CIRCULAR EXTERNA 2

artículo 15 de la Constitución Política de 1991 reconoce a todas las personas el derecho a su intimidad personal y familiar, e impone al Estado el deber de respetarlo y hacerlo respetar. Asimismo, consagra el derecho de toda persona a conocer, actualizar y rectificar la información que sobre ella repose en bases de datos o archivos de entidades públicas y privadas, y dispone que en la recolección, tratamiento y circulación de datos deberán respetarse la libertad y las demás garantías constitucionales. En una sociedad democrática, los procesos electorales exigen que los actores involucrados suministren a la ciudadanía información veraz, imparcial y suficiente, de manera que las personas puedan adoptar decisiones informadas que se ajusten a su proyecto de vida. En esa misma dirección, el

artículo 20 de la Constitución Política garantiza a todas las personas la libertad de expresar y difundir su pensamiento y opiniones, así como el derecho a informar y recibir información veraz e imparcial, principios esenciales para la formación de una opinión pública informada en una sociedad democrática. Como parte de su actividad, los actores políticos, especialmente los precandidatos, los candidatos, las campañas y los partidos y movimientos políticos, pero también las empresas de marketing, marketing digital, marketing político y las plataformas que facilitan la comunicación y la interacción en Internet, como redes sociales, servicios de mensajería y servicios de entretenimiento, entre otros, realizan tratamiento de datos personales con fines políticos o electorales. Entre las actividades de tratamiento se cuentan las de contactar a los votantes y posibles electores, conocerlos, agruparlos, analizar sus comportamientos, entregarles mensajes con contenido electoral y orientar o incidir en sus decisiones. Las tecnologías digitales facilitan el contacto individualizado y al mismo tiempo masivo, a la par que permiten el análisis y la segmentación de grandes cantidades de información. Las dinámicas políticas y electorales no se encuentran al margen de esta realidad. Además de recolectar directamente información personal, también es posible emplear tecnologías que permiten obtener datos observados o inferidos a partir de la actividad en línea de las personas, incluido su comportamiento en plataformas digitales, con frecuencia, sin que los titulares sean plenamente conscientes de dichos tratamientos. Estas tecnologías y estos tratamientos de la información personal posibilitan la comunicación de mensajes a la medida, a partir de la propia actividad de los titulares o la elaboración de perfiles individuales y grupales basados en intereses, afinidades o patrones de conducta 1 . En ambos casos, tales tratamientos permiten la dirección de mensajes con contenido o finalidad política y electoral con distintos niveles de precisión, orientados tanto a grupos específicos como a individuos determinados, con la finalidad o el resultado de incidir en su percepción, preferencias o decisiones electorales 2 . La Corte Constitucional, en la Sentencia T-067 de 2025, se pronunció sobre el big data, destacando que: Este se caracteriza por la existencia de altos volúmenes de datos, de gran complejidad y variedad, que pueden ser utilizados por los sistemas computacionales para la toma de decisiones. Así, en virtud del big data y gracias al aumento exponencial de la capacidad computacional, actualmente existe la posibilidad de recolectar y procesar rápidamente una cantidad masiva de información de los individuos, tanto en términos de datos personales como de sus gustos, preferencias y hábitos, para todo tipo de finalidades. Esto, a su vez, ha expandido el alcance y uso de los algoritmos a casi todos los ámbitos de la vida. Las actividades de marketing político suelen implicar el tratamiento de datos personales de naturaleza sensible. El

artículo 5° de la Ley 1581 de 2012 define los datos personales sensibles como aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, dentro de los cuales se encuentran, entre otros, los que revelan la orientación política, las convicciones religiosas o filosóficas, y la pertenencia a sindicatos o a partidos políticos. Al realizar tratamiento de datos personales relacionados directa o indirectamente con las preferencias ideológicas o con la orientación política de las personas es posible clasificar o segmentar a potenciales votantes según determinadas características, comportamientos o condiciones. Tales tratamientos pueden ser utilizados con el fin de dirigir mensajes o anuncios políticos en momentos, lugares o contextos específicos, y para obtener ventajas mediante la explotación del conocimiento detallado que se tiene sobre una persona o un grupo determinado. Los datos personales sensibles, por su capacidad de afectar de manera directa la intimidad y la libertad del titular y por el riesgo de generar discriminación a partir de su uso indebido, se encuentran sujetos a una protección reforzada en el ordenamiento jurídico. Salvo las excepciones previstas en el

artículo 6° de la Ley 1581 de 2012, su tratamiento está prohibido. El uso indebido de datos sensibles puede comprometer otros derechos fundamentales y producir impactos negativos significativos, en particular cuando, a partir de condiciones de vulnerabilidad o del conocimiento de aspectos íntimos, se dirigen mensajes o contenidos, incluida publicidad política o con fines electorales, adaptados a esas características. Esto puede distorsionar la autonomía individual, afectar la objetividad en la toma de decisiones o influir indebidamente en decisiones de carácter político y electoral. Algunas plataformas digitales, en particular las redes sociales, actúan como intermediarias en los procesos de segmentación y microsegmentación publicitaria, aprovechando la información que recopilan sobre las personas para facilitar la entrega dirigida de contenidos, incluida la publicidad política o con fines electorales. La Corte Constitucional, en la Sentencia T-256 de 2025, advirtió sobre los riesgos asociados al uso de redes sociales, señalando que: Las redes sociales en particular enfrentan como ningún otro servicio digital los desafíos propios del proyecto casi utópico de un Internet libre y abierto para todas las personas del mundo: acoso en línea -que puede traducirse en violencia en el mundo real-, aumento de la discriminación en desmedro de los más vulnerables, engaño y abuso de niñas, niños y adolescentes, compromiso del derecho a la intimidad, uso indebido de los datos de las personas, riesgos democráticos sin precedentes a través de noticias falsas y manipulación de información, por citar solo algunos de los desafíos. El uso inadecuado de datos personales para ofrecer publicidad política dirigida a cierto grupo de personas, especialmente cuando involucra datos sensibles o inferencias sobre estos, puede fragmentar el debate público y distorsionar la deliberación democrática. Este tipo de prácticas favorece la creación de burbujas informativas y percepciones sesgadas del electorado, derivadas de un acercamiento selectivo y diferenciado hacia determinados grupos o individuos, mediante niveles desiguales de difusión de información. En algunos casos, estos mensajes se distribuyen a través de distintos medios de comunicación, incluyendo plataformas digitales o mediante publicidad política diseñada para ser engañosa o para explotar vulnerabilidades identificadas a partir del tratamiento de datos personales. Experiencias documentadas de lo sucedido en otros países, como el caso de Cambridge Analytica 3 , evidencian que tales prácticas pueden conducir a formas de manipulación del electorado, al influir de manera indebida en los mecanismos esenciales para el funcionamiento de una sociedad democrática. La disponibilidad de sistemas de inteligencia artificial en actividades de segmentación (incluidos algoritmos de inferencia, predicción, clasificación y recomendación) aumentan los riesgos de escenarios de desinformación en el contexto de procesos electorales. A ello se suma la posibilidad de producir y circular ultrafalsedades o deepfakes, entendidas como “la creación, modificación y utilización de un registro audiovisual, incluidas fotografías, videos, imágenes o grabaciones de sonido falsos, mediante inteligencia artificial de manera que el registro parezca auténtico respecto del discurso o conducta real de un individuo” 4. Este tipo de contenidos tiene un impacto significativo en la ciudadanía, en la medida en que puede inducir a error, alterar la percepción de la realidad y manipular opiniones o decisiones políticas a partir de información fabricada deliberadamente engañosa. Ante la creciente importancia y los riesgos derivados del tratamiento de datos personales en el contexto político y electoral, el Comité del Convenio 108 del Consejo de Europa, el único tratado internacional de carácter vinculante en materia de protección de datos personales, adoptó en 2021 las Directrices sobre la protección de los individuos en relación con el tratamiento de datos personales por y para campañas políticas 5 . Al nivel de las autoridades de protección de datos personales, la Information Commisioner’s Office del Reino Unido, en octubre de 2022, expidió lineamientos sobre el uso de datos personales en el contexto de campañas políticas 6 . Por su parte, esta Superintendencia de Industria y Comercio, en su rol de Autoridad Nacional de Protección de Datos Personales, con antelación a las elecciones nacionales del año 2022, mediante la Circular Externa número 001 de 2022, del 17 de enero de 2022, impartió instrucciones “sobre el tratamiento de datos personales para fines de campañas electorales, plebiscitos, referendos, consultas populares y otras formas de participación democrática” 7 . Asimismo, mediante la Circular Externa número 001 de 2023, del 11 de septiembre de 2023, impartió instrucciones “sobre el tratamiento de datos personales con fines de publicidad, marketing o prospección política y electoral en el marco de las elecciones territoriales 2023”8. Las presentes instrucciones construyen sobre las circulares expedidas en 2022 y 2023 y concretan el compromiso atemporal de la Autoridad de Protección de Datos Personales con la garantía del derecho fundamental a la protección de datos personales en el contexto electoral. Desde la expedición de dichas instrucciones las dinámicas de tratamiento y las tecnologías que los sustentan han cambiado. Al tiempo que persiste la necesidad de insistir en la promoción de una cultura de protección de datos personales en todos los ámbitos de la vida nacional, incluido el ámbito electoral, existen ahora herramientas más sofisticadas, las cuales permiten tener un conocimiento cada vez más granular del electorado y contactar a los posibles electores de forma más eficiente, lo que ha transformado sustancialmente las prácticas de tratamiento de datos en estos contextos. En consecuencia, se hace necesario adaptar y actualizar las instrucciones aplicables al tratamiento de datos personales con fines políticos o electorales. Por otra parte, según el inciso primero, del

artículo 2° de la Ley Estatutaria número 1581 de 2012, el ámbito de aplicación de la Ley 1581 de 2012 se extiende “a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”, lo que, por definición, incluye las bases de datos a partir de las cuales se adelanta tratamiento de datos personales con fines políticos o electorales, máxime, si dentro de las excepciones al régimen de protección de datos personales que prevé dicha ley, en el inciso tercero del mentado

artículo 2°, no figuran las bases de datos personales o archivos con fines políticos o electorales. Asimismo, la Superintendencia de Industria y Comercio recuerda que, entre sus funciones como Autoridad Nacional de Protección de Datos Personales están las de “velar por el cumplimiento de la legislación en materia de protección de Datos personales” e “impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la [Ley 1581 de 2012]”. Esto, según los literales a) y e) del

artículo 21, de la Ley Estatutaria número 1581 de 2012. Sobre las funciones de esta Superintendencia, fijadas en el citado

artículo 21 de la Ley 1581 de 2012, la Corte Constitucional, mediante Sentencia C-748 de 2011, consideró: Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de Datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos. Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia -a través de la Delegatura-, “caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (

artículo 115 C.P.) (destacado fuera de texto). La alusión pertinente sobre la función de “impartir instrucciones” de la autoridad de vigilancia y control, contenida en la Sentencia C-1011 de 2008 de la Corte Constitucional, es la siguiente: Para cumplir con esta obligación de protección y garantía de los derechos del sujeto concernido, el legislador estatutario estableció en el

artículo 17 que las Superintendencias de Industria y Comercio y Financiera ejercerán la función de vigilancia (...). Estas funciones de vigilancia consisten, entre otros aspectos, en impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones previstas por la normatividad estatutaria, relacionadas con la administración de la mencionada información, para lo cual las Superintendencias fijarán los criterios que faciliten su cumplimiento y señalarán procedimientos para su cabal aplicación. (Destacado fuera de texto). Por todo lo anterior, la Superintendencia de Industria y Comercio, en ejercicio de la facultad de “impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación [a la ley] de las operaciones de los Responsables y Encargados del Tratamiento”, conferida por la Ley 1581 de 2012 (

artículo 21, literal e), instruye a sus sujetos vigilados, en los siguientes términos: Instrucciones 1. Los sujetos vigilados que realicen tratamiento de datos personales con fines políticos o electorales, como partidos y movimientos políticos, candidatos, pre- candidatos, comités promotores, organizaciones de veeduría política, empresas de marketing y, en general, las personas naturales o jurídicas que actúen como Responsables o Encargados de dichos tratamientos deben: cumplir integralmente el régimen de protección de datos personales establecido en la Ley Estatutaria número 1581 de 2012 y en el Decretos número 1074 de 2015; respetar los derechos de los titulares de los datos personales, reconocidos en el

artículo 8° de la Ley 1581 de 2012; guiar su conducta por los principios para el tratamiento de datos personales, establecidos en el

artículo 4° de la Ley 1581 de 2012; y, observar las obligaciones previstas en los artículos 17 y 18 de la Ley 1581 de 2012, dependiendo del rol o de los roles bajo los que actúen, ya como responsables, ya como encargados del tratamiento de datos personales. En especial, deberán adoptar, de forma proporcional al tamaño y al tipo de actividades de tratamiento, medidas técnicas, organizacionales y administrativas orientadas a la prevención, identificación y mitigación de los riesgos asociados al tratamiento de datos personales con fines políticos o electorales, incluidos los tratamientos de datos personales con fines de publicidad o prospección política o electoral, de manera que se garantice el cumplimiento efectivo y verificable de los antedichos mandatos legales y reglamentarios. 2.El Tratamiento de datos personales con fines políticos o electorales requiere la autorización previa e informada del titular de los datos. Los canales dispuestos para la recolección de datos personales deben incorporar la solicitud de autorización, informando de manera clara, transparente y comprensible las finalidades, usos y tipos de tratamiento que se realizarán. 3. En los canales utilizados para la recolección de información personal, tanto físicos como digitales, incluidos puntos de contacto o cualquier interfaz utilizada para interactuar con los titulares, deberá disponerse el acceso a la Política de Tratamiento de Datos Personales, los Avisos de Privacidad y los mecanismos de autorización para el Tratamiento de Datos Personales. 4. Los sujetos vigilados que realicen tratamiento de datos personales con fines políticos o electorales deben abstenerse de recolectar, incorporar en una base de datos o analizar datos personales a través de cualquier medio, sin haber obtenido previamente la autorización previa e informada del titular. El uso de herramientas proporcionadas por plataformas digitales que permiten cargar bases de datos propias, como listas de correos electrónicos o números telefónicos, para la identificación, segmentación o contacto de usuarios dentro de dichas plataformas, constituye tratamiento de datos personales. En todos los casos descritos, el Responsable deberá demostrar que cuenta con la autorización previa e informada del titular, no solo para la recolección de los datos, sino también para su tratamiento dentro de tales entornos publicitarios. 5. No está permitido agregar a una persona a grupos de mensajería instantánea (como WhatsApp o servicios similares), a listas de distribución, boletines electrónicos o bases de datos de envío masivo sin su consentimiento previo e informado. Tampoco se debe contactarla utilizando bases de datos adquiridas o suministradas por terceros, o recolectadas mediante herramientas automatizadas de extracción masiva de datos web scraping, sin verificar previamente la existencia y validez de la autorización. 6. Los sujetos vigilados que realicen tratamiento de datos personales con fines políticos o electorales deben garantizar que el tratamiento de datos personales se realice exclusivamente con fines legítimos y determinados. No es legítimo re- colectar datos personales para finalidades distintas a las declaradas, utilizar la información de manera desleal u opaca, o informar finalidades engañosas con el propósito de inducir al titular a suministrar sus datos. 7. Conforme al

artículo 6° de la Ley 1581 de 2012, se encuentra prohibido el trata- miento de datos personales sensibles, salvo que el titular haya otorgado su autorización previa, explícita e informada. Es contrario al régimen de protección de datos personales elaborar perfiles que clasifiquen a las personas según su orientación política, o que la evalúen o busquen predecir la orientación política de los titulares, así como cualquier tipo de perfilamiento, basado en inferencias o no, que se estructure, o que revele la orientación política de las personas, cuando no se cuente con la autorización previa, explícita e informada del titular para dichos tratamientos. 8.Cuando utilicen datos personales para segmentar, personalizar o dirigir publicidad política, los sujetos vigilados deben, en cumplimiento de los principios de libertad y de transparencia, garantizar que el titular pueda comprender, de forma suficiente, cómo se realizó el tratamiento de sus datos para la entrega de mensajes con contenido político o electoral. Para ello, deberán informar, a petición del titular de los datos, y en todo caso, de forma proactiva, de manera clara y en lenguaje sencillo, a través de cualquier medio, los criterios aplicados para la segmentación, las categorías de datos personales utilizadas, la lógica general empleada para definir los grupos destinatarios, la fuente de los datos, el tipo de segmentación realizada y si en el proceso se emplearon sistemas de inteligencia artificial. Cuando dicha información sea dinámica o dependa de campañas, mensajes o estrategias específicas, esta podrá suministrarse mediante mecanismos complementarios de transparencia, tales como avisos asociados a piezas publicitarias, canales de consulta accesibles u otros espacios informativos vinculados a la publicidad política, sin perjuicio de la información de carácter general contenida en las Políticas de Tratamiento de Datos Personales. Cuando se usen sistemas de Inteligencia Artificial para realizar el tratamiento de datos personales, los responsables y encargados del tratamiento deben tener en cuenta lo dispuesto en la Circular Externa número 002 del 21 de agosto de 2024 de esta entidad, sobre “Lineamientos sobre el Tratamiento de Datos Personales en Sistemas de Inteligencia Artificial”. 9. Los sujetos obligados deben establecer mecanismos sencillos y ágiles, que se encuentren permanentemente disponibles, para el ejercicio de los derechos de los titulares a conocer, rectificar, actualizar y suprimir sus datos personales. El procedimiento para la actualización, rectificación y supresión de los datos personales deberá ser igual de ágil y sencillo que el procedimiento para la recolección y captura de los datos personales. Una mención a los mecanismos para el ejercicio de estos derechos deberá incluirse en la Política de Tratamiento de Datos o en cualquier otro medio que facilite su ubicación y conocimiento por parte de los titulares. 10. Las comunicaciones que realicen los partidos y movimientos políticos a sus afiliados, miembros y/o seguidores, tales como boletines informativos, mensajes relativos a sus actividades políticas o cualquier otra, deben limitarse estrictamente a dichos destinatarios y dichas finalidades. Estas comunicaciones se encuentran amparadas por la excepción prevista en el

artículo 6°, literal c) de la Ley 1581 de 2012, que permite el tratamiento de datos sensibles en el curso de actividades legítimas y con las debidas garantías por parte de organizaciones cuya finalidad sea política, siempre que la información se refiera exclusivamente a sus afiliados, miembros o a personas que mantengan contacto regular por razón de dicha finalidad. En todo caso, estos datos no podrán ser suministrados a terceros sin la autorización previa del titular. Cordialmente, La Superintendente de Industria y Comercio, Cielo Elainne Rusinque Urrego. 1 Mireille Hildebrandt, “Defining Profiling: A New Type of Knowledge ” in Hildebrandt, M. and Gutwirth, S. (eds.) Profiling the European Citizens: Cross-Disciplinary Perspectives (Dordrecht: Springer, 2008). 2 Colin J. Bennett and David Lyon, “Data-driven elections: implications and challenges for democratic societies”, Internet Policy Review 8, número 4 (2019). 3 En 2018 se conoció que la consultora británica Cambridge Analytica había realizado tratamiento de datos personales de millones de personas con fines políticos sin su autorización. En particular, la información habría servido como insumo para dirigir mensajes específicos a ciertas audiencias durante la campaña presidencial de los Estados Unidos de América de 2016. Véase, entre otros: Brittany Kaiser, Targeted: my inside story of Cambridge Analytica and how Trump, Brexit and Facebook broke democracy (London: Harper Collins, 2019); European Parliament Resolution on the Use of Facebook Users’ Data by Cambridge Analytica and the Impact on Data Protection, 2018/28SS(RSP), 25 de octubre 2018. 4

Artículo 2° de la Ley 2502 de 2025 “por medio de la cual se modifica y establece un agravante al

artículo 296 de la Ley 599 del 2000, Código Penal Colombiano y se dictan otras disposiciones”. 5 Council of Europe, Guidelines on the Protection of Individuals with regard to the Processing of Personal Data by and for Political Campaigns, adopted by the Committee of the Convention for the protection of individuals with regard to the automatic processing of personal data (Convention 108), on 19 November 2021. 6 Reino Unido. Information Commisioner’s Office. Guidance for the use of personal data in political campaigning. 22 de octubre de 2022. Disponible en: https://ico.org.uk/for-organisations/directmarketing-and-privacy-and-electronic-communications/quidance-for-the-use-of-personal-data -in -political-campaiqning-1/ 7 Superintendencia de Industria y Comercio. Circular 001 de 2022. 17 de enero de 2022. Disponible en: https: //sedeelectronica.sic.gov .ca/transparencia/normativa/circular-externa-001-del-2022 8 Superintendencia de Industria y Comercio. Circular 001 de 2023. 11 de septiembre de 2023. Disponible en: https: //sedeelectronica.sic.gov .co/transparencia/normativa/circular-externa-no-01-de-2023