El empresariado en Colombia está acostumbrado a adaptar sus prácticas comerciales a leyes que, en cierta medida, generan más dudas que lineamientos claros. Este es el caso de la Ley 2300 de 2023, coloquialmente conocida como la ley «Dejen de Fregar» (Ley), que entró en vigor el pasado 10 de octubre de 2023.
Un sondeo ejecutado por la Escuela de Privacidad[1] (link) reveló algunas de las principales problemáticas en el cumplimiento de esta Ley. Estas incluyen limitaciones en la carga masiva de registros de usuarios en el Registro de Números Excluidos (RNE), dificultades para realizar consultas de manera ágil y efectiva, falta de interoperabilidad, y dudas sobre si dicha plataforma es considera un medio efectivo para comunicar la revocatoria de la autorización para el tratamiento de datos personales.
En respuesta a este escenario, la Superintendencia de Industria y Comercio (SIC) expidió la Circular Externa 001 del 26 de junio de 2024, la cual proporciona las siguientes aclaraciones, incluida acerca de la competencia de su Delegatura para la Protección de Datos Personales frente a dicha norma, que vale la pena tener presente:
Se aclara que cuando la fuente, usuario u operador de la información es una entidad vigilada por la Superintendencia Financiera, esta entidad es la responsable de investigar posibles incumplimientos de la Ley. En cambio, cuando se trate del tratamiento de datos personales para gestiones de cobranza por entidades vigiladas por la SIC y fines de prospección comercial y de publicidad, será la SIC la autoridad encargada de realizar las debidas funciones de inspección, vigilancia y control.
Se entenderá que el titular ha revocado las autorizaciones previamente otorgadas a los productores y proveedores de bienes y servicios para el tratamiento de sus datos personales con fines de prospección comercial al inscribirse en el RNE.
Cualquier autorización otorgada por el titular para fines de prospección comercial o publicidad después de su última inscripción en el RNE tendrá plena validez, sujeta a los límites establecidos en la respectiva autorización y la ley.
No obstante, si luego de otorgada la autorización el titular desea no recibir más comunicaciones con fines de prospección comercial o publicidad, deberá presentar la debida consulta o reclamo a través de los canales dispuestos por la empresa, agotando así el requisito de procedibilidad dispuesto en el artículo 16 de la Ley 1581 de 2012.
La SIC no tendrá competencia para investigar acciones relacionadas con posibles violaciones a la Ley en los siguientes casos:
lineamientos acerca de la periodicidad y horarios en que se contacta a los titulares;
la indagación al consumidor financiero por el motivo del incumplimiento de su obligación;
confirmación oportuna de las operaciones monetarias, ahorros voluntarios y cesantías;
envío de información solicitada por el consumidor; y
alertas sobre transacciones fraudulentas, inusuales o sospechosas.
Por ello, es importante que el empresariado adopte una cultura de cumplimiento enfocada en la protección del tratamiento de los datos personales bajo su control, y tenga presente su obligación de consultar el listado del RNE para conocer si los titulares de la información están inscritos, así como los canales que tienen restringidos, para así evitar enviar publicidad de la cual hayan solicitado excluirse y exponerse a cuantiosas sanciones.