE DE D A T O S base de datos correspondiente al DBA Almacén de Datos desde el punto de vista técnico, realizando el mantenimiento de
Esta ley define su objeto en su artículo 1º como la protección integral de los datos personales asentados en bancos de datos, sean éstos públicos o privados destinados a dar informes,
Paso1: Creación y carga de la HipotéticaSIU Para la creación de la base de datos HipotéticaSIU se tomó como base el Modelo de Datos SIU Guaraní versión 2.00.0, a Junio de 2004.. La
Hoy comienza a reconocerse que gran parte de la informaci´on requerida para la toma de decisiones y la resoluci´on de problemas de ´ındole general proviene de informaci´on no
Para llevar a cabo el enrutamiento de los paquetes de datos desde un nodo origen hacia un determinado destino, no establece de antemano una ruta por la cual circularán todos los
SOLICITUD DE DATOS PERSONALES PARA TRABAJADORES Y/O CONTRATISTAS: UROSARIO implementará en los contratos laborales y/o de prestación de servicios un texto, formato y/o autorización con
1.1.6 utilidad de los sistemas gestores de bases de datos Un sistema gestor de bases de datos o SGBD aunque se suele utilizar más a menudo las siglas DBMS procedentes del inglés, Data
Count() Vs Count(1) , Oracle SQL Tips, Tricks and Hacks
SQL> create or replace procedure p_count is v_count pls_integer; begin select count* into v_count from t_count; end; Procedure P_COUNT compiled SQL> select object_name, object_type,
Manual del SQL, 2a edicion
Restricciones de tabla Una vez hemos dado un nombre, hemos definido una tabla y hemos impuesto ciertas restricciones para cada una de las columnas, podemos aplicar restricciones sobre
Modelo Entidad Relacion.doc
Por ejemplo, si consideramos la entidad ALUMNO del CBTis123, podríamos tener los siguientes atributos: Nombre Apellido, Semestre, Especialidad, Dirección, Teléfono, Número de control,
Para poder distinguir unívocamente las relaciones en un conjunto de relaciones R, se deben considerar dos casos: • R NO tiene atributos asociados: En este caso, se usa como clave
CC42A – BASES DE DATOS Profesores: Claudio Gutiérrez, Gonzalo Navarro Auxiliar: Mauricio Monsalve GUÍA DE EJERCICIOS: Modelo EntidadRelación y conversión a Modelo Relacional Modelo EntidadRelación
o Cuando el almacén decide despachar los bienes a las diferentes áreas solicitantes, registra cada una de las entregas en Salidas de Almacén con la siguiente información: Número de

References: artículo 3
 artículo 15
 artículo 15
 artículo 15
 artículo 2
 artículo 2
 artículo 2
 artículo 15
 Artículo 269
 artículo 15
 Resolución 
 Resolución 
 artículo 29
 artículo 29
 artículo 29
 Resolución 
 Resolución 
 artículo 5
 artículo 3
 artículo 2
 artículo 3
 artículo 2
 artículo 29
 artículo 1