Source: http://www.slideshare.net/ELENAMELENDEZT/c-748-de-2011
Timestamp: 2016-05-04 02:30:36+00:00

Document:
C 748 de 2011
Extracto Sentencia C-748/11 Texto c...
Sentencia C-748/11 Referencia: expediente PE-032 Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 Senado; 046 de 2010 Cámara, “por la cual se dictan disposiciones generales para la protección de datos personales” Magistrado Ponente: JORGE IGNACIO PRETELT CHALJUB Bogotá D. C., seis (6) de octubre de dos mil once (2011). La Sala Plena de la Corte Constitucional, conformada por los magistrados Juan Carlos Henao Pérez –quien la preside, María Victoria Calle Correa, Mauricio González Cuervo, Gabriel Eduardo Mendoza Martelo, Jorge Iván Palacio Palacio, Nilson Pinilla Pinilla, Jorge Ignacio Pretelt Chaljub, Humberto Antonio Sierra Porto y Luis Ernesto Vargas Silva, en ejercicio de sus atribuciones constitucionales y en cumplimiento de los requisitos y trámites establecidos en el Decreto 2067 de 1991, ha proferido la presente sentencia con fundamento en los siguientes, 1 ANTECEDENTES1.1 Mediante oficio del 17 de enero de 2011, el Presidente del Senado de la República, Dr. Armando Benedetti Villaneda, remitió a la Corte Constitucional el texto del Proyecto de Ley Estatutaria No. 184 de 2010 Senado; 046 de 2010 Cámara, “por la cual se dictan disposiciones generales para la protección de datos personales”, con el fin de que la Corte adelante el estudio oficioso a que hace referencia el artículo 241-8 de la Constitución Política.1.2 TEXTO DEL PROYECTO DE LEY: “TEXTO CONCILIADO DEL PROYECTO DE LEY ESTATUTARIA NÚMERO 184 DE 2010 SENADO, 046 DE 2010 CÁMARA “por la cual se dictan disposiciones generales para la protección de datos personales” El Congreso de Colombia
2 DECRETA: TÍTULO IOBJETO, ÁMBITO DE APLICACIÓN Y DEFINICIONES.Artículo 1°. Objeto.La presente ley tiene por objeto desarrollarel derecho constitucional que tienen todas las personas aconocer, actualizar y rectificar las informaciones que se hayanrecogido sobre ellas en bases de datos o archivos, y los demásderechos, libertades y garantías constitucionales a que serefiere el artículo 15 de la Constitución Política; así como elderecho a la información consagrado en el artículo 20 de lamisma.Artículo 2°. Ámbito de aplicación. Los principios ydisposiciones contenidas en la presente ley serán aplicables alos datos personales registrados en cualquier base de datos quelos haga susceptibles de tratamiento por entidades denaturaleza pública o privada.La presente ley aplicará al Tratamiento de datos personalesefectuado en territorio colombiano o cuando al Responsabledel Tratamiento o Encargado del Tratamiento no establecidoen territorio nacional le sea aplicable la legislacióncolombiana en virtud de normas y tratados internacionales.El régimen de protección de datos personales que se estableceen la presente ley no será de aplicación:a) A las bases de datos o archivos mantenidos en un ámbitoexclusivamente personal o doméstico.Cuando estas bases de datos o archivos vayan a sersuministrados a terceros se deberá, de manera previa, informaral Titular y solicitar su autorización. En este caso losResponsables y Encargados de las bases de datos y archivosquedarán sujetos a las disposiciones contenidas en la presenteley.b) A las bases de datos y archivos que tengan por finalidad laseguridad y defensa nacional, así como la prevención,detección, monitoreo y control del lavado de activos y elfinanciamiento del terrorismo.
3c)A lasbases de datos que tengan como fin y contenganinformación de inteligencia y contrainteligencia.d) A las bases de datos y archivos de información periodística yotros contenidos editoriales.e) A las bases de datos y archivos regulados por la Ley 1266 de2008.f) A las bases de datos y archivos regulados por la Ley 79 de1993.Parágrafo.Los principios sobre protección de datos seránaplicables a todas las bases de datos, incluidas las exceptuadasen el presente artículo, con los límites dispuestos en la presenteley y sin reñir con los datos que tienen características de estaramparados por la reserva legal. En el evento que lanormatividad especial que regule las bases de datosexceptuadas prevea principios que tengan en consideración lanaturaleza especial de datos, los mismos aplicarán de maneraconcurrente a los previstos en la presente ley.Artículo 3°. Definiciones. Para los efectos de la presente ley,se entiende por:a)Autorización: Consentimiento previo, expreso e informadodel Titular para llevar a cabo el Tratamiento de datospersonales.b)Base de datos: Conjunto organizado de datos personales quesea objeto de Tratamiento.c)Dato personal: Cualquier información vinculada o que puedaasociarse a una o varias personas naturales determinadas odeterminables.d)Encargado del tratamiento: Persona natural o jurídica,pública o privada, que por sí misma o en asocio con otros,realice el Tratamiento de datos personales por cuenta delResponsable del Tratamiento.e)Responsable del tratamiento: Persona natural o jurídica,pública o privada, que por sí misma o en asocio con otros,decida sobre la base de datos y/o el Tratamiento de los datos.
4f)Titular: Persona natural cuyos datos personales sean objetode Tratamiento.g)Tratamiento: Cualquier operación o conjunto deoperaciones sobre datos personales, tales como la recolección,almacenamiento, uso, circulación o supresión. TÍTULO II PRINCIPIOS RECTORESArtículo 4°. Principios para el tratamiento de datospersonales. En el desarrollo, interpretación y aplicación de lapresente ley, se aplicarán, de manera armónica e integral, lossiguientes principios:a) Principio de legalidad en materia de tratamiento de datos:el tratamiento a que se refiere la presente ley es una actividadreglada que debe sujetarse a lo establecido en ella y en lasdemás disposiciones que la desarrollen.b) Principio de finalidad: el tratamiento debe obedecer a unafinalidad legítima de acuerdo con la Constitución y la ley, lacual debe ser informada al titular.c) Principio de libertad: el tratamiento sólo puede ejercersecon el consentimiento, previo, expreso e informado del titular.Los datos personales no podrán ser obtenidos o divulgados sinprevia autorización, o en ausencia de mandato legal o judicialque releve el consentimiento.d) Principio de veracidad o calidad: la información sujeta atratamiento debe ser veraz, completa, exacta, actualizada,comprobable y comprensible. Se prohíbe el tratamiento dedatos parciales, incompletos, fraccionados o que induzcan aerror.e) Principio de transparencia: en el tratamiento debegarantizarse el derecho del titular a obtener del responsabledel tratamiento o del encargado del tratamiento, en cualquiermomento y sin restricciones, información acerca de laexistencia de datos que le conciernan.f) Principio de acceso y circulación restringida: el tratamientose sujeta a los límites que se derivan de la naturaleza de losdatos personales, de las disposiciones de la presente ley y laConstitución. En este sentido, el tratamiento sólo podrá
5hacerse por personas autorizadas por el titular y/o por laspersonas previstas en la presente ley.Los datos personales, salvo la información pública, no podránestar disponibles en internet u otros medios de divulgación ocomunicación masiva, salvo que el acceso sea técnicamentecontrolable para brindar un conocimiento restringido sólo alos titulares o terceros autorizados conforme a la presente ley.g) Principio de seguridad: la información sujeta a tratamientopor el responsable del tratamiento o encargado del tratamientoa que se refiere la presente ley, se deberá manejar con lasmedidas técnicas, humanas y administrativas que seannecesarias para otorgar seguridad a los registros evitando suadulteración, pérdida, consulta, uso o acceso no autorizado ofraudulento.h) Principio de confidencialidad: todas las personas queintervengan en el tratamiento de datos personales que notengan la naturaleza de públicos están obligadas a garantizarla reserva de la información, inclusive después de finalizada surelación con alguna de las labores que comprende eltratamiento, pudiendo sólo realizar suministro o comunicaciónde datos personales cuando ello corresponda al desarrollo delas actividades autorizadas en la presente ley y en los términosde la misma. TÍTULO III CATEGORÍAS ESPECIALES DE DATOSArtículo 5°. Datos sensibles.Para los propósitos de la presenteley, se entiende por datos sensibles aquellos que afectan laintimidad del Titular o cuyo uso indebido puede generar sudiscriminación, tales como aquellos que revelen el origenracial o étnico, la orientación política, las conviccionesreligiosas o filosóficas, la pertenencia a sindicatos,organizaciones sociales, de derechos humanos o que promuevaintereses de cualquier partido político o que garanticen losderechos y garantías de partidos políticos de oposición, asícomo los datos relativos a la salud, a la vida sexual y los datosbiométricos.Artículo 6°. Tratamiento de datos sensibles. Se prohíbe elTratamiento de datos sensibles, excepto cuando:
6a) El Titular haya dado su autorización explícita a dichoTratamiento, salvo en los casos que por ley no sea requerido elotorgamiento de dicha autorización.b) El Tratamiento sea necesario para salvaguardar el interésvital del Titular y este se encuentre física o jurídicamenteincapacitado. En estos eventos, los representantes legalesdeberán otorgar su autorización.c) El Tratamiento sea efectuado en el curso de las actividadeslegítimas y con las debidas garantías por parte de unafundación, ONG, asociación o cualquier otro organismo sinánimo de lucro, cuya finalidad sea política, filosófica, religiosao sindical, siempre que se refieran exclusivamente a susmiembros o a las personas que mantengan contactos regularespor razón de su finalidad. En estos eventos, los datos no sepodrán suministrar a terceros sin la autorización del Titular.d) El Tratamiento se refiera a datos que el Titular haya hechomanifiestamente públicos o sean necesarios para elreconocimiento, ejercicio o defensa de un derecho en unproceso judicial.e) El Tratamiento tenga una finalidad histórica, estadística ocientífica. En este evento deberán adoptarse las medidasconducentes a la supresión de identidad de los Titulares.Artículo 7°. Derechos de los niños, niñas y adolescentes. En elTratamiento se asegurará el respeto a los derechos prevalentesde los niños, niñas y adolescentes.Queda proscrito el Tratamiento de datos personales de niños,niñas y adolescentes, salvo aquellos datos que sean denaturaleza pública.Es tarea del Estado y las entidades educativas de todo tipoproveer información y capacitar a los representantes legales ytutores sobre los eventuales riesgos a los que se enfrentan losniños, niñas y adolescentes respecto del Tratamiento indebidode sus datos personales, y proveer de conocimiento acerca deluso responsable y seguro por parte de niños, niñas yadolescentes de sus datos personales, su derecho a laprivacidad y protección de su información personal y la de losdemás. El Gobierno Nacional reglamentará la materia, dentrode los seis (6) meses siguientes a la promulgación de esta ley.
7 TÍTULO IV DERECHOS Y CONDICIONES DE LEGALIDAD PARA EL TRATAMIENTO DE DATOSArtículo 8°. Derechos de los titulares. El Titular de los datospersonales tendrá los siguientes derechos:a) Conocer, actualizar y rectificar sus datos personales frente alos Responsables del Tratamiento o Encargados delTratamiento. Este derecho se podrá ejercer, entre otros frente adatos parciales, inexactos, incompletos, fraccionados, queinduzcan a error, o aquellos cuyo Tratamiento estéexpresamente prohibido o no haya sido autorizado.b) Solicitar prueba de la autorización otorgada al Responsabledel Tratamiento salvo cuando expresamente se exceptúe comorequisito para el Tratamiento, de conformidad con lo previstoen el artículo 10 de la presente ley.c) Ser informado por el Responsable del Tratamiento o elEncargado del Tratamiento, previa solicitud, respecto del usoque le ha dado a sus datos personales.d) Presentar ante la Superintendencia de Industria y Comercioquejas por infracciones a lo dispuesto en la presente ley y lasdemás normas que la modifiquen, adicionen o complementen.e) Revocar la autorización y/o solicitar la supresión del datocuando en el Tratamiento no se respeten los principios,derechos y garantías constitucionales y legales. La revocatoriay/o supresión sólo procederá cuando la Superintendencia deIndustria y Comercio haya determinado que en el Tratamientoel Responsable o Encargado han incurrido en conductascontrarias a esta ley y a la Constitución.f) Acceder en forma gratuita a sus datos personales que hayansido objeto de Tratamiento.Artículo 9°.Autorización del titular. Sin perjuicio de lasexcepciones previstas en la ley, en el Tratamiento se requierela autorización previa e informada del Titular, la cual deberáser obtenida por cualquier medio que pueda ser objeto deconsulta posterior.Artículo 10. Casos en que no es necesaria la autorización. Laautorización del Titular no será necesaria cuando se trate de:
8a) Información requerida por una entidad pública oadministrativa en ejercicio de sus funciones legales o por ordenjudicial.b) Datos de naturaleza pública.c) Casos de urgencia médica o sanitaria.d) Tratamiento de información autorizado por la ley para fineshistóricos, estadísticos o científicos.e) Datos relacionados con el Registro Civil de las Personas.Quien acceda a los datos personales sin que medieautorización previa deberá en todo caso cumplir con lasdisposiciones contenidas en la presente ley.Artículo 11. Suministro de la información. La informaciónsolicitada podrá ser suministrada por cualquier medio,incluyendo los electrónicos, según lo requiera el Titular. Lainformación deberá ser de fácil lectura, sin barreras técnicasque impidan su acceso y deberá corresponder en un todo aaquella que repose en la base de datos.El Gobierno Nacional establecerá la forma en la cual losResponsables del Tratamiento y Encargados del Tratamientodeberán suministrar la información del Titular, atendiendo a lanaturaleza del dato personal. Esta reglamentación deberá darsea más tardar dentro del año siguiente a la promulgación de lapresente ley.Artículo 12.Deber de informar al titular. El Responsable delTratamiento, al momento de solicitar al Titular la autorización,deberá informarle de manera clara y expresa lo siguiente:a) El Tratamiento al cual serán sometidos sus datos personalesy la finalidad del mismo.b) El carácter facultativo de la respuesta a las preguntas que lesean hechas, cuando estas versen sobre datos sensibles o sobrelos datos de las niñas, niños y adolescentes.c) Los derechos que le asisten como Titular.d) La identificación, dirección física o electrónica y teléfonodel Responsable del Tratamiento.
9Parágrafo. El Responsable del Tratamiento deberá conservarprueba del cumplimiento de lo previsto en el presente artículo y,cuando el Titular lo solicite, entregarle copia de esta.Artículo 13.Personas a quienes se les puede suministrar lainformación. La información que reúna las condicionesestablecidas en la presente ley podrá suministrarse a lassiguientes personas:a) A los Titulares, sus causahabientes o sus representanteslegales.b) A las entidades públicas o administrativas en ejercicio desus funciones legales o por orden judicial.c) A los terceros autorizados por el Titular o por la ley. TÍTULO V PROCEDIMIENTOSArtículo 14. Consultas. Los Titulares o sus causahabientespodrán consultar la información personal del Titular querepose en cualquier base de datos, sea esta del sector público oprivado. El Responsable del Tratamiento o Encargado delTratamiento deberán suministrar a estos toda la informacióncontenida en el registro individual o que esté vinculada con laidentificación del Titular.La consulta se formulará por el medio habilitado por elResponsable del Tratamiento o Encargado del Tratamiento,siempre y cuando se pueda mantener prueba de esta.La consulta será atendida en un término máximo de diez (10)días hábiles, contados a partir de la fecha de recibo de lamisma. Cuando no fuere posible atender la consulta dentro dedicho término, se informará al interesado, expresando losmotivos de la demora y señalando la fecha en que se atenderásu consulta, la cual en ningún caso podrá superar los cinco (5)días hábiles siguientes al vencimiento del primer término.Parágrafo. Las disposiciones contenidas en leyes especiales olos reglamentos expedidos por el Gobierno Nacional podránestablecer términos inferiores, atendiendo a la naturaleza deldato personal.
10Artículo 15. Reclamos. El Titular o sus causahabientes queconsideren que la información contenida en una base de datosdebe ser objeto de corrección, actualización o supresión, ocuando adviertan el presunto incumplimiento de cualquiera delos deberes contenidos en esta ley, podrán presentar unreclamo ante el Responsable del Tratamiento o el Encargadodel Tratamiento el cual será tramitado bajo las siguientesreglas:1. El reclamo se formulará mediante solicituddirigida alResponsable del Tratamiento o al Encargado del Tratamiento,con la identificación del Titular, la descripción de los hechosque dan lugar al reclamo, la dirección, y acompañando losdocumentos que se quiera hacer valer. Si el reclamo resultaincompleto, se requerirá al interesado dentro de los cinco (5)días siguientes a la recepción del reclamo para que subsane lasfallas. Transcurridos dos (2) meses desde la fecha delrequerimiento, sin que el solicitante presente la informaciónrequerida, se entenderá que ha desistido del reclamo.En caso de que quien reciba el reclamo no sea competente pararesolverlo, dará traslado a quien corresponda en un términomáximo de dos (2) días hábiles e informará de la situación alinteresado.2. Una vez recibido el reclamo completo, se incluirá en la basede datos una leyenda que diga “reclamo en trámite” y elmotivo del mismo, en un término no mayor a dos (2) díashábiles. Dicha leyenda deberá mantenerse hasta que elreclamo sea decidido.3. El término máximo para atender el reclamo será de quince(15) días hábiles, contados a partir del día siguiente a la fechade su recibo. Cuando no fuere posible atender el reclamodentro de dicho término, se informará al interesado los motivosde la demora y la fecha en que se atenderá su reclamo, la cualen ningún caso podrá superar los ocho (8) días hábilessiguientes al vencimiento del primer término.Artículo 16. Requisito de procedibilidad. El Titular ocausahabiente sólo podrá elevar queja ante laSuperintendencia de Industria y Comercio una vez hayaagotado el trámite de consulta o reclamo ante el Responsabledel Tratamiento o Encargado del Tratamiento. TÍTULO VI
11 DEBERES DE LOS RESPONSABLES DELTRATAMIENTO Y ENCARGADOS DEL TRATAMIENTOArtículo 17. Deberes de los Responsables del Tratamiento.Los Responsables del Tratamiento deberán cumplir lossiguientes deberes, sin perjuicio de las demás disposicionesprevistas en la presente ley y en otras que rijan su actividad:a) Garantizar al Titular, en todo tiempo, el pleno y efectivoejercicio del derecho de hábeas data.b) Solicitar y conservar, en las condiciones previstas en lapresente ley, copia de la respectiva autorización otorgada porel Titular.c) Informar debidamente al Titular sobre la finalidad de larecolección y los derechos que le asisten por virtud de laautorización otorgada.d) Conservar la información bajo las condiciones de seguridadnecesarias para impedir su adulteración, pérdida, consulta,uso o acceso no autorizado o fraudulento.e) Garantizar que la información que se suministre alEncargado del Tratamiento sea veraz, completa, exacta,actualizada, comprobable y comprensible.f) Actualizar la información, comunicando de forma oportuna alEncargado del Tratamiento, todas las novedades respecto de losdatos que previamente le haya suministrado y adoptar las demásmedidas necesarias para que la información suministrada a estese mantenga actualizada.g) Rectificar la información cuando sea incorrecta y comunicarlo pertinente al Encargado del Tratamiento.h) Suministrar al Encargado del Tratamiento, según el caso,únicamente datos cuyo Tratamiento esté previamenteautorizado de conformidad con lo previsto en la presente ley.i) Exigir al Encargado del Tratamiento en todo momento, elrespeto a las condiciones de seguridad y privacidad de lainformación del Titular.j) Tramitar las consultas y reclamos formulados en lostérminos señalados en la presente ley.
12k) Adoptar un manual interno de políticas y procedimientospara garantizar el adecuado cumplimiento de la presente ley y,en especial, para la atención de consultas y reclamos.l) Informar al Encargado del Tratamiento cuando determinadainformación se encuentra en discusión por parte del Titular,una vez se haya presentado la reclamación y no hayafinalizado el trámite respectivo.m) Informar a solicitud del Titular sobre el uso dado a susdatos.n) Informar a la autoridad de protección de datos cuando sepresenten violaciones a los códigos de seguridad y existanriesgos en la administración de la información de los Titulares.o) Cumplir las instrucciones y requerimientos que imparta laSuperintendencia de Industria y Comercio.Artículo 18. Deberes de los Encargados del Tratamiento. LosEncargados del Tratamiento deberán cumplir los siguientesdeberes, sin perjuicio de las demás disposiciones previstas enla presente ley y en otras que rijan su actividad:a) Garantizar al Titular, en todo tiempo, el pleno y efectivoejercicio del derecho de hábeas data.b) Conservar la información bajo las condiciones de seguridadnecesarias para impedir su adulteración, pérdida, consulta,uso o acceso no autorizado o fraudulento.c) Realizar oportunamente la actualización, rectificación osupresión de los datos en los términos de la presente ley.d) Actualizar la información reportada por los Responsablesdel Tratamiento dentro de los cinco (5) días hábiles, contados apartir de su recibo.e) Tramitar las consultas y los reclamos formulados por losTitulares en los términos señalados en la presente ley.f) Adoptar un manual interno de políticas y procedimientospara garantizar el adecuado cumplimiento de la presente ley y,en especial, para la atención de consultas y reclamos por partede los Titulares.
13g) Registrar en la base de datos la leyenda “reclamo entrámite” en la forma en que se regula en la presente ley.h) Insertar en la base de datos la leyenda “información endiscusión judicial” una vez notificado por parte de la autoridadcompetente sobre procesos judiciales relacionados con lacalidad del dato personal.i) Abstenerse de circular información que esté siendocontrovertida por el Titular y cuyo bloqueo haya sido ordenadopor la Superintendencia de Industria y Comercio.j) Permitir el acceso a la información únicamente a laspersonas que pueden tener acceso a ella.k) Informar a la Superintendencia de Industria y Comerciocuando se presenten violaciones a los códigos de seguridad yexistan riesgos en la administración de la información de losTitulares.l) Cumplir las instrucciones y requerimientos que imparta laSuperintendencia de Industria y Comercio.Parágrafo. En el evento en que concurran las calidades deResponsable del Tratamiento y Encargado del Tratamiento enla misma persona, le será exigible el cumplimiento de losdeberes previstos para cada uno. TÍTULO VII DE LOS MECANISMOS DE VIGILANCIA Y SANCIÓN CAPÍTULO I DE LA AUTORIDAD DE PROTECCIÓN DE DATOSArtículo 19. Autoridad de protección de datos. LaSuperintendencia de Industria y Comercio, a través de unaDelegatura para la Protección de Datos Personales, ejercerála vigilanciapara garantizar que en el Tratamiento de datospersonales se respeten los principios, derechos, garantías yprocedimientos previstos en la presente ley.Parágrafo 1°. El Gobierno Nacional en el plazo de seis (6)meses, contados a partir de la fecha de entrada en vigencia dela presente ley incorporará dentro de la estructura de laSuperintendencia de Industria y Comercio un despacho de
14Superintendente Delegado para ejercer las funciones deAutoridad de Protección de Datos.Parágrafo 2°.La vigilancia del tratamiento de los datospersonales regulados en la Ley 1266 de 2008 se sujetará a loprevisto en dicha norma.Artículo 20. Recursos para el ejercicio de sus funciones. LaSuperintendencia de Industria y Comercio contará con lossiguientes recursos para ejercer las funciones que le sonatribuidas por la presente ley:a) Las multas que se impongan a los sometidos a vigilancia.b) Los recursos que le sean destinados en el PresupuestoGeneral de la Nación.Artículo 21.Funciones. La Superintendencia de Industria yComercio ejercerá las siguientes funciones:a) Velar por el cumplimiento de la legislación en materia deprotección de datos personales.b) Adelantar las investigaciones del caso, de oficio o a peticiónde parte y, como resultado de ellas, ordenar las medidas quesean necesarias para hacer efectivo el derecho de hábeas data.Para el efecto, siempre que se desconozca el derecho, podrádisponer que se conceda el acceso y suministro de los datos, larectificación, actualización o supresión de los mismos.c) Disponer el bloqueo temporal de los datos cuando, de lasolicitud y de las pruebas aportadas por el Titular, seidentifique un riesgo cierto de vulneración de sus derechosfundamentales, y dicho bloqueo sea necesario para protegerlosmientras se adopta una decisión definitiva.d) Promover y divulgar los derechos de las personas enrelación con el Tratamiento de datos personales eimplementara campañas pedagógicas para capacitar einformar a los ciudadanos acerca del ejercicio y garantía delderecho fundamental a la protección de datos.e) Impartir instrucciones sobre las medidas y procedimientosnecesarios para la adecuación de las operaciones de losResponsables del Tratamiento y Encargados del Tratamiento alas disposiciones previstas en la presente ley.
15f) Solicitar a los Responsables del Tratamiento y Encargadosdel Tratamiento la información que sea necesaria para elejercicio efectivo de sus funciones.g) Proferirlas declaraciones de conformidad sobre lastransferencias internacionales de datos.h) Administrar el Registro Nacional Público de Bases de Datosy emitir las órdenes y los actos necesarios para suadministración y funcionamiento.i) Sugerir o recomendar los ajustes, correctivos o adecuacionesa la normatividad que resulten acordes con la evolucióntecnológica, informática o comunicacional.j) Requerir la colaboración de entidades internacionales oextranjeras cuando se afecten los derechos de los Titularesfuera del territorio colombiano con ocasión, entre otras, de larecolección internacional de datos personales.k) Las demás que le sean asignadas por ley. CAPÍTULO II PROCEDIMIENTO Y SANCIONESArtículo 22. Trámite. La Superintendencia de Industria yComercio, una vez establecido el incumplimiento de lasdisposiciones de la presente ley por parte del Responsable delTratamiento o el Encargado del Tratamiento, adoptará lasmedidas o impondrá las sanciones correspondientes.En lo no reglado por la presente ley y los procedimientoscorrespondientes se seguirán las normas pertinentes delCódigo Contencioso Administrativo.Artículo 23. Sanciones. La Superintendencia de Industria yComercio podrá imponer a los Responsables del Tratamiento yEncargados del Tratamiento las siguientes sanciones:a) Multas de carácter personal e institucional a favor de laSuperintendencia de Industria y Comercio hasta por elequivalente de dos mil (2.000) salarios mínimos mensualeslegales vigentes al momento de la imposición de la sanción.Las multas podrán ser sucesivas mientras subsista elincumplimiento que las originó.
16b) Suspensión de las actividades relacionadas con elTratamiento hasta por un término de seis (6) meses. En el actode suspensión se indicarán los correctivos que se deberánadoptar.c) Cierre temporal de las operaciones relacionadas con elTratamiento una vez transcurrido el término de suspensión sinque se hubieren adoptado los correctivos ordenados por laSuperintendencia de Industria y Comercio.d) Cierre inmediato y definitivo de la operación que involucreel Tratamiento de datos sensibles.Parágrafo.Las sanciones indicadas en el presente artículo soloaplican para las personas de naturaleza privada. En el eventoen el cual la Superintendencia de Industria y Comercioadvierta un presunto incumplimiento de una autoridad públicaa las disposiciones de la presente ley, remitirá la actuación a laProcuraduría General de la Nación para que adelante lainvestigación respectiva.Artículo 24. Criterios para graduar las sanciones.Lassanciones por infracciones a las que se refieren el artículoanterior, se graduarán atendiendo los siguientes criterios, encuanto resulten aplicables:a) La dimensión del daño o peligro a los intereses jurídicostutelados por la presente ley.b) El beneficio económico obtenido por el infractor o terceros,en virtud de la comisión de la infracción.c) La reincidencia en la comisión de la infracción.d) La resistencia, negativa u obstrucción a la accióninvestigadora o de vigilancia de la Superintendencia deIndustria y Comercio.e) La renuencia o desacato a cumplir las órdenes impartidaspor la Superintendencia de Industria y Comercio.f) El reconocimiento o aceptación expresos que haga elinvestigado sobre la comisión de la infracción antes de laimposición de la sanción a que hubiere lugar. CAPÍTULO III
17 DEL REGISTRO NACIONAL DE BASES DE DATOSArtículo 25. Definición. El Registro Nacional de Bases deDatos es el directorio público de las bases de datos sujetas aTratamiento que operan en el país.El registro será administrado por la Superintendencia deIndustria y Comercio y será de libre consulta para losciudadanos.Para realizar el registro de bases de datos, los interesadosdeberán aportar a la Superintendencia de Industria y Comerciolas políticas de tratamiento de la información, las cualesobligarán a los responsables y encargados del mismo, y cuyoincumplimiento acarreará las sanciones correspondientes. Laspolíticas de Tratamiento en ningún caso podrán ser inferiores alos deberes contenidos en la presente ley.Parágrafo.El Gobierno Nacional reglamentará, dentro del añosiguiente a la promulgación de la presente ley, la informaciónmínima que debe contener el Registro, y los términos ycondiciones bajo los cuales se deben inscribir en este losResponsables del Tratamiento. TÍTULO VIII TRANSFERENCIA DE DATOS A TERCEROS PAÍSESArtículo 26. Prohibición. Se prohíbe la transferencia de datospersonales de cualquier tipo a países que no proporcionenniveles adecuados de protección de datos. Se entiende que unpaís ofrece un nivel adecuado de protección de datos cuandocumpla con los estándares fijados por la Superintendencia deIndustria y Comercio sobre la materia, los cuales en ningúncaso podrán ser inferiores a los que la presente ley exige a susdestinatarios.Esta prohibición no regirá cuando se trate de:a) Información respecto de la cual el Titular haya otorgado suautorización expresa e inequívoca para la transferencia.b) Intercambio de datos de carácter médico, cuando así lo exijael Tratamiento del Titular por razones de salud o higienepública.
18c) Transferencias bancarias o bursátiles, conforme a lalegislación que les resulte aplicable.d) Transferencias acordadas en el marco de tratadosinternacionales en los cuales la República de Colombia seaparte, con fundamento en el principio de reciprocidad.e) Transferencias necesarias para la ejecución de un contratoentre el Titular y el Responsable del Tratamiento, o para laejecución de medidas precontractuales siempre y cuando secuente con la autorización del Titular.f) Transferencias necesarias o legalmente exigidas para lasalvaguardia del interés público, o para el reconocimiento,ejercicio o defensa de un derecho en un proceso judicial.Parágrafo 1°. En los casos no contemplados como excepciónen el presente artículo, corresponderá a la Superintendencia deIndustria y Comercio, proferir la declaración de conformidadrelativa a la transferencia internacional de datos personales.Para el efecto, el Superintendente queda facultado pararequerir información y adelantar las diligencias tendientes aestablecer el cumplimiento de los presupuestos que requiere laviabilidad de la operación.Parágrafo 2°.Las disposiciones contenidas en el presenteartículo serán aplicables para todos los datos personales,incluyendo aquellos contemplados en la Ley 1266 de 2008. TÍTULO IX OTRAS DISPOSICIONESArtículo 27.Disposiciones especiales. El Gobierno Nacionalregulará lo concerniente al Tratamiento sobre datos personalesque requieran de disposiciones especiales. En todo caso, dichareglamentación no podrá ser contraria a las disposicionescontenidas en la presente ley.Artículo 28. Normas corporativas vinculantes. El GobiernoNacional expedirá la reglamentación correspondiente sobreNormas Corporativas Vinculantes para la certificación debuenas prácticas en protección de datos personales y sutransferencia a terceros países.Artículo 29.Certificación de antecedentes judiciales. ElDepartamento Administrativo de Seguridad, DAS, o quien
19ejerza esta función, mantendrá y actualizará los registrosdelictivos y de identificación nacional de acuerdo con losinformes y avisos que para el efecto deberán remitirle lasautoridades judiciales, conforme a la Constitución Política y laley.Al expedir certificados judiciales por petición ciudadana, elDepartamento Administrativo de Seguridad o quien ejerza estafunción, se abstendrá de incluir como antecedente penal losregistros delictivos del solicitante cuando este haya cumplidosu pena o la misma haya prescrito.Parágrafo 1°. Los archivos del Departamento Administrativode Seguridad, o de quien ejerza esta función en esta materia,tendrán carácter reservado y en consecuencia solo seexpedirán certificados o informes de los registros contenidosen ellos.Parágrafo 2°.El Departamento Administrativo de Seguridad,DAS, o quien ejerza esta función, garantizará la disponibilidadde manera gratuita y permanente la información electrónicasobre el Certificado de Antecedentes Judiciales para serconsultados por el titular, interesado o por terceros a través dela página web de la entidad y los mismos gozarán de plenavalidez y legitimidad.Parágrafo 3°.El certificado judicial expedido a solicitud de lospeticionarios de sus propios registros, no será válido enaquellos cargos donde se requiera la carencia total deantecedentes.En este caso, cuando las entidades de la AdministraciónPública requieran la presentación de los antecedentesjudiciales, deberán dar cumplimiento estricto a lo señalado enel artículo 17 del Decreto 2150 de 1995 o la norma que lamodifique, complemente, adicione o aclare.Artículo 30.Bases de datos de inteligencia ycontrainteligencia. Las bases de datos o archivos de lasentidades que desarrollan actividades de inteligencia ycontrainteligencia deberán guiarse estrictamente por losparámetros de tratamiento de datos establecidos en el PlanNacional de Inteligencia y por la Junta de InteligenciaConjunta, así como en las demás normas legales.
20En todo caso la autorización de una orden de operaciones omisión de trabajo, no podrá ser emitida por un servidor públicoque ostente un nivel distinto al de directivo, comando o suequivalente.Los documentos, información y equipos técnicos de losorganismos que desarrollen labores de inteligencia ocontrainteligencia estarán amparados por la reserva legal porun término máximo de 40 años y tendrán carácter deinformación reservada según el grado de clasificación quecorresponda en cada caso.Parágrafo.El servidor público que decida ampararse en lareserva legal para no suministrar información a un titular,deberá hacerlo motivadamente, señalando la razonabilidad yproporcionalidad de su decisión al requirente. En cualquiercaso, frente a las decisiones señaladas procederán los recursosy acciones legales y constitucionales pertinentes.No se podrá oponer la reserva legal a los requerimientos de losjueces y otras autoridades competentes.Artículo 31. Valor probatorio y reserva de los informes deinteligencia y contrainteligencia.En ningún caso los informesde inteligencia tendrán valor probatorio dentro de los procesosjudiciales, pero su contenido podrá constituir criterioorientador para el desarrollo de los actos urgentes quedesarrolla la policía judicial en materia penal. En todo caso segarantizará la reserva para proteger la identidad de quienesson objeto de dichos informes, de los funcionarios deinteligencia y contrainteligencia, sus métodos y fuentes.Artículo 32. Régimen de transición. Las personas que a lafecha de entrada en vigencia de la presente ley ejerzan algunade las actividades acá reguladas tendrán un plazo de hasta seis(6) meses para adecuarse a las disposiciones contempladas enesta ley.Artículo 33. Derogatorias. La presente ley deroga todas lasdisposiciones que le sean contrarias a excepción de aquellascontempladas en el artículo segundo.Artículo 34. Vigencia.La presente ley rige a partir de supromulgación.Senador,
21 Luis Fernando Velasco Chaves. Representante a la Cámara, Alfredo Deluque Zuleta.”1.3 INTERVENCIONES CIUDADANAS Dentro del proceso se presentaron intervenciones de las siguientes personas y entidades: el Ministerio de Industria, Comercio y Turismo, la Secretaría Jurídica de la Presidencia de la República, la Defensoría del Pueblo, los ciudadanos Juanita Durán Vélez, Santiago Diazgranados Mesa, Alejandro Salas Pretelt, Rolfe Hernando González Sosa y María Lorena Flórez Rojas, la Universidad de los Andes, la Fundación para la Libertad de Prensa (FLP), Computec S.A. – Datacrédito, la Asociación Colombiana de Empresas de Medicina Integral (ACEMI), la Asociación Bancaria de Colombia y Entidades Financieras de Colombia (ASOBANCARIA). La Sala hará referencia al contenido de cada una de las intervenciones al realizar el análisis de constitucionalidad tanto formal como material de cada una de las disposiciones del proyecto de ley bajo estudio.1.4 CONCEPTO DEL PROCURADOR El Procurador General de la Nación solicita a la Corte declarar exequible el Proyecto de Ley Estatutaria046 de 2010 Cámara- 184 de 2010 Senado,con las siguientes precisiones:1.4.1. Respecto al proceso de formación del proyecto de ley estatutaria, manifiesta lo siguiente:1.4.1.1. Asegura que el proyecto cumple con lo previsto en el artículo 160 de la Constitución, pues (i) entre la aprobación en primer y en segundo debate en cada una de las cámaras transcurrió un tiempo no inferior a ocho días, y (ii) entre la aprobación surtida en una cámara y el inicio del debate en la otra hubo un lapso no inferior a quince días. En particular, explica que (a) la Comisión Primera de la Cámara aprobó el proyecto el 14 de septiembre de 2010 y la plenaria emitió su aprobación el 19 de octubre de 2010; (b) la Comisión Primera del Senado aprobó el proyecto el 6 de diciembre de 2010 y de la misma forma procedió la plenaria el 15 de diciembre de 2010; (c) el proyecto fue aprobado por la Cámara de Representantes el 19 de octubre de 2010 y su debate en el Senado inició el 6 de diciembre de 2010.1.4.1.2. De otra parte, afirma que el proyecto cumplió con lo establecido en el artículo 153 de la Carta que exige la mayoría absoluta de los miembros
22 del Congreso para aprobar proyectos de leyes estatutarias, como también que su trámite se efectúe dentro de una sola legislatura. En el caso específico, indica que se radicó el proyecto de ley el 3 de agosto de 2010 y su trámite culminó el 16 de diciembre de 2010, lo que evidencia que su trámite se surtió dentro de la legislatura que inició el 20 de julio de ese mismo año y que culminó el 20 de junio de 2011.1.4.2. Respecto al análisis jurídico y material del proyecto de ley estatutaria, expresa lo siguiente:1.4.2.1. Considera que la decisión de limitar el recaudo y tratamiento de datos personales, así como el uso y el acceso a las bases de datos que contienen esa información, es razonable, pues su finalidad es preservar del conocimiento público los datos que pertenecen la intimidad de su titular.1.4.2.2. Sostiene que el literal c) del artículo 5 es exequible, bajo el entendido que siempre debe mediar autorización por parte del titular.1.4.2.3. Por otra parte, indica que las excepciones a la prohibición de circulación de datos sensibles, previstas en el artículo 6, por fundarse en el consentimiento del titular o en finalidades importantes, son razonables. Sin embargo, refiere que en el caso del ejercicio de actividades legítimas de un grupo de personas, organizado sin ánimo de lucro, como es el caso de las fundaciones, las ONG, las asociaciones, los sindicatos o cualquier otra; el hecho de pertenecer a dicho grupo no es razón para obviar la necesidad de obtener la autorización previa del titular de los datos.1.4.2.4. Sostiene que la especial protección que se da a los datos personales de niños, niñas y adolescentes en el artículo 7 es razonable, ya que se desprende de su condición de sujetos de especial protección constitucional. No obstante, indica que la excepción prevista en este precepto respecto de los datos que son de “naturaleza pública”, puede generar dos situaciones conflictivas: en primer lugar, parte de que los niños, niñas y adolescentes no tienen capacidad plena para otorgar su consentimiento, lo que se pretende superar con la exigencia de autorización de sus padres o tutores; y en segundo lugar, no tiene en cuenta que esta población, al tener acceso sin restricciones a Internet, en especial a las redes sociales, puede publicar de manera irreflexiva sus datos personales y su intimidad. Por lo anterior, el Ministerio Público considera que la expresión “naturaleza pública”, en tanto excepción a la prohibición de tratamiento de datos sensibles de los niños, niñas y adolescentes, debe declararse inexequible.
231.4.2.5. Sobre el artículo 10 del proyecto, en el cual se encuentran establecidos los sucesos en los cuales no es necesaria la autorización del titular, específicamente en relación con el tercer evento referido a “que se trate de un caso de urgencia médica o sanitaria”, estima que es una excepción razonable, pues busca salvaguardar la vida e integridad física del titular del dato. No obstante, aclara que esta excepción sólo puede cobijar al personal médico o científico que atiende la urgencia.1.4.2.6. Con respecto al inciso del artículo 10 que establece que “(…) quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley (…)”, el Procurador considera que deja abierta la puerta a graves transgresiones, en tanto invalida la prohibición de tratar los datos personales sin consentimiento del titular, lo cual es irrazonable e inaceptable en términos constitucionales. Agrega que si un dato se obtiene sin el consentimiento previo de su titular, salvo las excepciones previstas en la ley, se está vulnerando el artículo 15 de la Constitución. La misma consecuencia puede aplicarse cuando dicho dato se hace circular. Por estas razones solicita que el precepto sea declarado inexequible.1.4.2.7. Manifiesta que el parágrafo del artículo 14, específicamente en lo referente a que “(…) el Gobierno Nacional podrá establecer términos inferiores a los señalados en los procedimientos contemplados en la ley”, aunque en principio podría concluirse que es una medida favorable para los intereses de los titulares de los datos y, por tanto, no existiría una restricción a sus derechos, es una medida inconstitucional. Aduce que no puede pasarse por alto que la competencia para regular los mecanismos de protección de los derechos fundamentales que tienen que ver con el núcleo esencial de los mismos, corresponde exclusivamente al legislador estatutario. Por lo anterior, cualquier modificación de los mecanismos de protección, así beneficie al titular del derecho, le corresponde realizarlo al Congreso a través de una ley estatutaria.1.4.2.8. En relación con el artículo 27, teniendo en cuenta las razones expuestas precedentemente, recuerda que la competencia para regular los mecanismos de protección de los derechos fundamentales, en la medida en que afecten el núcleo esencial de los mismos, goza de reserva de ley estatutaria. Por tanto, concluye que este precepto es inexequible.1.4.2.9. También pone de presente que la expresión “podrá constituir criterio orientador para el desarrollo de los actos urgentes que desarrolla la policía judicial en materia penal”, contenida en el artículo 31, es exequible bajo el entendido que para llevar a cabo esas actividades se requiere orden judicial. En su criterio, si no se trata de prevenir un grave riesgo inminente, sino de investigar delitos, esto es, el desarrollo de la
24 tarea propia de policía judicial en materia penal, siempre debe existirse una orden judicial previa. 1.4.2.10. Por último, alega que la expresión “o los reglamentos expedidos por el Gobierno Nacional” contenida en el parágrafo del artículo 14, es inexequible. 1.5 METODOLOGÍA La revisión integral del proyecto de ley estatutaria se desarrollará de la siguiente manera. En primer lugar, y de manera previa al estudio de constitucionalidad, la Sala hará una referencia al origen histórico y el alcance del derecho fundamental al habeas data. En segundo lugar, determinará cuál fue el modelo de regulación adoptada por el legislador estatutario y sus implicaciones en el análisis de constitucionalidad de las disposiciones del Proyecto. Establecido el marco general de protección de datos en Colombia, la Corporación realizará el análisis tanto formal como material del articulado del proyecto. 2 CONSIDERACIONES 2.1 CONSIDERACIONES PRELIMINARES 2.1.1 La materia del proyecto de ley estatutaria: regulación de algunos contenidos mínimos del derecho fundamental al habeas data El título del proyecto de ley –“Por el cual se dictan disposiciones generales para la protección de datos personales”- indica que su objetivo principal es regular de manera general las garantías del derecho fundamental a la protección de los datos personales, derecho que en la jurisprudencia constitucional ha sido con frecuencia denominado derecho al habeas data y en algunas oportunidades derecho a la autodeterminación informática o informativa1. Para determinar si, en efecto, el proyecto regula al menos algunos de los contenidos mínimos de este derecho, a continuación la Sala examinará su origen y alcance:2.1.1.1 Origen del derecho al habeas data 1 La Sala considera necesario reiterar la nota introducida en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño, sobre el empleo del término habeas data: “Debe tenerse en cuenta que la denominación „hábeas data‟ no ha sido la única utilizada por la jurisprudencia para identificar las facultades del sujeto concernido respecto de las bases de datos. Así, durante el desarrollo del concepto en las decisiones de la Corte se han usado las expresiones de „autodeterminación informática‟ o „autodeterminación informativa‟. En todo caso, estas tres definiciones refieren a la misma realidad jurídica, por lo que no ofrecen mayores dificultades en su uso alternativo. Sin embargo, ante la necesidad de contar con una descripción uniforme y habida cuenta el uso extendido del término en el ámbito del derecho constitucional colombiano, esta sentencia utilizará el vocablo hábeas data con el fin de nombrar el derecho que tienen todas las personas a ejercer las facultades de conocimiento, actualización y rectificación de la información personal contenida en bases de datos.” La equivalencia entre los términos habeas data y autodeterminación informativa también había sido anunciada en la sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett.
252.1.1.1.1 La protección de los datos personales surgió ligada al derecho a la intimidad, reconocido en varios instrumentos del derecho internacional de los derechos humanos. En el plano internacional, el derecho a la intimidad fue reconocido por primera vez en 1948, en la Declaración Universal de los Derechos Humanos, cuyo artículo 12 dispone que toda persona debe ser protegida contra injerencias arbitrarias en su vida privada, familia, domicilio o correspondencia, así como de ataques contra su honra y reputación.2Posteriormente, en 1966, este precepto fue reproducido por el artículo 17 del Pacto Internacional de Derechos Civiles y Políticos (PIDCP), con lo cual se le dio naturaleza vinculante entre los estados partes. En el ámbito regional, también en 1948, se reconoció el derecho a la intimidad con el artículo V de la Declaración Americana de Derechos y Deberes del Hombre. El derecho fue nuevamente introducido en el artículo 11 de la Convención Americana de Derechos Humanos de 1969, el cual en términos generales reproduce el artículo 12 de la Declaración Universal de los Derechos Humanos. En el sistema europeo de protección, el derecho a la intimidad fue reconocido por primera vez en el artículo 8 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, en 1950. Este artículo, además de proteger la vida privada y familiar, y el domicilio y la correspondencia, proscribe toda injerencia de las autoridades públicas en el ejercicio de este derecho, salvo “(…) cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.”3 2.1.1.1.2 Fue en Europa precisamente donde, con fundamento en esta última disposición y en vista de los riesgos a los que se enfrenta la 2 Sin embargo, la primera vez que se habló del derecho a la intimidad –o privacidad en lenguaje jurídico anglosajón- fue en 1890, cuando los estadounidenses Samuel Warren y Louis Brandeis publicaron el artículo „The Right To Privacy‟ que propugnaba por establecer límites jurídicos que impidieran la intromisión del periodismo en la vida privada de las personas. Warren, Samuel. Brandeis, Louis. “The Right To Privacy”. Harvard Law Review. Pág. 193. 1890. Ver también Gregorio, Carlos G. “Protección de Datos Personales: Europa Vs. Estados Unidos, todo un dilema para América Latina” enTransparentar al Estado: la Experiencia Mexicana de Acceso a la Información. Universidad Autónoma de México, 2004. Pág. 301.La idea primigenia del derecho a la intimidad estuvo marcada por su individualismo acentuado, al punto que se hacía referencia al derecho a estar solo o el derecho a ser dejado en paz. 3Hechos como los ocurridos durante la Segunda Guerra Mundial en Alemania, donde la información del censo y los archivos del gobierno se utilizaron para detectar a los judíos y demás poblaciones víctimas del genocidio, llevaron a que una vez finalizada la guerra, el derecho a la intimidad tuviera protección reforzada en los planos nacional y regional. Esta misma razón inspiró la introducción del artículo 12 de la Declaración Universal de los Derechos Humanos.
26 intimidad en la sociedad de la información, comenzó a labrarse el camino para el reconocimiento del habeas data como un derecho fundamental autónomo. Así, en 1967, el Consejo de Europa convocó una comisión consultiva para estudiar los riesgos que las tecnologías de la información generan sobre los derechos de las personas. Como consecuencia de esta comisión, se expidió en 1968, la Resolución 509 sobre los derechos humanos y los nuevos logros científicos y técnicos, en la que se hizo un llamado a la protección de la privacidad frente a las nuevas tecnologías. En la década de los 70, la Comisión de Ministros del Consejo de Europa adoptó la resolución relativa a “la protección de la vida privada de las personas físicas frente a los bancos de datos electrónicos en el sector privado”, y la resolución sobre “la protección de la vida privada de las personas físicas frente a los bancos de datos electrónicos en el sector público”, en las que recomienda a los países miembros implementar una serie de principios de protección. Posteriormente, varios países introdujeron legislaciones destinadas establecer garantías para los datos personales; varias de estas legislaciones crearon reglas específicas con miras a proteger no solamente la intimidad, sino también otros valores como la integridad, la autonomía y la dignidad de las personas.4 En 1981, el Convenio 108 del Consejo de Europa sobre la protección de las personas en lo relativo al tratamiento automatizado de datos de carácter personal, brindó protección explícita a este tipo de información y fijó las pautas del modelo común de protección. El Convenio amplió el catálogo de garantías con la introducción de los principios de lealtad, exactitud, finalidad, pertinencia, utilización no abusiva, olvido, publicidad, acceso individual y seguridad, y con la prohibición de tratamiento automático de datos que revelen el origen racial de las personas, sus opiniones políticas, convicciones religiosas o de otro tipo, así como datos sobre su salud o vida sexual.5 Además, introdujo4 Vale la pena destacar la ley de protección de datos del land alemán de Hesse de 1970, la ley sueca de 1973, elartículo 35 de la Constitución de Portugal de 1976, la ley federal alemana de 1977, las leyes francesa yaustriaca de 1978 y el artículo 18.4 de la Constitución española de 1978. Estas normas establecieron límites alempleo de la informática frente a los datos personales a partir de dos principios fundamentales: la autorizaciónprevia para la constitución de bancos de datos y su control e inspección posterior. Ver Bru Cuadra, Elisenda.“La protección de datos en España y en la Unión Europea”. IDP. Revista de internet, Derecho y Política, Num5, 2007. Universitat Oberta de Catalunya. P.p. 78-92. García González, Aristeo. “La protección de datospersonales: derecho fundamental del siglo XXI. Un estudio comparado”. Boletín Mexicano de DerechoComparado [en línea], XL (Septiembre-Diciembre), 2007. Disponible en:<http://redalyc.uaemex.mx/redalyc/src/inicio/ArtPdfRed.jsp?iCve=42712003> ISSN 0041-8633.En esta década también se expidió el Privacy Act de 1974 en Estados Unidos, inspirada también en lanecesidad de brindar protección a la privacidad frente a las nuevas tecnologías. A diferencia de lo que haocurrido en Europa, esta ley ha enfrentado serias dificultades en su implementación. Ver Bignami, Francesca.“European versus American Liberty: A Comparative Privacy Analysis of Antiterrorism Data Mining”. BostonCollege Law Review, 2007. P. 609.5 Ver Bru Cuadra, Elisenda. “La protección de datos en España y en la Unión Europea”. IDP. Revista deInternet, Derecho y Política, Num 5, 2007. Universitat Oberta de Catalunya. P.p. 78-92. Específicamente, suartículo 8 dispone: “Cualquier persona deberá poder:
27 definiciones sobre datos personales, ficheros automatizados, tratamientos automatizados y autoridades que manejan la información.6El Convenio 108 dio paso a una segunda generación de leyes nacionales de protección de datos que incorporaron varios de los principios reconocidos en él.7 En 1983, una sentencia del Tribunal Constitucional alemán denominó por primera vez el derecho a la protección de los datos personales como derecho a la autodeterminación informativa, con fundamento en el derecho al libre desarrollo de la personalidad.8 Para este tribunal, tal derecho comprende la facultad de decidir por sí mismo cuando y dentro de qué límites procede revelar situaciones referentes a la propia vida. Además, el tribunal señaló que la garantía del derecho requiere especiales medidas de protección, teniendo en cuenta que la interconexión de varias bases de datos puede dar lugar a la elaboración de un perfil de la personalidad que limite la libertad de decisión. Este ejemplo fue seguido por el Tribunal Constitucional español, el cual, en 1993, precisó que el artículo 18.4 de la constitución española consagra un derecho fundamental autónomo al disponer que la ley debe limitar el uso de la informática para garantizar la intimidad, el honor y el pleno ejercicio de los derechos de los ciudadanos.9a) Conocer la existencia de un fichero automatizado de datos de carácter personal, sus finalidadesprincipales, así como la identidad y la residencia habitual o el establecimiento principal de la autoridadcontroladora del fichero.b) Obtener a intervalos razonables y sin demora o gastos excesivos la confirmación de la existencia o noen el fichero automatizado de datos de carácter personal que conciernan a dicha persona, así como lacomunicación de dichos datos en forma inteligibles.”6El Convenio fue precedido por las “directrices sobre protección de la privacidad y flujos transfronterizos dedatos personales” adoptadas por la Organización para la Cooperación y el Desarrollo Económicos (OCDE) en1980, en las que se definen principios básicos de protección de datos personales, aplicables tanto al sectorpúblico como al privado, como el principio de limitación de la recolección de datos, el principio deespecificidad de la finalidad, el principio de limitación de uso, y el principio de salvaguardias de seguridad,entre otros. En el memorando explicativo de las directrices, se reconoce la tendencia a basar la protección dedatos personales en una noción más amplia de intimidad. Al respecto, se afirma: “(…) viene habiendo unatendencia a ampliar el concepto tradicional de intimidad (él derecho a que le dejen a uno en paz‟) y aidentificar una síntesis más compleja de intereses que quizá se puedan calificar más correctamente deintimidad y libertades individuales”.7 Irlanda en 1980 e Inglaterra en 1984.8 Sentencia citada por Prieto Gutiérrez, Juan José. “Protección de datos en la Biblioteca de la UniversidadComplutense”, 2006. Disponible en: http://www.scribd.com/doc/42380514/Proteccion-de-Datos-en-La-Biblioteca-de-La-Universidad-Complutense-de-Madrid, En este fallo, el tribunal declaró inconstitucionalesciertos aspectos de la Ley del Censo de Población de 1982.9 Ver sentencia 254 del 20 de julio de 1993. Citada en: Garriaga Domínguez, A. La protección de los datospersonales en el Derecho Español. Dykinson – Instituto de Derechos Humanos Bartolomé de las Casas de laUniversidad Carlos III de Madrid, 1999. Posteriormente, en la sentencia 292 del 30 de noviembre de 2000, elTribunal español precisó que el derecho fundamental a la autodeterminación informativa es diferente alderecho a la intimidad, pues mientras el segundo protege a las personas frente a cualquier invasión al ámbito desu vida personal o familiar, el derecho a la autodeterminación informativa garantiza a las personas un poder decontrol sobre sus datos personales, así como sobre su uso y destino, con el propósito de impedir su tráficoilícito y lesivo para la dignidad del titular. Ver García González, Aristeo. “La protección de datos personales:derecho fundamental del siglo XXI. Un estudio comparado”. Boletín Mexicano de Derecho Comparado [enlínea], XL (Septiembre-Diciembre), 2007. Disponible en:<http://redalyc.uaemex.mx/redalyc/src/inicio/ArtPdfRed.jsp?iCve=42712003> ISSN 0041-8633.
28 Años más tarde, en el plano comunitario, mediante la Directiva 95/46/CE de 1995 sobre la protección de personas físicas respecto al tratamiento y circulación de datos personales, el Parlamento Europeo y el Consejo de Europa, si bien ligan la protección de los datos personales al derecho a la intimidad, precisan varias definiciones e introducen directrices sobre las garantías específicas que rigen la circulación de este tipo de datos, por ejemplo, en materia de principios de tratamiento y requisitos procedimentales.10 La configuración de la autodeterminación informativa como derecho autónomo culmina con la Carta de los Derechos Fundamentales de la Unión Europea de 1999, cuyo artículo 8 reconoce explícitamente el derecho de toda persona a “la protección de los datos de carácter personal que la conciernan” y dispone que “[e]stos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley.” Además, indica que “[t]oda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación”, y señala que la verificación del cumplimiento de estas garantías debe encargarse en cada estado a un órgano independiente.2.1.1.1.3 En el seno de las Naciones Unidas también se han presentado iniciativas importantes dirigidas a reforzar la protección de los datos personales y a dotar de contenido autónomo al derecho al habeas data. Por ejemplo, mediante la Resolución 45/95 de 14 de diciembre de 1990, “Principios rectores aplicables a los ficheros computarizados de datos personales”, se reconocieron varias garantías mínimas que deben prever las legislaciones nacionales para el tratamiento de este tipo de información. Por otra parte, el Comité de Derechos Humanos, en su Observación General 16 sobre el artículo 17 del PIDCP, si bien es cierto conecta la protección de los datos personales con el derecho a la intimidad, por vía interpretativa fija una serie de pautas importantes que deben guiar la protección de tales datos, como que “[l]a recopilación y el registro de información personal en computadoras, bancos de datos y otros dispositivos, tanto por las autoridades públicas como por las10 A partir de 1990, la Comunidad Europea buscó garantizar un funcionamiento adecuado del mercadounificado, para lo cual era necesario establecer una protección uniforme de los datos personales, pues lasdiferencias en las leyes de protección de los mismos podían configurar un obstáculo en el flujo de los datos.Para lograr ese objetivo se profirió la Directiva 95/46/CE. Dicha Directiva exige a los estados miembros untratamiento leal y licito de los datos personales, tener en cuenta el tratamiento de los datos sensibles, notificarde la recolección de los datos al interesado y perseguir con el recaudo de datos un fin explícito y legítimo.También reconoce el derecho de los interesados a acceder a los datos y a oponerse a su tratamiento, el principiode conservación sólo por el tiempo necesario para los fines que fueron recolectados, y el establecimiento deuna autoridad autónoma de control para la protección de datos personales. La Directiva incluye además unacláusula en virtud de la cual la transferencia de datos hacía terceros países depende de que estos últimosgaranticen un nivel adecuado de protección de datos
29 particulares o entidades privadas, deben estar reglamentados por la ley”, o quetodas las personas tienen derecho a verificar “(…) si hay datos personales suyos almacenados en archivos automáticos de datos y, en caso afirmativo, de obtener información inteligible sobre cuáles son esos datos y con qué fin se han almacenado”, garantías que hacen parte de los contenidos del habeas data.112.1.1.1.4 A nivel del sistema regional de protección, el derecho al habeas data o a la autodeterminación informativa sigue siendo interpretado a partir del artículo 11 de la Convención Americana de Derechos Humanos sobre el derecho a la intimidad. Sin embargo, mediante la Resolución AG/RES.1395 (XXVI-O/96), la Asamblea General de la OEA solicitó al Comité Jurídico Interamericano que iniciara un estudio de los contextos jurídicos de los estados miembros en relación con dos temas: acceso a la información y a la protección de los datos personales. Este estudio condujo a que el 13 de junio de 2011, la Asamblea General aprobara una resolución sobre el acceso a información pública y la protección de datos personales. En este documento, encomendó al Comité Jurídico Interamericano que, antes del cuadragésimo segundo período ordinario de sesiones de la Asamblea General, presente un documento de principios de privacidad y protección de datos personales en la región. Además, desde hace varios años existe un anteproyecto de convención americana sobre autodeterminación informativa, que reconoce expresamente el derecho al habeas data.2.1.1.1.5 En el caso colombiano, si bien el artículo 15 de la Constitución de 1991 reconoció por primera vez y explícitamente el derecho al habeas data, desde años atrás ya existía una preocupación en el Congreso y el Ejecutivo por proteger los datos personales. Entre las iniciativas en la materia, vale la pena destacar la Ley 23 de 1981 “Por la cual se dictan normas en materia de ética médica”, cuyo artículo 34 dispone que la historia clínica “[e]s un documento privado sometido a reserva que únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la Ley”, y la Ley 96 de 1985, cuyo artículo 51 reconoce la naturaleza pública de los datos sobre número de identificación personal y lugar y fecha de expedición, pero otorga carácter reservado a los archivos que reposan en la Registraduría ligados11 El Comité afirma: “10. La recopilación y el registro de información personal en computadoras, bancos dedatos y otros dispositivos, tanto por las autoridades públicas como por las particulares o entidades privadas,deben estar reglamentados por la ley. Los Estados deben adoptar medidas eficaces para velar por que lainformación relativa a la vida privada de una persona no caiga en manos de personas no autorizadas por leypara recibirla, elaborarla y emplearla y por que nunca se la utilice para fines incompatibles con el Pacto.Para que la protección de la vida privada sea lo más eficaz posible, toda persona debe tener el derecho deverificar si hay datos personales suyos almacenados en archivos automáticos de datos y, en caso afirmativo,de obtener información inteligible sobre cuáles son esos datos y con qué fin se han almacenado. Asimismo,toda persona debe poder verificar qué autoridades públicas o qué particulares u organismos privadoscontrolan o pueden controlar esos archivos. Si esos archivos contienen datos personales incorrectos o se hancompilado o elaborado en contravención de las disposiciones legales, toda persona debe tener derecho a pedirsu rectificación o eliminación.”
30 a la identificación, como datos biográficos, filiación y fórmula dactiloscópica.2.1.1.1.6 Finalmente, como ya se mencionó, el artículo 15 de la Constitución de 1991 reconoció explícitamente el “(…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas” y además dispuso que “[e]n la recolección, tratamiento y circulación de datos se respetará la libertad y demás garantías consagradas en la Constitución”. Estos preceptos leídos en conjunto con la primera parte del mismo artículo 15 –sobre el derecho a la intimidad, el artículo 16 –que reconoce el derecho al libre desarrollo de la personalidad- y el artículo 20 –sobre el derecho a la información activo y pasivo y el derecho a la rectificación- de la Carta, han dado lugar al reconocimiento de un derecho fundamental autónomo catalogado como derecho al habeas data, y en algunas oportunidades, como derecho a la autodeterminación informativa o informática.2.1.1.1.7 En la jurisprudencia constitucional, el derecho al habeas data fue primero interpretado como una garantía del derecho a la intimidad, de allí que se hablara de la protección de los datos que pertenecen a la vida privada y familiar, entendida como la esfera individual impenetrable en la que cada cual puede realizar su proyecto de vida y en la que ni el Estado ni otros particulares pueden interferir.12 Desde los primeros años de la nueva Carta, también surgió al interior de la Corte una segunda línea interpretativa que consideraba el habeas data una manifestación del libre desarrollo de la personalidad. Según esta línea, el habeas data tiene su fundamento último “(…) en el ámbito de autodeterminación y libertad que el ordenamiento jurídico reconoce al sujeto como condición indispensable para el libre desarrollo de la personalidad y en homenaje justiciero a su dignidad”13. A partir de 1995, surge una tercera línea interpretativa que apunta al habeas data como un derecho autónomo y que es la que ha prevalecido desde entonces.14 Así, según la sentencia SU-082 de 199515, el núcleo del derecho al habeas data está compuesto por la autodeterminación informática y la libertad –incluida la libertad económica. Además, este derecho comprende al menos las siguientes prerrogativas: “a) El derecho a conocer las informaciones que a ella se refieren; || b) El derecho a actualizar tales informaciones, es decir, a ponerlas al día, agregándoles12 Ver las sentencias T-414 de 1992, M.P. Ciro Angarita Barón; T-161 de 1993, M.P. Antonio BarreraCarbonell; y C-913 de 2010, M.P. Nilson Pinilla Pinilla.13 Cfr. sentencia T-340 de 1993, M.P. Carlos Gaviria Díaz.14 Ver las sentencia SU-082 de 1995, M.P. Jorge Arango Mejía y T-176 de 1995, M.P. Eduardo CifuentesMuñoz.15 M.P. Jorge Arango Mejía.
31 los hechos nuevos; || c) El derecho a rectificar las informaciones que no correspondan a la verdad.”, e incluye el derecho a la caducidad del dato negativo. En esta misma dirección, en la sentencia T-176 de 199516, la Corte indicó que el derecho al habeas data es violado cuando se desconoce alguna de las prerrogativas enunciadas en la sentencia SU-082 de 1995, es decir, cuando la información contenida en el archivo o base de datos es “(…) recogida de manera ilegal, sin el consentimiento del titular del dato”, es erróneao recae “(…) sobre aspectos íntimos de la vida de su titular no susceptibles de ser conocidos públicamente”. Posteriormente, en la sentencia T-729 de 200217, la Corte explicó que es importante diferenciar y delimitar el habeas data respecto de otros derechos como el buen nombre y la intimidad, por lo menos por tres razones: “(…) (i) por la posibilidad de obtener su protección judicial por vía de tutela de manera independiente; (ii) por la delimitación de los contextos materiales que comprenden sus ámbitos jurídicos de protección; y (iii) por las particularidades del régimen jurídico aplicable y las diferentes reglas para resolver la eventual colisión con el derecho a la información”.18 A continuación, la Corte definió el derecho de la siguiente forma: “El derecho fundamental al habeas data, es aquel que otorga la facultad19 al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en la posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios20 que informan el proceso de administración de bases de datos personales”.16 M.P. Eduardo Cifuentes Muñoz.17 M.P. Eduardo Montealegre Lynett.18 Ver también la sentencia C-1147 de 2001, M.P. Manuel José Cepeda Espinosa.19 “En este sentido, en sentencia T-414 de 1992, la Corte afirmó: "la libertad informática, consiste ella en lafacultad de disponer de la información, de preservar la propia identidad informática, es decir, de permitir,controlar o rectificar los datos concernientes a la personalidad del titular de los mismos y que, como tales, loidentifican e individualizan ante los demás." Así mismo, en sentencia SU-082 de 1995, afirmó: "Laautodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar suconservación, uso y circulación, de conformidad con las regulaciones legales." Y en la sentencia T-552 de1997 afirmó: „...el derecho a la autodeterminación informativa implica, como lo reconoce el artículo 15 de laCarta Fundamental, la facultad que tienen todas las personas de “conocer, actualizar y rectificar lasinformaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas yprivadas‟.”20 “El fundamento de validez de los llamados principios de la administración de datos personales, se encuentraen el segundo inciso del artículo 15 de la Constitución, el cual constituye en términos de la Corte, „el contextonormativo y axiológico dentro del cual debe moverse, integralmente el proceso informático‟ y del cual derivan„unas reglas generales que deben ser respetadas para poder afirmar que el proceso de acopio, uso y difusiónde datos personales sea constitucionalmente legítimo‟, y que a su vez son el resultado „de la aplicación directade las normas constitucionales al proceso informático‟."
32 Más recientemente, en la sentencia C-1011 de 200821, la Corte nuevamente reconoció la autonomía del derecho al habeas data y lo conceptualizó así: “El hábeas data confiere, (…), un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información. En ese sentido, este derecho fundamental está dirigido a preservar los intereses del titular de la información ante el potencial abuso del poder informático”.2.1.1.1.8 En resumen, como lo muestra el anterior recuento, el reconocimiento del derecho al habeas data –identificado como un derecho fundamental autónomo tanto en el plano nacional como internacional- persigue la protección de los datos personales en un mundo globalizado en el que el poder informático es creciente. Esta protección responde a la importancia que tales datos revisten para la garantía de otros derechos como la intimidad, el buen nombre y el libre desarrollo de la personalidad. Sin embargo, el que exista una estrecha relación con tales derechos, no significa que no sea un derecho diferente, en tanto comprende una serie de garantías diferenciables y cuya protección es directamente reclamable por medio de la acción de tutela, sin prejuicio del principio de subsidiariedad que rige la procedencia de la acción. 2.1.1.2 El contenido del derecho al habeas data De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas –contenidos mínimos- que se desprenden de este de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas está recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información; (ii) el derecho a un incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad; (v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa. 2.1.1.3 La ley desarrolla algunos contenidos del derecho al habeas data y por ello debía tramitarse por ley estatutaria 21 M.P. Jaime Córdoba Triviño.
332.1.1.3.1 El artículo 152 de la Constitución prevé una modalidad especial de leyes con un trámite más riguroso –especialmente en términos de mayorías-22 debido al tipo de materias destinadas a regular, estas son: (i) los derechos y deberes fundamentales, y los procedimientos y recursos para su protección; (ii) la administración de justicia; (iii) la organización y régimen de los partidos y movimientos políticos, el estatuto de la oposición y las funciones electorales; (iv) las instituciones y mecanismos de participación ciudadana; (v) los estados de excepción; y (vi) la igualdad electoral entre candidatos a la Presidencia de la República. Esta corporación ha defendido la tesis de que la reserva de ley estatutaria no debe interpretarse de manera restrictiva, en el sentido de que cualquier regulación que se ocupe de las materias contempladas por el artículo 152 constitucional requiere ser expedida por medio de dicho tipo de ley.23 Además, la Corte ha sostenido que el tipo de desarrollo y el grado de detalle de la regulación que la Constitución exige al legislador estatutario depende de la clase de materia. Así, para el caso de las funciones electorales, la Corte han defendido un especie de reserva reforzada, según la cual corresponde al legislador estatutario no solamente establecer los lineamientos básicos de tales funciones, sino desarrollarlas con un mayor detalle con una pretensión de exhaustividad y sistematización. Al respecto, esta Corporación expresó lo siguiente en la sentencia C-226 de 199424: “Por consiguiente, conforme a los anteriores argumentos, concluye la Corte Constitucional que a diferencia de lo que ocurre con los derechos fundamentales, en el caso de las funciones electorales, la ley estatutaria debe regular no sólo los elementos esenciales de las mismas sino todos aquellos aspectos permanentes para el ejercicio adecuado de tales funciones por los ciudadanos, lo cual incluye asuntos que podrían en apariencia ser considerados potestades menores o aspectos puramente técnicos, pero que tienen efectos determinantes en la dinámica electoral, como la fijación de las fechas de elecciones, el establecimiento de los términos de cierre de las inscripciones de candidatos o registro de votantes, la organización de las tarjetas electorales o de los sistemas de escrutinio, etc. Por su propia naturaleza, la ley estatutaria de funciones electorales es entonces de contenido detallado. Esto no impide que de manera excepcional ciertas materias 22 Para su aprobación se exige mayoría absoluta y no simple, además, la ley debe aprobarse dentro de una sola legislatura y debe ser objeto de revisión previa por parte de la Corte Constitucional (artículos 153 y 441-8 de la Constitución). 23 Ver sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis. 24 M.P. Alejandro Martínez Caballero.
34 electorales puedan ser reguladas mediante leyes ordinarias. Así, hay disposiciones que corresponden a aspectos puramente operativos para facilitar la realización de una elección concreta y guardan conexidad con el tema electoral sin ser en sí mismas funciones electorales, como la autorización de una apropiación presupuestal para financiar unas elecciones determinadas. Tales materias pueden ser reguladas mediante estatutaria.” (negrilla fuera del texto) Para la hipótesis de la administración de justicia, la Corte ha señalado que son materia de las leyes estatutarias “los elementos estructurales esenciales de la función pública de justicia”25, los cuales han sido identificados como “los principios que informan la administración de justicia, así como los órganos encargados de ejercerla y sus competencias generales”26. En relación con los mecanismos de participación ciudadana, la Corte ha señalado que aquellas disposiciones que comprometen el núcleo esencial del derecho de participación deben ser tramitadas como estatutarias. Por consiguiente, “aquel reducto esencial que es absolutamente necesario para que tal derecho pueda ser ejercido y sea efectivamente tutelado, debe ser regulado mediante este trámite especial. En este sentido, las disposiciones que tengan el significado de introducir límites, restricciones, excepciones, prohibiciones o condicionamientos al ejercicio del derecho”27, están sometidas a los procedimientos especiales. Respecto de los derechos fundamentales, en concordancia con el primer criterio explicado, la Corte ha indicado que la reserva de ley estatuaria no se predica de la regulación de “todo evento ligado a los derechos fundamentales”28sino “solamente los elementos estructurales esenciales de los derechos fundamentales”29, de modo que las leyes estatutarias no deben regular en detalle cada variante o cada manifestación de dichos derechos o todos aquellos aspectos que tengan que ver con su ejercicio. En este sentido, la Corte afirmó lo siguiente en la sentencia C-145 de 1994: “(…) la competencia legislativa ordinaria está directamente habilitada por la Carta para regular derechos fundamentales y25 Cfr. sentencia C-319 de 2006, M.P. Álvaro Tafur Galvis.26 Cfr. sentencia C-055 de 1995, M.P. Alejandro Martínez Caballero. En este mismo sentido, en la sentencia C-037 de 1996, la Corte explicó que corresponde a las leyes estatutarias regular “(…) la estructura general de laadministración de justicia y sobre los principios sustanciales y procesales que deben guiar a los jueces en sufunción de dirimir los diferentes conflictos o asuntos que se someten a su conocimiento”27 Cfr. sentencia C-580 de 2001, M.P. Clara Inés Vargas Hernández.28 Cfr. sentencia C-013 de 1993, M.P. Eduardo Cifuentes Muñoz.29 Cfr. sentencia C-226 de 1994, M.P. Alejandro Martínez Caballero. Ver también la sentencia C-319 de 2006,M.P. Álvaro Tafur Galvis.
35 si no se presentara tal evento, la mencionada competencia ordinaria se transformaría en exceptiva, ya que directa o indirectamente gran parte de las leyes tocan algún o algunos derechos fundamentales. En materia de derechos fundamentales debe efectuarse „una interpretación restrictiva de la reserva de ley estatutaria porque una interpretación extensiva convertiría la excepción -las leyes estatutarias basadas en mayorías cualificadas y procedimientos más rígidos- en regla, en detrimento del principio de mayoría simple que es el consagrado por la Constitución‟. Esto significa que las leyes estatutarias están encargadas de regular únicamente los elementos estructurales esenciales de los derechos fundamentales y de los mecanismos para su protección, pero no tienen como objeto regular en detalle cada variante de manifestación de los mencionados derechos o todos aquellos aspectos que tengan que ver con su ejercicio, porque ello conduciría a una petrificación del ordenamiento jurídico”. (negrilla fuera del texto) Para definir los elementos estructurales esenciales, la jurisprudencia constitucional se ha valido de la teoría del núcleo esencial. Según esta teoría, los derechos fundamentales tienen (i) un núcleo o contenido básico que no puede ser limitado por las mayorías políticas ni desconocido en ningún caso, ni siquiera cuando un derecho fundamental colisiona con otro de la misma naturaleza o con otro principio constitucional, y (ii) un contenido adyacente objeto de regulación. Las preguntas que genera esta teoría son: si el núcleo es una garantía contramayoritaria, ¿a quién compete su delimitación? y ¿cuál es el reparto de competencias entre la ley estatutaria, la ley ordinaria y el reglamento respecto del contenido adyacente? Una respuesta que se dio en los primeros años de la Corte es que el núcleo esencial es definido por la Constitución y corresponde a la ley estatutaria desarrollar el contenido adyacente más cercano al núcleo30; sin embargo, en esta línea jurisprudencial no se define cuál es el contenido adyacente más cercano al núcleo.31 Además, como ha reconocido la propia Corte, las cláusulas constitucionales sobre derechos30 En la sentencia C-313 de 1994, M.P. Carlos Gaviria Díaz, la Corte afirmó: “Obsérvese, finalmente, que laley estatutaria se refiere, en cada caso, a un derecho determinado y su fin es desarrollar su ámbito a partir desu núcleo esencial definido en la Constitución”. Luego, en la sentencia C-408 de 1994, M.P. Fabio MorónDíaz, la Corte precisión: “(…) cuando de la regulación de un derecho fundamental se trata, la exigencia deque se realice mediante una ley estatutaria, debe entenderse limitada a los contenidos más cercanos alnúcleo esencial de ese derecho, ya que se dejaría, según interpretación contraria, a la ley ordinaria, reglageneral legislativa, sin la posibilidad de existir; toda vez que, se repite, de algún modo, toda la legislación demanera más o menos lejana, se encuentra vinculada con los derechos fundamentales”. (negrilla fuera deltexto) Ver también la sentencia C-981 de 2005, M.P. Clara Inés Vargas Hernández.31 En algunas sentencias no se habla de núcleo esencial sino de contenido mínimo del derecho o de elementosestructurales esenciales. Ver por ejemplo la sentencia C-646 de 2001, M.P. Manuel José Cepeda Espinosa.
Extracto Sentencia C-748/11 Texto conciliado Habeas Data

References: artículo 241
 artículo 15
 artículo 20
 artículo 10
 artículo 17
 artículo 160
 artículo 153
 artículo 5
 artículo 6
 artículo 7
 artículo 10
 artículo 10
 artículo 15
 artículo 14
 artículo 27
 artículo 31
 artículo 14
 artículo 12
 artículo 17
 artículo 11
 artículo 12
 artículo 8
 artículo 12
 Resolución 
 resolución 
 resolución 
 artículo 18
 artículo 18
 artículo 8
 Resolución 
 artículo 17
 artículo 11
 Resolución 
 resolución 
 artículo 15
 artículo 34
 artículo 51
 artículo 15
 artículo 15
 artículo 16
 artículo 20
 artículo 15
 artículo 15
 artículo 152
 artículo 152