Sentencia T-143/22 DERECHO AL HABEAS DATA, LIBERTAD DE LOCOMOCIÓN, UNIDAD FAMILIAR Y PRIVACIDAD-Carencia actual de objeto por hecho superado, por cuanto se eliminaron protocolos de bioseguridad que exigían el uso de la aplicación CoronApp ACCIÓN DE TUTELA PARA LA SUPRESIÓN DE DATOS PERSONALES-Improcedencia del amparo por incumplimiento del requisito de subsidiariedad, accionantes no formularon previamente solicitud de supresión de datos personales (…), como consecuencia de que la accionante no ha presentado la reclamación de la supresión de los datos personales ante el responsable o encargado de la administración de la aplicación CoronApp, la acción de tutela es improcedente por no cumplir con el presupuesto formal de procedencia fijado por la jurisprudencia constitucional, en concordancia con lo estipulado en el artículo 15 de la Ley 1581 de 2012. DERECHO AL HABEAS DATA-Alcance y contenido ACCION DE TUTELA PARA LA PROTECCION DEL DERECHO AL HABEAS DATA-Procedencia DERECHO AL HABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Principios y garantías constitucionales DERECHO AL HABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Eventos en que procede la revocatoria de la autorización y la supresión del dato ACCION DE TUTELA PARA LA PROTECCION DEL DERECHO AL HABEAS DATA-Procedencia, previa solicitud de corrección, aclaración, rectificación o actualización de información (…) la jurisprudencia constitucional ha determinado que la solicitud, por parte del afectado, de la supresión del dato o de la información que se considera violatoria del régimen general de protección de habeas data, previa a la interposición del mecanismo de amparo constitucional, constituye un presupuesto general para el ejercicio de la acción de tutela. CARENCIA ACTUAL DE OBJETO-Fenómeno que se configura en los siguientes eventos: hecho superado, daño consumado o situación sobreviniente CARENCIA ACTUAL DE OBJETO POR HECHO SUPERADO-Configuración (…), la conducta que generaba la vulneración de los derechos invocados por las accionantes se modificó completamente en el curso de la revisión del expediente por la Sala Tercera de Revisión. Es así como, actualmente, las accionantes pueden ingresar a los aeropuertos y acceder al servicio de transporte aéreo sin la necesidad de descargar y usar la otrora aplicación CoronApp. Por lo tanto, al constatar que una eventual orden de amparo no tendría efecto alguno sobre la situación de las tutelantes, en la parte resolutiva de esta providencia, la Sala declarará la carencia actual de objeto por la configuración del fenómeno de hecho superado. DERECHO AL HABEAS DATA-Jurisprudencia constitucional DERECHO AL HABEAS DATA-Protección de su núcleo esencial en el contexto de la pandemia COVID-19 DERECHO AL HABEAS DATA MEDIANTE LA SUPRESIÓN DE DATOS PERSONALES-Dilación injustificada en el debido procedimiento administrativo La dilación injustificada se presenta cuando la duración de un procedimiento supera el plazo razonable. De acuerdo con la jurisprudencia constitucional, la razonabilidad del plazo se establece en cada caso particular, teniendo en cuenta (i) la complejidad del asunto; (ii) la actividad procesal del interesado; (iii) la conducta de la autoridad competente; y (iv) la situación jurídica de la persona interesada. Referencia: Expediente T-8.197.643 Acción de tutela interpuesta por la señora Juanita María Goebertus Estrada y otras contra Ministerio de Salud y otros. Magistrado ponente: ALEJANDRO LINARES CANTILLO Bogotá D.C., veintiséis (26) de abril de dos mil veintidós (2022) La Sala Tercera de Revisión de la Corte Constitucional, integrada por la Magistrada Paola Andrea Meneses Mosquera y los Magistrados Antonio José Lizarazo Ocampo y Alejandro Linares Cantillo, quien la preside, en ejercicio de sus competencias constitucionales y legales, ha proferido la siguiente: SENTENCIA I. ANTECEDENTES A. CUESTIÓN PREVIA 1. Antes de proceder al estudio del asunto, esta Sala de Revisión considera necesario tomar oficiosamente medidas para proteger los datos personales de la accionante Claudia Julieta Duque Orrego, debido que pone de presente su condición de víctima de interceptaciones ilegales por parte del Estado. Al respecto, en el trámite del proceso solicitó al juez de primera instancia mantener bajo reserva un anexo relacionado con una declaración rendida ante la Fiscalía General de la Nación y, manifestó en la acción de tutela que prefiere “abstener[s]e de proveer a terceros, en todos los casos, información personal y mucho menos información personal de naturaleza sensible (…)”. 2. Conforme a lo dispuesto en el artículo 62 del Reglamento de la Corte Constitucional, serán elaborados dos textos de esta providencia de idéntico tenor. En el texto que será divulgado y consultado libremente, se omitirá la referencia a los datos relacionados con los destinos de viaje, así como cualquier información que pueda ser considerada sensible o que pueda exponer la seguridad personal e intimidad de la accionante Claudia Julieta Duque Orrego, con excepción de su nombre al evidenciarse que la periodista no tiene reparo en que se conozca esa información. B. LA DEMANDA DE TUTELA 3. El día 27 de noviembre de 2020, las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque Orrego, actuando en nombre propio, interpusieron acción de tutela con medida provisional contra el Ministerio de Salud y Protección Social (en adelante, “Ministerio de Salud”), Instituto Nacional de Salud (en adelante, “INS”), Aeronáutica Civil de Colombia (en adelante, “Aerocivil”), OPAIN S.A., Aeropuertos de Oriente S.A.S. y Airplan S.A.S., al considerar que la obligación de descargar y usar la aplicación CoronApp como una condición para ingresar a diferentes aeropuertos nacionales y poder hacer uso del servicio público esencial del transporte aéreo vulnera sus derechos a la privacidad, habeas data, libertad de locomoción o circulación y unidad familiar. 4. De manera preliminar, solicitaron al juez de tutela que dicte la siguiente medida provisional: “la suspensión, de manera provisional, del requisito de descargar la CoronApp a favor de Claudia Julieta Duque. Solicitamos, entonces, que emita un auto mediante el cual se ordene a las autoridades aeroportuarias permitir el ingreso al aeropuerto de Claudia Julieta Duque sin que le sea requerido descargar la aplicación CoronApp en ninguno de sus dispositivos”. Lo anterior, bajo el argumento de que la señora Duque ha sido víctima de persecución por parte de entidades estatales, y es beneficiaria de las medidas cautelares 339-09 otorgadas por la Comisión Interamericana de Derechos Humanos (en adelante, “CIDH”). 5. Como pretensiones principales, las accionantes solicitaron que se conceda el amparo de los derechos fundamentales presuntamente vulnerados y, en consecuencia, se ordene al (i) Ministerio de Salud y a la Aerocivil aclarar a las diferentes autoridades, operadores y aerolíneas que las personas que utilizan el servicio de transporte aéreo nacional no están obligadas a descargar y usar la aplicación CoronApp como un obstáculo para ingresar a las instalaciones aeroportuarias, así como que, se prevea la captación mínima de datos con alternativas digitales y analógicas; (ii) a las concesionarias OPAIN S.A., Aeropuertos del Oriente S.A.S. y Airplan S.A.S. brindar entrenamiento a su personal para evitar que la ausencia de descarga y uso de la aplicación CoronApp sea un impedimento para el ingreso de pasajeros a las diferentes instalaciones aeroportuarias; (iii) al INS eliminar la información suministrada a través de la aplicación CoronApp por parte de Juanita María Goebertus, Alejandra Martínez Hoyos y Sol Marina de la Rosa Flórez, que se les notifique la realización exitosa del procedimiento, y se incluya en la política de tratamiento de datos de la entidad mencionada la prohibición de que las autoridades públicas exijan la descarga y uso de la aplicación referida como condición para volar a nivel nacional. Por último, en caso de no concederse la medida provisional mencionada, (iv) la señora Claudia Julieta Duque Orrego solicitó se le permita utilizar el transporte aéreo para reunirse con sus padres, adultos mayores, sin que le sea exigido como requisito de viaje la descarga y uso de la aplicación CoronApp. C. HECHOS RELEVANTES 6. En el mes de octubre de 2020, las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos y Sol Marina de la Rosa Flórez, por motivos laborales y personales, utilizaron el servicio de transporte aéreo en las ciudades de Bogotá, Santa Marta, Bucaramanga y Medellín. 7. Las mencionadas accionantes manifestaron que para ingresar a los diferentes aeropuertos tuvieron que descargar y usar la aplicación CoronApp contra su voluntad y, por el temor de perder sus vuelos, entregaron información que consideran sensible, sin que fuera ofrecida una alternativa diferente para proporcionar sus datos. 8. En el caso particular de la señora Claudia Julieta Duque Orrego, indicó que, en razón al contexto de la pandemia y por motivos de salud, sus padres se trasladaron de ciudad. Aunque tenía planes de visitarlos en vacaciones de final de año, manifestó que ha “estado impedida de viajar por temores sobre riesgos asociados a la exposición de [su] privacidad y la injerencia en [su] intimidad por terceros que descono[ce]”. Su preocupación radica en que, según informó, ha sido víctima de actos de persecución, interceptación ilegal de sus comunicaciones e invasión ilegitima a su privacidad por parte de funcionarios del Estado. 9. Por ello, la señora Duque Orrego se niega descargar y usar la aplicación CoronApp en su teléfono móvil. En ese sentido, expresó en sus redes sociales que, como alternativa al uso de la aplicación, estaba dispuesta a realizarse las pruebas PCR que sean necesarias para que le permitan utilizar el transporte aéreo, sin “empeñar” sus datos personales y sensibles. 10. Las accionantes consideran amenazados y vulnerados sus derechos fundamentales a la privacidad, habeas data, libertad de locomoción o circulación y unidad familiar, en razón a que, fueron obligadas a descargar y usar la aplicación CoronApp como condición para ingresar a los diferentes aeropuertos y les inquieta que sean sometidas al mismo requisito en sus futuros viajes. 11. Unido a lo anterior, las accionantes sustentaron la presunta violación de sus derechos fundamentales en las siguientes razones: (i) a partir de una interpretación de la Resolución 1517 de 2020 es posible afirmar que la descarga y el uso de la aplicación CoronApp es voluntaria; (ii) la política de tratamiento de la información de esta aplicación permite el acceso a los datos personales del titular, entre otras, a “las personas que por mandato legal u orden judicial sean autorizadas para conocer la información del titular del dato”, lo cual, a su juicio, es una previsión indeterminada, en tanto puede habilitar a distintas autoridades que no pertenezcan al ámbito sanitario, a tener acceso a su información; (iii) “la política aplicada por [los] aeropuertos” que obliga a descargar y usar la CoronApp para poder utilizar el transporte aéreo es desproporcionada; y (iv) la obligación de descargar y usar la CoronApp vulnera los principios relacionados con el derecho al habeas data, al tiempo que (v) “desincentiva el ejercicio del derecho a la locomoción que se constituye en medio necesario para ejercer el derecho a la unidad familiar”. D. ADMISIÓN DE LA DEMANDA DE TUTELA Y RESOLUCIÓN DE LA MEDIDA PROVISIONAL 12. Mediante auto del 1° de diciembre de 2020, el Juzgado 43 Administrativo de Oralidad del Circuito de Bogotá resolvió (i) admitir la demanda de tutela; (ii) notificar a las accionantes y a las autoridades y personas jurídicas accionadas; (iii) vincular al Ministerio de Tecnologías de la Información y Comunicaciones (en adelante “MinTic”) y a la Corporación Agencia Nacional Digital (en adelante “AND”); y (iv) negar la solicitud de medida provisional, presentada por la señora Claudia Julieta Duque Orrego, al considerar que “de las pruebas aportadas al proceso no es posible determinar que el hecho de descargar la aplicación CoronApp ponga en riesgo la vida de la tutelante”. E. RESPUESTAS DE LAS ENTIDADES ACCIONADAS Y DE LAS VINCULADAS Ministerio de Salud 13. El Ministerio de Salud solicitó que se declare su falta de legitimación en la causa por pasiva, debido a que, la implementación de la aplicación CoronApp se encuentra en cabeza del INS en coordinación con la AND. Así mismo, expuso que la aplicación recolecta datos públicos, semiprivados, privados y sensibles de los usuarios, según lo dispuesto en la Ley 1581 de 2012, con el fin de desplegar medidas de prevención, contención y mitigación frente al Covid-19. Para tal efecto, hace uso de diferentes tecnologías y procedimientos de seguridad de la información, en aras de garantizar la integridad, disponibilidad y confidencialidad de la información personal y de salud. Por último, señaló que las “instituciones” son autónomas frente a la creación y diseño de sus planes y protocolos de bioseguridad, los cuales deben seguir los lineamientos y disposiciones emitidas por el referenciado ministerio. INS 14. El INS informó que dentro de sus competencias está “la dirección, diseño y desarrollo de investigaciones epidemiológicas, experimentales y de desarrollo técnico de acuerdo con las necesidades y las políticas en materia de salud pública del país para la comprensión, prevención, diagnóstico y tratamiento de las enfermedades como el SARS CoV2-COVID-19”. En ese sentido, informó que la CoronApp: (i) tiene como objetivo “identificar pacientes categorizados como alertas que han manifestado por medio del auto reporte, sintomatología y factores de riesgo compatibles con covid-19”; (ii) según los términos y condiciones de la aplicación, su uso es voluntario y “ningún derecho estará sujeto a que el ciudadano la instale”; (iii) la información recolectada es entregada a las entidades territoriales con el fin de “facilitar la identificación oportuna de casos potenciales en el territorio nacional”; (iv) la entidad es la responsable del tratamiento de la información exclusivamente para “fines de mitigación de los efectos de la pandemia en el país”; (v) la AND es la encargada del “tratamiento de CoronApp, en virtud de[l] Acuerdo de Transmisión de Datos Personales suscrito (…) para el desarrollo de nuevas funcionalidades, apoyo a la gestión y mejoramiento continuo y analítica de datos de CoronApp, en el marco de las diferentes etapas para afrontar la pandemia por COVID19”; y (vi) el tratamiento de la información que realiza la entidad se rige por el artículo 15 de la Constitución Política, la Ley Estatutaria 1581 de 2012, su decreto reglamentario y las políticas internas de la institución. 15. Por último, frente a la pretensión de eliminación inmediata de la información de las accionantes (ver supra, numeral 5) informó que la supresión de los datos “no puede realizarla directamente el INS al tener un encargado para el tratamiento de la información”, así que requirió a la AND para que procediera a hacerlo. Así mismo, reiteró que la política de tratamiento de datos de la CoronApp es clara, en el sentido que, su descarga, uso y desinstalación son voluntarias, así como la solicitud de eliminación de los datos personales del titular. Por lo tanto, solicitó al juez constitucional negar la acción de tutela, en razón a que, la entidad referenciada no ha vulnerado derecho fundamental alguno. Ministerio de Tecnologías de la Información y las Comunicaciones 16. Pese a que fue vinculada al proceso de tutela, el MinTIC no se pronunció dentro del término dispuesto por el juez constitucional de primera instancia. Aerocivil 17. La Aerocivil solicitó su desvinculación por no contar con legitimación en la causa por pasiva, debido a que, quienes exigieron la descarga y uso de la aplicación CoronApp como condición para ingresar a los aeropuertos El Dorado, José María Córdova, Simón Bolívar y Palonegro no fueron los funcionarios de esa entidad, sino los de los concesionarios de cada uno de los aeropuertos. AND 18. La AND informó acerca de los protocolos y medidas técnicas de seguridad que adoptó como encargada de la CoronApp. Explicó que “los datos sensibles suministrados por los usuarios de CoronApp son tratados únicamente por las personas que en el sistema de salud tienen responsabilidad legal en la captación, canalización y atención de pacientes”. El tiempo del tratamiento de los datos recolectados es determinado por el Ministerio de Salud según las actividades para la contención y mitigación del Covid-19. Advirtió que “en la transferencia y/o transmisión de información se contemplan todas las medidas de protección y seguridad de la información establecidas en la Ley 1581 de 2012 y en las políticas del Instituto Nacional de Salud”. Por último, manifestó que la CoronApp no configura vulneración a ningún derecho fundamental y, por lo contrario, ha sido un instrumento importante para la vigilancia epidemiológica por parte de las autoridades sanitarias. Sociedad Operadora Aeroportuaria Internacional - OPAIN S.A. 19. La OPAIN S.A. pidió su desvinculación del proceso de tutela, al considerar que las pretensiones de las accionantes se relacionan con el cumplimiento de la regulación dispuesta por el Ministerio de Salud respecto a la prevención y control de riesgo del Covid-19 en el sector aeroportuario y aeronáutico. Al respecto, indicó que la Resolución 1517 de 2020 impuso la obligación a los operadores de aeropuertos de “verificar el diligenciamiento de la encuesta de viaje dispuesta para el seguimiento del viaje en la aplicación CoronApp-Colombia o la que se estipule por parte del Ministerio de Salud (…)”. Teniendo en cuenta lo anterior, la operadora informó que no accede, administra, ni trata los datos suministrados por los viajeros en el aplicativo, sino que se limita a verificar la información que arroja el código QR. Además, señaló que “para los viajeros que por algún motivo no puedan bajar la aplicación o que manifiesten su desacuerdo con este requisito, [tienen como plan alterno] un registro manual del nombre, número de identificación y número de vuelo del pasajero”. Aeropuertos de Oriente S.A.S. 20. Aeropuertos de Oriente S.A.S manifestó que no cuenta con legitimación en la causa por pasiva, debido a que, solo da cumplimiento a la obligación de verificación prevista en la Resolución 1517 de 2020, la cual tiene un “seguimiento constante (…) tanto por parte de las Secretarias de Salud de los municipios, como de la Unidad Administrativa Especial de Aeronáutica Civil” y no es el encargado de recolectar, tratar y/o administrar los datos que los pasajeros suministran a la aplicación CoronApp. Así mismo, señaló que la acción de tutela era improcedente porque, en su opinión, el Titulo VII de la Ley 1581 de 2012 dispone el medio de defensa idóneo para activar “la vigilancia y sanción para la Protección de Datos Personales”. Sociedad Operadora de Aeropuertos Centro Norte – Airplan S.A.S. 21. Airplan S.A.S. indicó que no tiene legitimación en la causa por pasiva, en razón a que, no ha vulnerado derecho fundamental alguno. Sobre el caso concreto, informó que ha cumplido con la Resolución 1517 de 2020, la cual tiene el claro objetivo de “implementar medidas generales para evitar la propagación del virus, lo que da lugar a interpretar que si el uso de la aplicación que abre este debate, es parte del protocolo de bioseguridad, la misma deberá ser usada para tal fin”. F. DECISIONES JUDICIALES OBJETO DE REVISIÓN Decisión de primera instancia: Sentencia proferida por el Juzgado 43 Administrativo de Oralidad del Circuito de Bogotá D.C., el 11 de diciembre de 2020 22. El Juzgado 43 Administrativo de Oralidad del Circuito de Bogotá, D.C. resolvió negar el amparo solicitado por las accionantes, al considerar que no se evidenció la vulneración a los derechos fundamentales invocados. En concreto, en cuanto a la solicitud de protección de los derechos al habeas data, la libertad de locomoción, y respecto de la pretensión de aclaración del contenido de la Resolución No. 1517 de 2020 dirigida contra el Ministerio de Salud, el a quo manifestó que “no se puede evidenciar que la (…) encargada de la protección de datos personales (…) haya incurrido en la transferencia o uso indebido de los datos personales de las aquí demandantes, como tampoco de los más usuarios que descargan la aplicación”. Lo anterior, más aún cuando (ii) “la limitación de los derechos fundamentales con ocasión a la declaratoria de un Estado de Excepción es legítima”. Por eso, concluyó que, para cuestionar la interpretación de los actos administrativos generales, las accionantes cuentan con los medios de control dispuestos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Impugnación 23. Las accionantes impugnaron el fallo de tutela de primera instancia. De manera preliminar, informaron como hecho nuevo que la señora Claudia Julieta Duque Orrego, el 6 de diciembre de 2020, fue obligada a descargar y usar la CoronApp como condición de ingreso al aeropuerto el Dorado. En ese sentido, adicionaron la pretensión relacionada con la eliminación de la información suministrada a través de la aplicación CoronApp para incluirla en la misma y, eliminaron la relacionada con la no exigencia del requisito de la aplicación a la accionante Claudia Julieta Duque Orrego para utilizar el transporte aéreo. Asimismo, eliminaron a la Aerocivil de la pretensión primera dirigida, entre otras, a aclarar a las diferentes autoridades, operadores y aerolíneas que las personas que utilizan el servicio de transporte aéreo nacional no están obligadas a descargar y usar la aplicación CoronApp (ver supra, núm. 5). Luego, reiteraron el test de proporcionalidad propuesto en la acción de tutela; insistieron en que no existía Ley, ni Decreto Ley expedido en el marco de la emergencia económica que ordenara el uso de la CoronApp como un requisito para volar a destinos nacionales; y expusieron que “una cosa es la obligatoriedad de la Resolución 1517 de 2020 que consagra el deber de verificar y recomendar el uso de CoronApp a cargo de aerolíneas y explotadores de aeronaves (…); y otra muy distinta la obligación de los pasajeros de descargar y usar la aplicación CoronApp como un requisito para volar a destinos nacionales”, supuesto en el que consideran que los operadores aeroportuarios fueron excesivos y vulneraron sus derechos fundamentales. Escrito de coadyuvancia de las Fundaciones para la Libertad de Prensa y El Veinte 24. El 3 de febrero de 2021, las Fundaciones para la Libertad de Prensa y El Veinte presentaron escrito de coadyuvancia en la acción de tutela de la referencia “con el fin de presentar argumentos relevantes para el análisis de la aplicación CoronApp para la circulación de los ciudadanos que realizan actividades periodísticas en Colombia”, debido a que, una de las accionantes ejerce la mencionada profesión. Así mismo, solicitaron que se reconociera su calidad de coadyuvantes dentro del proceso y se acogiera las pretensiones de la señora Claudia Julieta Duque Orrego. En concreto, las fundaciones manifestaron que han tenido conocimiento de casos de periodistas a los cuales se le impuso la obligación de descargar y usar la aplicación CoronApp en los puntos aéreos de movilidad. Señalaron que lo anterior, afecta el ejercicio profesional y vulnera los derechos a la libertad de expresión y acceso a la información, pues, en su opinión, la aplicación tiene cuestionamientos respecto a la autorización y acceso a la georeferencia de los pasajeros, lo que puede generar una amplia circulación de los datos de los titulares, perjudicar la reserva de las fuentes y ser un riesgo a la integridad de los periodistas. Decisión de segunda instancia: Sentencia proferida por el Tribunal Administrativo de Cundinamarca, el 18 de febrero de 2021 25. El Tribunal Administrativo de Cundinamarca resolvió confirmar el fallo de tutela de primera instancia. Al respecto, señaló que las accionantes no habían realizado ninguna acción tendiente a solicitar la supresión de sus datos personales ante la AND, ni acreditaron que la descarga de la aplicación CoronApp les ocasionara un perjuicio irremediable. Además, indicó que “las accionantes parten de la idea de una mala fe frente al uso de esta plataforma”, sin que tal circunstancia se hubiera demostrado dentro del proceso ni tampoco el inadecuado uso de los datos que reposan en la aplicación. Por último, consideró que el derecho a la libre locomoción no es absoluto y que, una ponderación entre los derechos individuales, el interés general, la salud pública y el principio de solidaridad, permiten adelantar medidas de protección en donde pueden verse limitados ciertos derechos. G. ACTUACIONES ADELANTADAS ANTE LA CORTE CONSTITUCIONAL Y PRUEBAS APORTADAS EN SEDE DE REVISIÓN Escritos ciudadanos 26. El señor Gaspar Pisanu, como líder de políticas públicas en América Latina; el ciudadano Daniel Duque Velásquez, como concejal de Medellín; diferentes organizaciones de la sociedad civil colombiana y de Latinoamérica y el Grupo de Acciones Públicas de la Universidad del Rosario presentaron escritos ciudadanos en los que solicitaron seleccionar el proceso de tutela de la referencia, al considerar que cumple con los criterios objetivo, subjetivo y complementario. 27. Sobre el primero señalaron que se trata de un asunto novedoso, debido a que, la Corte no tiene jurisprudencia sobre el derecho al habeas data cuando el Estado hace uso de tecnologías digitales para el cuidado de la salud pública en un escenario de estados de excepción. Además, indicaron que lo anterior podría estar relacionado con el derecho a la igualdad, en razón a que, las únicas personas obligadas a usar la aplicación CoronApp son aquellas que transitan por vía aérea y tienen un teléfono celular con ciertas características. Dentro del criterio objetivo, también señalaron que el caso concreto es una oportunidad para que el alto tribunal aclare el contenido y alcance del derecho fundamental del habeas data en el contexto de la pandemia y su ejercicio frente a las medidas regulatorias adoptadas por el Gobierno Nacional para contrarrestarla. 28. Frente al criterio subjetivo indicaron la necesidad de materializar un enfoque diferencial de las víctimas de crímenes de Estado “desde el concepto de sujetos de especial protección constitucional” y los trabajadores que ostenta una función pública especial. Por último, consideraron los criterios complementarios, pues, en su opinión y dado que los protocolos de bioseguridad para viajar vía área se seguirán aplicando, el amparo de los derechos debe tener un efecto inter communis. Escrito presentado por las accionantes el 9 de agosto de 2021 29. Las accionantes manifestaron su interés en la revisión del proceso de tutela y presentaron información y argumentos por los cuales, en su opinión, la situación que derivó en la vulneración de sus derechos fundamentales sigue vigente y la necesidad de decretar pruebas. Al respecto, informaron que: (i) la Resolución No. 411 del 29 de marzo de 2021 reiteró la obligatoriedad del uso de la aplicación CoronApp por parte de los pasajeros de vuelos nacionales; (ii) entre los meses de febrero, marzo y mayo de 2021 las accionantes Sol Marina de la Rosa y Claudia Julieta Duque se desplazaron en rutas aéreas nacionales y les fue solicitada la aplicación como condición para abordar su vuelo, sin embargo, pudieron eximirse de tal requisito al exponer insistentemente sus argumentos sobre la política de datos y el uso voluntario de la misma; (iii) la Resolución No. 777 del 2 de junio de 2021 eliminó de los protocolos de bioseguridad el uso de la CoronApp para ingresar a los aeropuertos nacionales; (iv) en la política de privacidad de la aplicación hay dudas sobre la posibilidad de cancelación o eliminación de los datos de los titulares; y (v) no se han concedido sus pretensiones. Además, solicitaron que “se deseche” una posible configuración de “carencia actual de objeto por hecho superado” y se decreten pruebas frente a las accionadas e invite a organizaciones expertas a emitir concepto. Intervención y amicus curiae 30. Ante la Sala Tercera de Revisión se presentaron (i) una “intervención” conjunta del Departamento Administrativo de la Presidencia de la República (en adelante “DAPRE”) y el Ministerio de Salud; y (ii) quince amicus curiae de diferentes organizaciones nacionales e internacionales en los que expusieron argumentos técnicos y jurídicos relacionados con el proceso de tutela de la referencia. Para mayor referencia, sobre los conceptos mencionados ver el ANEXO I: Intervención y amicus curiae. Auto de pruebas del 8 de octubre de 2021 31. Mediante el auto del 8 de octubre de 2021, el magistrado sustanciador, en ejercicio de la facultad prevista en el artículo 64 del reglamento de esta corporación, dispuso la práctica y decreto de múltiples pruebas a fin de recaudar los elementos de juicio necesarios para mejor proveer. En consecuencia, se ordenó oficiar a las accionantes, el INS, la AND el Ministerio de Salud, la Fiscalía General de la Nación (en adelante “FGN”), la Procuraduría General de la Nación (en adelante “PGN”), OPAIN S.A., Aeropuertos de Oriente S.A.S., Airplan S.A.S. y la Superintendencia de Industria y Comercio (en adelante “SIC”). Asimismo, mediante auto del 11 de octubre de 2021 se suspendió el presente proceso, en aras de recolectar y valorar las pruebas conforme se autoriza en el reglamento de esta Corte. 32. Vencido el término otorgado para dar respuesta y pronunciarse respecto el traslado probatorio, se recibió por parte de la Secretaría General de esta corporación la información que se relaciona a continuación y que puede ser consultada de forma detallada en el ANEXO II de esta providencia: Identificación de las pruebas solicitadas en auto del 8 de octubre de 2021|Estado de verificación de elementos allegados al expediente| A las accionantes, Juana María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque PRIMERO: Dar información y respuesta a las preguntas realizadas por este despacho.|Mediante oficio recibido el 28 de octubre de 2021 las accionantes suministraron la información solicitada. Mediante oficio recibido el 16 de noviembre de 2021 las accionantes se pronunciaron en virtud del traslado probatorio.| Al INS y la AND: SEGUNDO: Dar información y respuesta a las preguntas realizadas por este despacho.|Mediante oficio recibido el 27 de octubre de 2021 el INS y la AND suministraron respuesta unificada a la información solicitada.| Al Ministerio de Salud: TERCERO: Dar información y respuesta a las preguntas realizadas por este despacho.|Se advierte que no se recibió respuesta por parte del Ministerio de Salud que diera cuenta de la información solicitada en el numeral tercero del auto del 8 de octubre de 2021.| A la FGN y a la PGN: CUARTO: Se sirvan informar si la señora Claudia Julieta Duque Orrego ha presentado denuncias o quejas por la presunta comisión de delitos en su contra por razón del ejercicio de su profesión de periodista.|Mediante correo electrónico recibido el 21 de octubre de 2021 y oficio recibido el 18 de noviembre de 2021 el Director Seccional de Boyacá y la Dirección de Atención al Usuario, Intervención Temprana y Asignaciones de la FGN, respectivamente, suministraron la información solicitada. Mediante correo electrónico recibido el 29 de octubre de 2021 la PGN suministró datos generales sobre la información solicitada y trasladó la solicitud del magistrado sustanciador a las dependencias encargadas para que aportaran el estado y soporte de las actuaciones referenciadas, sin obtener respuesta de estas últimas.| A OPAIN S.A., Aeropuertos de Oriente S.A.S. y Airplan S.A.S.: QUINTO: Pregunta sobre el uso de otra alternativa al diligenciamiento de información en la aplicación CoronApp y soportes sobre los Protocolos de Bioseguridad Internos de los años 2020 y 2021.|Mediante oficio recibido el 27 de octubre de 2021, Aeropuertos de Oriente S.A.S. y Airplan S.A.S. suministraron la información solicitada. Mediante oficio recibido el 17 de noviembre de 2021 Aeropuertos de Oriente S.A.S se pronunció en virtud del traslado probatorio.| A la SIC: SEXTO: Pregunta sobre la recepción de quejas en contra del Instituto Nacional de Salud, la Corporación Agencia Nacional Digital y/o operadores aeroportuarios por la presenta infracción al régimen de protección de habeas data e información sobre las actuaciones de monitoreo o auditorías a las entidades mencionadas en ejercicio de las funciones previstas en la Ley 1581 de 2012.|Mediante correo electrónico recibido el 27 de octubre de 2021, la Oficina Asesora Jurídica de la SIC suministró la información y soportes solicitados.| Auto de pruebas del 3 de diciembre de 2021 33. Al revisar y analizar los anteriores elementos probatorios y, dado que no se entregó la totalidad de la información requerida en el auto del 8 de octubre de 2021, el magistrado sustanciador, a través del auto del 3 de diciembre de 2021, dispuso reiterar el requerimiento de pruebas efectuado dentro presente trámite dirigido al Ministerio de Salud, así como, la solicitud de información adicional al mencionado Ministerio, la AND y la SIC. 34. Vencido el término otorgado para dar respuesta y pronunciarse respecto el traslado probatorio, se recibió por parte de la Secretaría General de esta corporación la información que se relaciona a continuación y que puede ser consultada de forma detallada en el ANEXO III de esta providencia: Identificación de las pruebas solicitadas en auto del 3 de diciembre de 2021|Estado de verificación de elementos allegados al expediente| Al Ministerio de Salud: PRIMERO: Insistir en el requerimiento, dar información y respuesta a las preguntas realizadas por este despacho.|Mediante correo electrónico recibido el 1° de febrero de 2022 el Ministerio de Salud suministró respuesta a la información solicitada.| A la AND: SEGUNDO: Dar información y respuesta a las preguntas realizadas por este despacho.|Mediante correo electrónico recibido el 12 de enero de 2022 la AND suministró respuesta a la información solicitada.| A la SIC: TERCERO: Dar información y respuesta a las preguntas realizadas por este despacho.|Mediante correo electrónico recibido el 12 de enero de 2022 la SIC suministró respuesta a la información solicitada.| A la PGN: CUARTO: Dar información y respuesta a las preguntas realizadas por este despacho.|Se advierte que no se recibió respuesta por parte de la PGN que diera cuenta de la información solicitada en el numeral cuarto del auto del 3 de diciembre de 2021.| Traslado probatorio| Aeropuertos de Oriente S.A.S|Mediante correo electrónico recibido el 19 de enero de 2022 Aeropuertos de Oriente S.A.S se pronunció en virtud del traslado probatorio.| Accionantes: Juana María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque|Mediante oficio recibido el 19 de enero de 2022 las accionantes se pronunciaron en virtud del traslado probatorio.| AND|Mediante correo electrónico recibido el 27 de enero de 2022 la AND se pronunció en virtud del traslado probatorio.| II. CONSIDERACIONES A. COMPETENCIA 35. Esta Sala de Revisión es competente para conocer de esta acción de tutela, de conformidad con lo dispuesto en los artículos 86 y 241 numeral 9 de la Constitución Política, en los artículos 31 a 36 del Decreto 2591 de 1991, así como en virtud del auto del 29 de junio de 2021, notificado el 15 de julio del mismo año, mediante el cual la Sala de Selección de Tutela Número Seis de la Corte Constitucional decidió seleccionar para revisión el proceso T-8.197.643, correspondiente a la acción de tutela de la referencia, y asignar su sustanciación al magistrado ponente. B. DELIMITACIÓN DEL ASUNTO 36. La Sala observa que la demanda de tutela objeto de estudio se estructura a partir de tres ejes temáticos. Primero, la presunta violación de los derechos al habeas data, a la libertad de locomoción, a la unidad familiar y privacidad de las señoras Goebertus, Martínez, De la Rosa y Duque por haber sido obligadas a descargar y usar la aplicación CoronApp para acceder al servicio de transporte aéreo, y la consecuente, satisfacción de las pretensiones encaminadas a que los responsables y/o encargados del tratamiento de datos y los operadores aeroportuarios no volvieran a incurrir en este tipo de conductas. Segundo, la solicitud de supresión de los datos personales suministrados por las señoras Goebertus, Martínez y De la Rosa a través de la aplicación CoronApp. A su juicio, las entidades accionadas infringieron al régimen general de protección de datos personales en el proceso de recolección de su información personal, por tanto, pretenden que se ordene al responsable y/o encargado del tratamiento que la elimine de las bases de datos. Tercero, y de manera específica en atención a que se trata de un supuesto de hecho diferente al de las otras actoras, la solicitud de supresión de datos personales de la periodista Duque Orrego, quien puso de presente su condición de víctima de interceptaciones ilegales por funcionarios del otrora DAS y, en ese sentido, manifestó su preocupación por el hecho de que, en sus próximos viajes laborales y personales, tuviera que “empeñar” sus datos personales sensibles, exponiéndola a posibles atentados en contra de su vida e integridad personal. 37. Previo a emitir una decisión de fondo sobre estos asuntos, la Sala procederá a examinar si la acción de tutela supera o no los requisitos formales de procedencia. C. PROCEDIBILIDAD DE LA ACCIÓN DE TUTELA 38. En virtud de lo dispuesto en el artículo 86 de la Constitución Política, la reiterada jurisprudencia constitucional dictada sobre la materia y los artículos concordantes del Decreto 2591 de 1991, la acción de tutela tiene un carácter residual y subsidiario, razón por la cual solo procede excepcionalmente como mecanismo de protección definitivo (i) cuando el presunto afectado no disponga de otro medio de defensa judicial, o (ii) cuando, existiendo ese medio este carece de idoneidad o eficacia para proteger de forma adecuada, oportuna e integral los derechos fundamentales, en las circunstancias del caso concreto. Así mismo, procederá como mecanismo transitorio cuando la acción se interponga para evitar la consumación de un perjuicio irremediable a un derecho fundamental. En el evento de proceder como mecanismo transitorio, el accionante deberá ejercer la acción principal en un término máximo de cuatro (4) meses a partir del fallo de tutela, y la protección se extenderá hasta tanto se produzca una decisión definitiva por parte del juez ordinario. 39. Antes de realizar el estudio de fondo de la acción de tutela seleccionada, la Sala procederá a verificar si se cumplen los requisitos formales de procedibilidad. Procedencia de la acción de tutela – caso concreto 40. Legitimación por activa. Con base en lo establecido por el artículo 86 de la Constitución, y lo dispuesto por el artículo 10 del Decreto 2591 de 1991, la Sala considera que las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque Orrego están legitimadas para ejercer la acción constitucional, por cuanto son ciudadanas que, actuando en nombre propio, reclaman la protección de sus derechos fundamentales a la privacidad, habeas data, libertad de locomoción y unidad familiar. 41. Legitimación por pasiva. El Ministerio de Salud, el INS, la Aerocivil, el MinTIC, y la AND, estas dos últimas vinculadas en el trámite de la primera instancia, son autoridades de naturaleza pública señaladas de haber presuntamente vulnerado los derechos fundamentales invocados por las accionantes. Por esta razón, de conformidad con lo dispuesto en el artículo 86 de la Constitución y el artículo 5 del Decreto 2591 de 1991, son susceptibles de ser demandadas a través de la acción de tutela. 42. Las demandantes también dirigen su reproche contra OPAIN S.A., Aeropuertos de Oriente S.A.S. y Airplan S.A.S. Estas son entidades de naturaleza privada, encargadas de la operación aeroportuaria indispensable para garantizar la prestación del servicio público esencial de transporte aéreo de pasajeros, en virtud de los contratos de concesión celebrados con la Aeronáutica Civil de Colombia, y subrogados a la Agencia Nacional de Infraestructura (en adelante, “ANI”) . En consecuencia, y en la medida en que se les acusa de haber exigido a las accionantes la descarga y uso de la aplicación CoronApp para que pudieran ingresar a los aeropuertos y abordar sus respectivos vuelos, hecho que derivó en la presunta vulneración de los derechos de las accionantes, es claro para esta Sala que estas entidades quedan comprendidas por la regla de procedencia establecida en el numeral 3, artículo 42 del Decreto 2591 de 1991. En consecuencia, también se encuentran legitimadas por pasiva en el presente asunto. 43. Inmediatez. De conformidad con lo previsto en el artículo 86 de la Constitución Política y el alcance que le ha dado la jurisprudencia constitucional al principio de inmediatez, la acción de tutela debe ser interpuesta dentro de un término prudente y razonable respecto del momento en el que presuntamente se causa la vulneración. La razonabilidad del término no se valora en abstracto, sino que corresponde al juez de tutela evaluar, a la luz de las circunstancias de cada caso, lo que constituye un término razonable. 44. En el caso bajo estudio, en el mes de octubre de 2020, las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos y Sol Marina de la Rosa Flórez, por motivos laborales y personales, utilizaron el servicio de transporte aéreo en las ciudades de Bogotá, Santa Marta, Bucaramanga y Medellín. En el escrito de tutela, presentado el 30 de noviembre de ese mismo año, las accionantes alegaron que sus derechos fundamentales fueron vulnerados debido a que en los respectivos aeropuertos les exigieron descargar y usar la aplicación CoronApp contra su voluntad y, por consiguiente, suministrar datos que consideran sensibles. Así, entre el presunto hecho vulnerador y la presentación de la solicitud de amparo transcurrió aproximadamente 1 mes, término que la Sala considera prudente y razonable para el ejercicio de la acción constitucional. 45. De igual forma, la Sala constata que la acción de tutela satisface el requisito de inmediatez respecto de la señora Claudia Julieta Duque Orrego. En este caso, la accionante manifestó que no estaba dispuesta a utilizar la referida aplicación al momento de realizar los viajes de trabajo y personales que tenía programados en diciembre de 2020. Lo anterior, al considerar que, por su condición de periodista víctima de interceptaciones ilegales, el tratamiento de sus datos personales amenazaría su privacidad, seguridad e intimidad. Por ello, junto con las accionantes mencionadas interpuso la acción de tutela el 30 de noviembre de 2020, esto es, unos días antes de que ocurriera el presunto hecho vulnerador, lo cual demuestra que obró con diligencia al acudir dentro de un lapso razonable ante el juez constitucional. En consecuencia, observa la Sala de Revisión que en el presente caso se cumple el requisito de inmediatez. 46. Subsidiariedad. El artículo 86 de la Constitución Política establece que la tutela “solo procederá cuando el afectado no disponga de otro medio de defensa judicial, salvo que aquella se utilice como mecanismo transitorio para evitar un perjuicio irremediable”. Teniendo en cuenta esta norma, el artículo 6 del Decreto 2591 de 1991 estableció como causal de improcedencia de esta acción la existencia de otros recursos o medios de defensa judicial, sin perjuicio de la posibilidad de acudir a ella como mecanismo transitorio para evitar un perjuicio irremediable. 47. La jurisprudencia constitucional ha entendido que el principio de subsidiariedad exige que el peticionario despliegue de manera diligente las acciones judiciales que estén a su disposición, siempre y cuando ellas sean idóneas y eficaces para la protección de los derechos fundamentales que se consideran vulnerados o amenazados. Ha también sostenido que, en este contexto, un proceso judicial es idóneo cuando es materialmente apto para producir el efecto protector de tales derechos, y es eficaz cuando está diseñado para protegerlos de manera oportuna. Entre las circunstancias que el juez debe analizar para determinar la idoneidad y eficacia de los recursos judiciales, se encuentra las condiciones en las que se encuentra la persona que acude a la tutela. 48. Bajo el anterior parámetro, tal y como se anunció en el fundamento jurídico número 36 supra, corresponde a la Sala determinar si la acción de tutela acredita el presupuesto de subsidiariedad respecto de tres asuntos. Primero, la presunta violación de los derechos al habeas data, a la libertad de locomoción, a la unidad familiar y privacidad de las señoras Goebertus, Martínez, De la Rosa y Duque por haber sido obligadas a descargar y usar la aplicación CoronApp para acceder al servicio de transporte aéreo, y la consecuente, satisfacción de las pretensiones encaminadas a que los responsables y/o encargados del tratamiento de datos y los operadores aeroportuarios no volvieran a incurrir en este tipo de conductas. Segundo, la solicitud de supresión de los datos personales suministrados por las señoras Goebertus, Martínez y De la Rosa a través de la aplicación referida, por la presunta infracción al régimen general de protección de habeas data. Tercero, y de manera específica en atención a que se trata de un supuesto de hecho diferente al de las otras tutelantes, es necesario analizar si en el caso de la periodista Duque Orrego la acción de tutela cumple con el presupuesto de procedencia exigido por la jurisprudencia constitucional y la Ley Estatutaria 1581 de 2012, en los casos donde se reclama la supresión de los datos personales. 49. Para abordar los anteriores puntos, y revisar los fallos de tutela de primera y segunda instancia, a continuación, la Sala hará referencia a los mecanismos de protección del derecho fundamental al habeas data y reiterará las subreglas fijadas por la jurisprudencia de esta corporación en materia de subsidiariedad cuando se reclama la supresión de datos personales. Sobre esa base, analizará la procedencia formal de la acción de tutela a partir de los hechos y razones que antecedieron su interposición, sin perjuicio de que en un estadio posterior se incorporen al estudio del caso en concreto las nuevas circunstancias informadas por las partes y terceros en el trámite de revisión (ver infra, sección II.F). El derecho fundamental al habeas data y sus mecanismos de protección 50. La Corte tiene un precedente consolidado sobre el contenido y alcance del derecho al habeas data. En la sentencia C-032 de 2021, reiteró que, de acuerdo con el artículo 15 de la Constitución, el derecho al habeas data tiene dos contenidos principales: “faculta a todas las personas a conocer, actualizar y rectificar la información que sobre ellas se haya recogido en bancos de datos y en archivos de entidades públicas y privadas; a la vez que somete los procesos de recolección, tratamiento y circulación de datos al respeto de la libertad y demás garantías consagradas en la Constitución”.   51. Inspirado en el precedente constitucional en la materia, y en respuesta al fenómeno de la globalización de la información y el auge del poder informático, el Legislador estatutario ha expedido cuerpos normativos con el fin de regular el contenido del derecho fundamental al habeas data y crear instancias y mecanismos para su protección, atendiendo al tipo de dato, el sector en el que se recolectan y los agentes que intervienen en su administración. En ese sentido, son referentes las Leyes Estatutarias 1266 de 2008 y 2157 de 2021, en el ámbito del habeas data financiero, y la Ley Estatutaria 1581 de 2012, en el régimen general de tratamiento de datos. Por las particularidades del caso concreto, la Sala se concentrará en el estudio de esta última normatividad. 52. Con la Ley Estatutaria 1581 de 2012 se incorporó al ordenamiento jurídico una completa, más no exhaustiva, regulación de la actividad de administración de datos personales. De esta se destaca, entre otros aspectos, la previsión de los principios orientadores en materia de habeas data, en consonancia con el precedente constitucional (art. 4); la identificación de los sujetos que intervienen en el proceso de administración de datos personales (titular del dato, responsable, encargado) (art. 3); el reconocimiento de los derechos y deberes de aquellos (arts. 17 y 18); la habilitación al titular o sus causahabientes para consultar la información personal que repose en cualquier base de datos, sea esta del sector público o privado (art. 14); la creación de un mecanismo de defensa ante los responsables y/o encargados del tratamiento de datos cuando los titulares o sus causahabientes consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley (art. 15); y la consolidación de un órgano de control especializado en materia de habeas data, en cabeza de la SIC, a través de su Delegatura de Protección de Datos Personales (art. 19 y siguientes). 53. En lo que respecta a la reclamación del titular del dato ante el responsable y/o encargado del tratamiento, la Sala resalta que esta fue diseñada por el Legislador estatutario como un mecanismo de protección que asegura una respuesta eficaz cuando se pretenda hacer efectivos, entre otros, la rectificación, actualización, corrección, oposición y supresión, y en general, otras dimensiones del derecho de habeas data. En efecto, nótese que el artículo 15 de la Ley 1581 de 2012 fija un procedimiento sumario y términos perentorios para el trámite del reclamo, así: (i) la reclamación debe incluir la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y los documentos necesarios que lo sustenten; (ii) la autoridad debe requerir al solicitante si el reclamo está incompleto para que lo subsane en un término de 5 días y si transcurridos 2 meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo; (iii) si la autoridad no es competente para tramitar el reclamo debe remitirlo al competente e informar al titular; (iv) si el reclamo está completo, junto al dato se debe incluir la leyenda "reclamo en trámite" y el motivo del mismo, en un término no mayor a 2 días hábiles, que debe mantenerse hasta tanto el reclamo se decida; (v) el reclamo se debe decidir en un término máximo de 15 días, pero si no es posible resolverlo en este término, se debe informar al reclamante. 54. Refuerza la idoneidad y eficacia de este mecanismo lo dispuesto en el artículo 16 de la ley estatutaria en cita, de acuerdo con el cual sólo se podrá elevar queja ante la SIC como la autoridad de protección del dato, una vez se haya agotado el trámite de consulta o reclamo ante el responsable o encargado del tratamiento. En la sentencia C-748 de 2011, la Corte encontró ajustada a la Constitución esta medida al considerar que “permite al titular del dato agotar las instancias correspondientes de una forma lógica, dado que no tiene sentido acudir al órgano de protección del dato para que active sus facultades de vigilancia, control y sanción, por señalar solo algunas, en relación con el responsable o encargado del dato, cuando éste ni siquiera conoce las pretensiones del titular y no ha tenido la oportunidad de decidir si le asiste o no razón, porque no ha hecho uso de los mecanismos para consulta y reclamo que debe implementar todo responsable y encargado del tratamiento, según los artículos 17 y 18, literales k) y f), respectivamente”. 55. En esa misma dirección, en la referida sentencia la Corte continuó refrendando la validez constitucional de la reclamación prevista en el artículo 15 de la Ley Estatutaria 1581 de 2012, y su agotamiento como requisito de procedibilidad para acudir ante la SIC (art. 16), por dos razones que, por su pertinencia para el análisis de la subsidiariedad en el caso en concreto, se traen a colación. Primero, el reclamo ante el responsable y/o encargado del tratamiento, como condición de acceso ante la SIC, no riñe con la Constitución, porque “la mayoría de deberes que el legislador le fijó a cada uno de estos sujetos se fundamenta en el hecho de que el titular del dato acuda ante ellos para la efectiva protección de sus derechos”. Segundo, es proporcional y razonable calificar dicho reclamo como un requisito de procedibilidad, por cuanto “(i) no fija términos o plazos irrazonables para que los agentes del tratamiento respondan las consultas y reclamos,” y “(ii) se regula con detalle el procedimiento a seguir, lo que le garantiza al titular del dato que para obtener la respuesta a una consulta o a un reclamo, el sujeto requerido no podrá ponerle trabas que impidan el ejercicio de su derecho, y en el evento en que así suceda, pues ello será suficiente para acudir ante la autoridad de protección del dato.” Todo lo anterior, advirtió la Corte en la sentencia C-748 de 2011, “sin perjuicio de acudir a la acción de tutela como mecanismo judicial de protección del derecho fundamental al habeas data”. 56. Agotado el requisito de procedibilidad de que trata el artículo 15 del cuerpo normativo bajo estudio, ya sea por la respuesta negativa o la falta de pronunciamiento del responsable o encargado dentro de los términos previstos en la ley, el titular del dato o sus causahabientes pueden solicitar a la SIC que, en calidad de autoridad de protección de datos y a través de su Delegatura de Protección de Datos Personales (art. 19), inicie la investigación del caso en contra de la autoridad pública o particular, por la presunta violación de los principios de tratamiento de datos personales, incumplimiento de los deberes de los responsables o encargados, y en general, desconocimiento de las disposiciones de la ley precitada (arts. 21, lit. b, y 22). 57. Surtido el procedimiento contemplado en el Título III de la Ley 1437 de 2011, la Delegatura profiere una decisión administrativa, por medio de la cual, entre otras cosas, puede (i) adoptar las medidas que sean necesarias para hacer efectivo el derecho de habeas data (art. 21, lit. b, en concordancia con art. 22); y/o (ii) ejercer sus potestades sancionatorias contra la persona de naturaleza privada (art. 23, parágrafo), si hubiere lugar a ello. En el supuesto de que el infractor sea una autoridad pública, remitirá la investigación a la Procuraduría General de la Nación para que adelante la investigación respectiva (art. 23, parágrafo). 58. En punto al tipo de medidas que puede ordenarle la autoridad de protección de datos a la autoridad pública, la Delegatura informó en sede de revisión ante la Corte que, aun cuando no cuenta con facultades de policía administrativa cuando la norma es vulnerada por una entidad de naturaleza pública, en todo caso, conserva frente a ellas las funciones señaladas en el artículo 21 de la Ley Estatutaria 1581 de 2012, razón por la cual, puede ordenarles, entre otras cosas, el acceso, la rectificación, actualización y supresión de los datos personales que esté tratando. La muestra de ello, de acuerdo con la información aportada por la Delegatura, es que la SIC ha impartido al menos 105 órdenes administrativas a entidades públicas nacionales, departamentales y municipales relacionadas con el deber de seguridad consagrado en la ley estatutaria. 59. A partir de lo anterior, es dado colegir que la reclamación ante el responsable o encargado del tratamiento, así como el subsiguiente procedimiento administrativo dispuesto ante la Delegatura de Protección de Datos Personales de la SIC, son mecanismos dotados de idoneidad y eficacia para la protección de los contenidos adscritos al derecho de habeas data. 60. No obstante, advierte la Sala que estos no son los únicos medios para conseguir tal cometido, pues la acción de tutela está instituida, en esencia, para la protección de los derechos fundamentales, entre ellos, el habeas data y las garantías de la misma raigambre que están estrechamente relacionadas con este (intimidad, buen nombre, entre otros). Por ello, en el examen del requisito de subsidiariedad, le corresponde al juez constitucional determinar cuándo el titular del dato debe acudir a uno u otro mecanismo. Para tal efecto, la Sala estima que al menos deben tenerse en consideración los siguientes postulados. (i) La presentación de la reclamación ante el responsable o encargado del tratamiento de datos, en los términos del artículo 15 y 16 de la Ley 1581 de 2012, es una condición sine qua non para que el titular del dato o su causahabiente pueda acudir ante la autoridad de protección de datos. Para la Corte es así, porque “no tiene sentido acudir al órgano de protección del dato para que active sus facultades de vigilancia, control y sanción, por señalar solo algunas, en relación con el responsable o encargado del dato, cuando éste ni siquiera conoce las pretensiones del titular y no ha tenido la oportunidad de decidir si le asiste o no razón”. (ii) Bajo esa misma lógica, la jurisprudencia constitucional ha extendido la aplicación del anterior requisito de procedibilidad al ejercicio de la acción de tutela. En concreto, ha determinado que “la solicitud, por parte del afectado, de la aclaración, corrección, rectificación o actualización [o supresión] del dato o de la información que se considera errónea, previa a la interposición del mecanismo de amparo constitucional, constituye un presupuesto general para el ejercicio de la acción de tutela.” (negrillas fuera del texto original). Si este no se acredita, se impone en consecuencia la declaratoria de improcedencia de dicha acción. (iii) Una vez se agota el requisito de la reclamación ante el responsable o encargado del tratamiento, el interesado puede acudir ante la Delegatura de Protección de Datos Personales de la SIC, autoridad especializada y competente para defender los contenidos del derecho de habeas data frente a las actuaciones de sujetos de derecho público y privado, por medio de la imposición de las medidas adecuadas para hacer efectiva dicha garantía. La configuración legal de este mecanismo, como quedó demostrado, no se limita al ejercicio de poder sancionador del Estado en contra de particulares. (iv) La Corte reconoció la validez constitucional de la reclamación ante el responsable o encargado, así como del posterior procedimiento ante la Delegatura, fundada en la capacidad de estos mecanismos para hacer efectivas las distintas facetas del derecho al habeas data. Lo anterior, sin desconocer que el interesado también puede acudir a la acción de tutela como mecanismo judicial de protección. En ese sentido, precisó que el carácter autónomo del derecho al habeas data comprende unas garantías diferenciables y directamente reclamables por medio de la acción de tutela, “sin perjuicio del principio de subsidiariedad que rige la procedencia de la acción”. (v) En estos términos, entiende la Sala que cuando se pretenda la protección del habeas data a través de la acción de tutela, el juez deberá examinar las circunstancias particulares del caso concreto, a fin de determinar si el accionante está en condiciones de agotar los mecanismos ordinarios de defensa o si, por el contrario, existen circunstancias excepcionales que justifican el ejercicio directo de la acción constitucional. Ello, con un doble propósito: (i) preservar la eficacia a los mecanismos creados por el Legislador estatuario (Ley 1581 de 2012), y avalados por la Corte Constitucional (sentencia C-748 de 2011); y (ii) asegurar el carácter subsidiario y residual de la acción de tutela (art. 86 constitucional). (vi) Por último, el artículo 86 de la Constitución Política, en consonancia con lo dispuesto en el artículo 6º del Decreto Ley 2591 de 1991, dispone que la acción de tutela no será procedente cuando existan otros medios de defensa judicial, salvo que exista evidencia de la configuración de un perjuicio irremediable. La aplicación aislada, irreflexiva y literal de estos preceptos normativos conduciría a pensar que la acción constitucional es el único medio dispuesto para la protección del derecho al habeas data, a pesar de que, como quedó demostrado en líneas anteriores, existen otros mecanismos que, sin perjuicio de que sean de naturaleza administrativa, son idóneos y eficaces en esta materia. Por ello, la Sala considera que, a fin de evitar que se vacié de contenido las competencias y el mecanismo administrativo previsto por el Legislador estatuario para la salvaguarda de los datos personales, el requisito de subsidiariedad de la acción de tutela debe interpretarse de manera sistemática con lo dispuesto en la Ley Estatutaria 1581 de 2012. (vii) Sin perjuicio de la idoneidad y eficacia de los mecanismos dispuestos en la Ley Estatutaria 1581 de 2012, de conformidad con el artículo 86 constitucional, la acción de tutela procede como mecanismo transitorio de amparo cuando se compruebe la existencia de un perjuicio irremediable, en los términos de la jurisprudencia constitucional. 61. Bajo estos parámetros, procede la Sala a examinar si la acción de tutela cumple con el presupuesto de subsidiariedad respecto de los tres hechos vulneradores y las respectivas pretensiones. La acción de tutela cumple con el requisito de subsidiariedad en relación con la presunta violación al habeas data, libertad de locomoción, unidad familiar y privacidad por la descarga y uso obligatorio de la aplicación CoronApp, y en efecto, las pretensiones encaminadas a cesar esa conducta 62. Las accionantes Juanita María Goebertus Estrada, Alejandra Martínez Hoyos y Sol Marina de la Rosa Flórez manifestaron que, en octubre del año 2020, funcionarios de los operadores aeroportuarios de las ciudades de Bogotá, Santa Marta, Bucaramanga y Medellín, invocando lo dispuesto en la Resolución No. 1517 de 2020, “por medio de la cual se dicta el protocolo de bioseguridad para el manejo y control del riesgo del coronavirus COVID-19 en los sectores aeroportuario y aeronáutico del territorio nacional, exclusivamente para el transporte doméstico de personas por vía aérea, se deroga la Resolución 1054 de 2020, y se dictan otras disposiciones”, y en su anexo técnico, les exigieron descargar y usar la aplicación CoronApp como condición para acceder al servicio de transporte aéreo. Aducen que, bajo la presión de perder sus respectivos vuelos, accedieron a lo solicitado, suministrando datos personales que consideran sensibles por relacionarse con su estado de salud, tránsito y destinos. En consecuencia, cuestionaron esta actuación a través de la acción de tutela por considerarla violatoria del derecho fundamental al habeas data, libertad de locomoción, unidad familiar y privacidad, y formularon varias pretensiones encaminadas a que las autoridades accionadas adoptaran las medidas necesarias para que esta situación no se repita. 63. Al respecto, el INS y la AND, para el momento de los hechos, responsable y encargado del tratamiento de los datos recolectados a través de la CoronApp, respectivamente, negaron la violación de los derechos invocados por las demandantes, fundados en la utilidad y beneficios que tiene esta herramienta para el manejo de los efectos a la salud pública derivados de la pandemia por Covid-19, y en el hecho de que los datos recolectados provienen de los usuarios que voluntariamente proporcionan la información, mas no de una imposición, tal y como lo indican los Términos y Condiciones de la aplicación. Por ello, enfatizaron en que ningún derecho puede estar sujeto que el ciudadano la instale en su dispositivo móvil. 64. A su turno, los operadores aeroportuarios accionados alegaron que no estaban legitimados en la causa por pasiva, pues sólo actuaron en cumplimiento de la regulación dispuesta por el Ministerio de Salud respecto a la prevención y control de riesgo de la Covid-19 en el sector aeroportuario y aeronáutico, en especial, de la Resolución 1517 de 2020, la cual consideran que impuso la obligación a los operadores de aeropuertos de verificar el diligenciamiento de la aplicación por parte de los viajeros. 65. Con relación a este cuestionamiento, el Juzgado Cuarenta y Tres Administrativo de Oralidad del Circuito de Bogotá D.C., fungiendo como primera instancia de tutela, afirmó que la acción constitucional no acredita el requisito de subsidiariedad, por cuanto “[la] interpretación que hacen los aeropuertos respecto de la obligatoriedad de la descarga de la aplicación CoronApp dispuesta en la Resolución 1517 de 2020,” puede ser ventilada ante la Jurisdicción de lo Contencioso Administrativo, a través de los medios de control previstos en la Ley 1437 de 2011. Así mismo, señaló que no existía evidencia de una violación a los derechos de libre locomoción y unidad familiar, sino que, al contrario, se trataba de limitaciones legítimas en el marco del Estado de Excepción decretado con ocasión de la pandemia COVID-19. 66. La Sala considera que la acción de tutela procede como mecanismo definitivo de protección en relación con la presunta violación del derecho al habeas data por la descarga y uso obligatorio de la aplicación CoronApp, debido a que las accionantes no disponen de otro medio de defensa judicial o administrativo para cuestionar la actuación de los operadores aeroportuarios y, en efecto, satisfacer las pretensiones encaminadas a que esto no se repita. Así lo concluye la Sala a partir de las siguientes razones. 67. En primer lugar, contrario a lo sostenido por el juez de tutela de primera instancia, los medios de control consagrados en el CPACA no son aptos para garantizar la protección del derecho al habeas data frente al hecho vulnerador expuesto por las accionantes en el escrito de tutela. En este se observa con claridad que ellas no pretenden controvertir la legalidad del acto administrativo de carácter general y abstracto por medio del cual el Ministerio de Salud estableció los protocolos de bioseguridad para la prestación del servicio de transporte aéreo de pasajeros, e incluyó las recomendaciones sobre el uso de la aplicación CoronApp. Por el contrario, con sujeción a lo expresamente estipulado en la Resolución No. 1517 de 2020, formularon su reproche en contra de los operadores aeroportuarios que, a su juicio, exigieron el uso de la aplicación como si se tratara de una obligación legal, pese a que la norma precitada establece que es voluntario. 68. En segundo lugar, el medio de control de nulidad (art. 137 CPACA) aplica a las hipótesis en las que se discute la legalidad del acto administrativo de carácter general, no a aquellas en las que, como en el caso en concreto, se pretende exigir a los sujetos demandados que garanticen la eficacia del derecho fundamental al habeas data, mediante la realización de diversas actuaciones, tales como (i) la publicación de aclaraciones sobre el carácter voluntario del uso de la aplicación CoronApp; (ii) la provisión de entrenamiento por parte de los operadores aeroportuarios a su personal para que no impongan como condición para el ingreso a los aeropuertos la descarga de la referida herramienta; y (iii) la modificación de la política de tratamientos de datos personales por parte del INS, en calidad de responsable del tratamiento de la información. Estas pretensiones, que tienen como propósito en común que la conducta vulneradora no se repita, desbordan el objeto del control de legalidad ante el juez administrativo y, en cambio, se ubican en una de las dimensiones del derecho fundamental al habeas data cuya protección puede decidirse a través de la acción de tutela. 69. Por otra parte, refuerza la procedencia formal de la solicitud de amparo en este asunto específico la falta de idoneidad de los medios de defensa establecidos en la Ley Estatutaria 1581 de 2012. Ello es así al menos por tres razones. Primera, los operadores aeroportuarios accionados, en estricto sentido, no son responsables o encargados del tratamiento de datos personales, por tanto, no son sujetos pasivos de la reclamación prevista en el artículo 15 del estatuto general de protección de datos personales. Segunda, para solucionar el problema de la descarga y uso de la aplicación como condición para acceder al servicio de transporte aéreo a nivel nacional, las accionantes buscan que se adopten medidas complejas que exceden el ámbito de competencia del procedimiento de reclamación mencionado. Tercera, el mecanismo administrativo dispuesto ante la SIC recae exclusivamente sobre los responsables y encargados de tratamientos de datos, en los términos de los artículos 22 y siguientes de la ley precitada. Así, entonces, no comprende las actuaciones realizadas por los operadores aeroportuarios cuestionadas por las demandantes en el caso en concreto. 70. Por último, la Sala observa que, en principio, a partir de lo establecido en el artículo 55 de la Ley 105 de 1993, podría argumentarse que las accionantes tenían la posibilidad de presentar una queja ante Aeronáutica Civil contra los operadores aeroportuarios por la presunta infracción o indebida ejecución de la Resolución No. 1517 de 2020, instrumento que regulaba las medidas de bioseguridad que se debían implementar en el sector aeronáutico, en especial, el uso de la aplicación CoronApp. Sin embargo, del examen detenido de la naturaleza y funciones de la Aerocivil y, sobre todo, del contexto en que ocurrieron los hechos (año 2020), se comprueba que la queja no era el medio idóneo y eficaz para salvaguardar los derechos fundamentales invocados por las tutelantes ni tampoco para lograr que cesara la presunta conducta vulneradora endilgada a los operadores aeroportuarios y autoridades públicas accionadas.Así lo verifica la Sala, primero, porque el objeto de dicho mecanismo no es la protección de garantías fundamentales, sino sancionar administrativamente al sujeto infractor, según el caso, con la imposición de una “amonestación, multa hasta por cinco mil (5.000) salarios mínimos mensuales, suspensión o cancelación de licencias, matrículas, registros; suspensión de la utilización de bienes o servicios; suspensión o cancelación de permisos o cualquier autorización expedida por esta autoridad”. Y, segundo, desde el punto de vista de la efectividad del mecanismo, difícilmente podría considerarse que este hubiese concluido con una sanción eficaz por haberse exigido el uso de la aplicación al ingreso de los aeropuertos, cuando se constató que la misma Aerocivil en sus redes sociales secundaba esa posición. 71. Por lo demás, las accionantes manifestaron que sus derechos a la libertad de locomoción y a la unidad familiar también fueron vulnerados, porque, a su juicio, las entidades accionadas les impusieron usar la aplicación CoronApp como si se tratara de una obligación adicional a los protocolos de bioseguridad para transitar por vía aérea. La Sala considera que esta actuación, en tanto involucra el contenido de garantías ius fudamentales y se trata de la misma que presuntamente causó la afectación al habeas data, no puede juzgarse en otro escenario distinto al de la acción de tutela. 72. Por último, la Sala concluye que la acción de tutela cumple con el requisito de subsidiariedad respecto de este primer asunto. No obstante, antes de proceder a su estudio de fondo, en el acápite correspondiente, se procederá a analizar si se configuró la carencia actual de objeto por hecho superado, teniendo en cuenta que, en el trámite de revisión, las accionantes, accionadas y terceros pusieron de presente un cambio sustancial en las circunstancias que dieron origen a la presentación de la acción. La acción de tutela no supera el requisito de subsidiariedad respecto de la solicitud de supresión de los datos personales recolectados a través de la aplicación CoronApp 73. Como consecuencia de la descarga y uso de la aplicación CoronApp, las accionantes manifestaron que se vieron compelidas a suministrar sus datos personales para ingresar a los respectivos aeropuertos y acceder al servicio de transporte aéreo. Esta situación la consideran violatoria de su derecho al habeas data, comoquiera que (i) no les dieron ninguna alternativa distinta para reportar el estado de salud; (ii) se recolectaron datos sensibles, los cuales no tienen certeza cómo serán utilizados, cuánto tiempo permanecerán almacenados, ni cómo serán anonimizados; y (iii) el tratamiento de datos desconoce el principio de libertad en el consentimiento del titular (art. 4, lit. c, Ley Estatutaria 1581 de 2012). 74. Por las anteriores razones, las accionantes le solicitaron directamente al juez constitucional que ordene al responsable del tratamiento de datos de la aplicación mencionada la eliminación o supresión de sus datos personales. Ellas decidieron no agotar la reclamación ante el responsable o encargado (art. 15, Ley Estatutaria 1581 de 2012), al considerar que, una vez eliminados sus datos, tendrían que volver a suministrarlos en sus próximos viajes aéreos. Tampoco acudieron al trámite ante la Delegatura de Protección de Datos Personales de la SIC, bajo el argumento de que no era un mecanismo idóneo para garantizar la protección de su derecho al habeas data. A su juicio, “las acciones de habeas data” contra autoridades públicas tienen “una vocación sancionatoria puramente disciplinaria”, porque las órdenes que imparte la Procuraduría General de la Nación, en los asuntos que le remite por competencia la SIC (parágrafo, art. 23, Ley Estatutaria 1581 de 2012), no apuntan a la protección de los datos personales, sino a la sanción disciplinaria del servidor público. 75. En contraste con lo anterior, la Subsección B, Sección Tercera del Tribunal Administrativo de Cundinamarca, en segunda instancia de tutela, consideró que la solicitud de amparo se torna improcedente, debido a que las accionantes no solicitaron la supresión de sus datos personales ante la AND, encargada del tratamiento de los datos recolectados a través de la CoronApp, ni tampoco acudieron ante la SIC, como autoridad de protección de datos personales. En consecuencia, desconocieron la jurisprudencia constitucional que, a partir de una lectura sistemática del numeral 6º, artículo 42 del Decreto 2591 de 1991, el artículo 15 de la Ley 1581 de 2012, y el artículo 15 de la Constitución Política, “ha establecido como presupuesto general para el ejercicio de la acción de tutela que el afectado haya solicitado la aclaración, corrección, rectificación, o actualización del dato o la información que considera errónea, previo a la interposición mecanismo de amparo provisional”. Por ello, y ante la ausencia de evidencia de un perjuicio irremediable, el tribunal confirmó el fallo de tutela de primera instancia que, a su vez, negó el amparo solicitado. 76. En sede de revisión ante la Corte, el magistrado sustanciador ofició a las accionantes para que informaran las razones por las cuales no presentaron la reclamación al INS y/o a la AND para obtener la supresión de los datos personales suministrados a través de la CoronApp. En respuesta, manifestaron: “[d]ecidimos elevar este pedido a través de la acción de tutela y no a través de un derecho de petición porque la redacción de la política de tratamiento de datos de CoronApp nos disu[a]dió por su vaguedad e imprecisión, inhibiéndonos de acudir a dicha vía (…)”. 77. Frente a lo anterior, la Sala considera que la solicitud de protección del derecho al habeas data mediante la supresión de los datos personales recolectados a través de la CoronApp, deviene improcedente por no superar el análisis de subsidiariedad. A continuación, se pasa a exponer los fundamentos de esta conclusión. 78. En primer lugar, como se explicó con antelación en el ordenamiento jurídico existe un mecanismo específico y escalonado para la protección de los datos personales, sin perjuicio de la acción de tutela. Consiste, en un primer paso, en la posibilidad del titular del dato o su causahabiente de elevar una reclamación ante el responsable o encargado del tratamiento, para que corrija, modifique, actualice o suprima la información contraria al régimen general de protección de habeas data (Ley Estatutaria 1581 de 2012). Si la solicitud no es atendida en el término legal prestablecido o se niega lo pedido, en un segundo paso, el interesado puede formular queja ante la Delegatura de Protección de Datos Personales de la SIC, a fin de que se pronuncie sobre el reclamo, no solo con fines sancionatorios, sino con el propósito de proteger los datos personales del afectado, por ejemplo, a través de una orden de supresión de la información. 79. Con base en lo anterior, y en virtud del carácter residual y subsidiario de la acción de tutela, la jurisprudencia constitucional ha determinado que la solicitud, por parte del afectado, de la supresión del dato o de la información que se considera violatoria del régimen general de protección de habeas data, previa a la interposición del mecanismo de amparo constitucional, constituye un presupuesto general para el ejercicio de la acción de tutela. Así lo ha determinado al revisar fallos que resuelven solicitudes de amparo interpuestas por ciudadanos contra autoridades públicas y entidades de naturaleza privada, con el fin de que se ampare su derecho al habeas data y, en consecuencia, se ordene a las accionadas la supresión o eliminación de su información almacenada en bases de datos, tal como se indica a continuación: Sentencia|Accionado (responsable/encargado tratamiento de datos)|¿Se presentó la reclamación (art. 15, LE 1581/12)?|Decisión| T-234 de 2021|Policía Nacional|No|Improcedente| T-509 de 2020|Fiscalía General de la Nación|Sí|Procedente| T-490 de 2018|Colegio PAE|Sí|Procedente| T-139 de 2017|Municipio de Murindó|No|Improcedente| 80. En el asunto bajo estudio, la Sala observa que las accionantes deliberadamente omitieron la presentación de la reclamación ante el INS, responsable del tratamiento de datos, y/o ante la AND, en calidad de encargada, bajo dos argumentos que carecen de sustento fáctico y jurídico. Primero, manifestaron que resultaba inocuo reclamar a las autoridades mencionadas la supresión de sus datos, porque, aun cuando accedieran a lo pedido, en sus próximos viajes aéreos deberían volver a entregar la información. Lo anterior, sobre la base de hipótesis de lo que aquellas podrían resolver, sin ni siquiera darles la oportunidad para que tuvieran conocimiento de los presuntos problemas con el proceso de recolección de datos y funcionalidades de la aplicación. Segundo, alegaron que la vaguedad de la política de tratamiento de datos de la CoronApp las disuadió de acudir ante el responsable o encargado para obtener la eliminación de sus datos; razonamiento que, en concepto de la Sala, resulta inválido si se tiene en cuenta que la misma Ley Estatutaria establece con claridad cuáles son los sujetos, el objeto, procedimiento y términos para dar trámite a ese tipo de reclamación (art. 15, Ley Estatutaria 1581 de 2012). Por tanto, es claro que respecto de esta pretensión de supresión de datos formulada por las accionantes Gobertus, Martínez y De la Rosa no se verifica el cumplimiento del requisito de subsidiariedad de la presente acción de tutela. 81. Adicionalmente, las accionantes también se rehusaron a solicitarle a la Delegatura de Protección de Datos Personales de la SIC que ordenara al INS o a la AND la supresión de sus datos personales, bajo la convicción errada de que no podía adoptar medidas de protección del derecho al habeas data en contra de autoridades públicas. Para la Sala esta consideración resulta alejada de la realidad, si se tiene en cuenta que, además de las funciones de policía administrativa en contra de los particulares (arts. 22 y 23), la Delegatura tiene a su cargo la obligación de velar por el cumplimiento de la legislación en materia de protección de datos personales y adelantar las investigaciones del caso, con el fin de adoptar las medidas que sean necesarias para que los responsables y/o encargados del tratamiento, con independencia de que sean sujetos de derecho público o privado, hagan efectivo el derecho de habeas data, por ejemplo, mediante la supresión de los datos (art. 21, Ley Estatutaria 1581 de 2012). El desconocimiento de lo anterior ocasionó que las accionantes pretermitieran un mecanismo idóneo y eficaz para reclamar las garantías que integran el derecho fundamental al habeas data. 82. Por último, observa esta Sala que tampoco se configura un perjuicio irremediable que habilite la intervención del juez constitucional, pues de los elementos recaudados en esta sede, no hay evidencia de que las múltiples preocupaciones expresadas por las accionantes sobre el proceso de tratamiento de los datos personales recolectados a través de la CoronApp se traduzcan en un menoscabo inminente, grave, urgente e impostergable sobre el derecho al habeas data. En efecto, la Sala no avizora que el almacenamiento de los datos personales suministrados por las accionantes genere o pueda generar un daño cierto sobre sus garantías fundamentales. Por tanto, el mecanismo constitucional de amparo no está llamado a prosperar ni siquiera de forma transitoria para la supresión de los datos personales. 83. Sobre la base de lo expuesto, la Sala constata que la acción de tutela es improcedente en relación con la pretensión de supresión de los datos personales formulada por las ciudadanas Goebertus, Martínez y De la Rosa. La solicitud de supresión de los datos personales solicitada por la periodista Claudia Julieta Duque no supera el requisito de subsidiariedad de la acción de tutela 84. La Sala observa que, en el caso de la periodista Claudia Julieta Duque, la interposición de la acción de tutela, en un primer momento, se fundamentó en la presunta amenaza que la descarga y uso de la aplicación CoronApp representaba para sus derechos al habeas data, a la unidad familiar, a la libertad de locomoción y a la privacidad. La accionante puso de presente su condición de víctima de interceptaciones ilegales por funcionarios del otrora DAS y, en ese sentido, manifestó su preocupación por el hecho de que, en sus próximos viajes laborales y personales, tuviera que “empeñar” sus datos personales sensibles, exponiéndola a posibles atentados en contra de su vida e integridad personal. En consecuencia, solicitó al juez constitucional que (i) decretara como medida provisional la suspensión del requisito de utilizar la aplicación referida en los viajes aéreos que realizaría en los siguientes días; y (ii) dispusiera lo necesario para que pudiera “viajar vía aérea a reunirse con sus padres, adultos de la tercera edad, sin que le sea exigido en ningún momento como condición de ingreso al aeropuerto o como requisito de viaje, la descarga y uso de la aplicación CoronApp”. 85. El juez de tutela de primera instancia, en el auto admisorio del día 30 de noviembre de 2020, entre otras cosas, resolvió negar la medida cautelar al considerar que no había evidencia de que “la descarga [de] la aplicación CoronApp ponga en riesgo la vida de la tutelante” y, por tanto, que esté expuesta a un perjuicio irremediable. La accionante, en escrito del día 2 de diciembre de 2020, insistió en que se accediera a lo pedido, debido a que compró tiquetes para transportarse vía aérea en el trayecto “A”-“X”-“A” a través de las aerolíneas Satena (ida) y Avianca (regreso), con fecha de partido para el día 6 de diciembre de esa anualidad. Sin embargo, el juez constitucional, en auto del día 4 del mismo mes y año, por la ausencia de pruebas que demostraran un perjuicio irremediable, resolvió no dar trámite a dicha solicitud. 86. Por las razones expuestas en líneas anteriores, la autoridad judicial de primera instancia de tutela negó el amparo solicitado por la señora Duque. Por esta razón, en conjunto con las otras accionantes, presentó escrito de impugnación en el que informó que, en el viaje del día 6 de diciembre de 2020, tuvo que suministrar sus datos personales a través de la CoronApp, situación por la cual ahora solicitaba al juez de tutela de segunda instancia que, entre otras cosas, revocará la decisión del a quo y ordenara a la INS la eliminación inmediata de su información, además de que le fuera notificada la realización exitosa de dicho procedimiento. Frente a esto, el tribunal de segunda instancia de tutela, confirmó la providencia recurrida fundado en los motivos antes mencionados. 87. En sede de revisión ante la Corte, mediante escrito del día 26 de octubre de 2021, la señora Duque, junto con las otras accionantes, confirmó que, pese a que sus datos personales habían sido recolectados desde diciembre del anterior año, no había solicitado la supresión de su información ante el responsable o encargado, por la presunta vaguedad e imprecisión de la política de tratamiento de datos de la aplicación CoronApp. 88. Del recuento de las anteriores circunstancias, la Sala advierte que el examen del requisito de subsidiariedad debe concentrarse en el petitum final de la señora Claudia Julieta Duque, esto es, en la solicitud directa ante el juez constitucional para que ordene al INS la supresión de sus datos personales. Por tanto, corresponde determinar si la accionante se encontraba o no en una circunstancia apremiante que le impidiera agotar la reclamación ante el responsable o encargado de la aplicación CoronApp, en los términos de la jurisprudencia constitucional y el artículo 15 de la Ley Estatutaria 1581 de 2012. 89. La Sala constata que la respuesta al anterior interrogante es negativa, por cuanto no existe evidencia de que los datos personales recolectados a través de la aplicación CoronApp tengan la potencialidad de incrementar el riesgo denunciado por la accionante ni materializar un perjuicio irremediable en contra de su vida e integridad personal. En el trámite de las instancias, y con ocasión de las pruebas decretadas en sede de revisión, la señora Duque demostró: (i) que la Corte Constitucional, en sentencia T-1037 de 2008, amparó sus derechos y ordenó al Ministerio del Interior y de Justicia implementar las medidas de seguridad necesarias para salvaguardar la vida e integridad física, ordenando también al DAS que le permitiera acceso a la información que sobre ella reposara en la entidad; (ii) que la CIDH, el día 23 de noviembre del año 2009, decretó medidas cautelares ante las amenazas y hostigamientos en su contra, solicitando al Gobierno de Colombia que adopte las medidas necesarias para garantizar la vida y la integridad física, y que informe sobre las acciones adoptadas a fin de investigar los hechos que dieron lugar a la adopción de medidas cautelares (MC-339-09); (iii) que, en sentencia de 26 de marzo de 2020, el Tribunal Administrativo de Cundinamarca, Sección Tercera, Subsección C, entre otras cosas, declaró la responsabilidad extracontractual del DAS, por el daño antijurídico ocasionado a la señora Duque por cuenta de interceptaciones ilegales; (iv) que el 13 de marzo de 2020, la accionante rindió declaración juramentada ante la Fiscalía General de la Nación en la que denunció persecuciones en su contra por parte de ex funcionarios del DAS, ahora vinculados a la UNP; y (v) que el 25 de octubre de 2021, la FLIP solicitó a la UNP que, entre otras cosas, retire el GPS instalado en el vehículo de la accionante o se le asigne uno nuevo que no cuente con esta tecnología, por la presunta recolección masiva y sin autorización de sus registros de movilidad. 90. Aunque la accionante denunció falencias en el diseño de la aplicación CoronApp y en el proceso de tratamiento de los datos personales (incluido el almacenamiento), la información reportada por el INS y la AND, así como el informe rendido por la SIC, descartan que hubiera existido fallas de seguridad, o que se hubieran presentado quejas por transferencias indebidas de información o acceso no autorizado a la misma. Por lo cual, de los anteriores elementos de prueba allegados al proceso, la Sala no pudo constatar que exista un riesgo actual que sea imputable al tratamiento de datos por parte de las entidades accionadas. En efecto, no hay prueba de que la información de los trayectos aéreos la hubiera convertido en blanco de más interceptaciones o que hubiera sido utilizada con el propósito de atentar contra su vida. 91. Por lo anterior, la Sala estima que el agotamiento de la reclamación ante el INS o AND, a fin de que estudien la posibilidad de suprimir los datos personales, no es una carga irrazonable que desconozca la difícil situación a la que se ha visto enfrentada la accionante por cuenta del ejercicio de su profesión. Por el contrario, la estipulación de etapas claras y tiempos breves para que el encargado o responsable de la administración de los datos personales resuelva la solicitud de eliminación de la información, e incluso la posibilidad de que ante el silencio de aquellos se pueda poner en conocimiento el problema ante la autoridad de protección de datos personales de la SIC, son factores que le otorgan garantías a la señora Duque, para que, como titular del dato, pueda hacer efectivo su derecho al habeas data. 92. Sobre la base de las razones expuestas, la Sala concluye que, como consecuencia de que la accionante no ha presentado la reclamación de la supresión de los datos personales ante el responsable o encargado de la administración de la aplicación CoronApp, la acción de tutela es improcedente por no cumplir con el presupuesto formal de procedencia fijado por la jurisprudencia constitucional, en concordancia con lo estipulado en el artículo 15 de la Ley 1581 de 2012. 93. Es de precisar que con esta decisión respecto de la improcedencia, esta Sala no pretende desconocer los hechos que, en su momento, victimizaron a la accionante, pues desde el ordenamiento jurídico nacional e internacional se ha repudiado categóricamente las interceptaciones ilegales, perfilamientos o persecuciones en contra de periodistas, y se ha avanzado en el estándar de protección de sus derechos, así como en su reivindicación. Tampoco lo decidido en esta oportunidad tiene la virtualidad de incidir en las investigaciones que estén adelantando las autoridades penales y disciplinarias por las denuncias presentadas por la accionante. En cambio, con el presente proveído, la Sala únicamente busca asegurar la eficacia del principio de subsidiariedad de la acción de tutela y no caer en una falacia de generalización que deslegitime, en abstracto, los mecanismos diseñados por el Legislador Estatutario para la defensa del derecho fundamental al habeas data. 94. Analizado en los anteriores términos el requisito de subsidiariedad de la acción de tutela, respecto de las tres materias y pretensiones formuladas por las accionantes, la Sala procede a formular el problema jurídico con relación al tema que superó el examen de procedencia formal y, enseguida, determinar si el cambio de circunstancias configura una carencia actual de objeto. D. PLANTEAMIENTO DEL PROBLEMA JURÍDICO, MÉTODO Y ESTRUCTURA DE LA DECISIÓN 95. Acorde con los fundamentos fácticos expuestos en la Sección I anterior de esta providencia, le corresponde a la Sala determinar si los operadores aeroportuarios accionados vulneraron el derecho al habeas data, libertad de locomoción, unidad familiar y privacidad de las accionantes al exigirles la descarga y uso de la aplicación CoronApp como condición para ingresar a los aeropuertos y acceder al servicio de transporte aéreo, pese a que la regulación vigente en el momento de los hechos establecía que el uso de esta herramienta era voluntario. 96. Antes de entrar a analizar de fondo el problema jurídico planteado, la Sala procederá a evaluar si en el presente caso se configura o no la carencia actual de objeto frente a las pretensiones de las tutelantes. Esto, teniendo en cuenta que, a partir de las pruebas allegadas en sede de revisión, se pudo constatar una variación sustancial de los hechos que haría caer en el vacío el objeto de la presente solicitud de amparo. En concreto, las accionantes, el Ministerio de Salud, Aeropuertos de Oriente S.A.S., las organizaciones Dejusticia, Defence, Karisma y el GAP informaron que la Resolución No.1517 de 2020 fue derogada por la Resolución No. 777 de 2 de junio de 2021, por medio de la cual se eliminó de los protocolos de bioseguridad el uso de la CoronApp para ingresar a los aeropuertos nacionales y acceder al servicio de transporte aéreo. 97. Por lo anterior, la Sala entrará a estudiar la figura de la carencia actual de objeto, para luego determinar si la misma se configuró o no en el caso concreto. E. CARENCIA ACTUAL DE OBJETO – MODALIDADES. REITERACIÓN DE JURISPRUDENCIA 98. En el curso de la acción de tutela, puede darse la eventualidad de que, al momento de proferir sentencia, el objeto jurídico de la acción haya desaparecido, ya sea porque se obtuvo lo pedido, se consumó la afectación que pretendía evitarse, o porque ocurrieron hechos a partir de los cuales se pierde interés en la prosperidad del amparo. En consecuencia, este tribunal ha reconocido que, en determinados casos, cualquier orden que pudiera emitirse al respecto “caería en el vacío” o “no tendría efecto alguno”. Esta figura, se ha conocido en la jurisprudencia como carencia actual de objeto, y puede darse en tres escenarios: (i) el hecho superado, (ii) el daño consumado y (iii) la situación sobreviniente. 99. La primera modalidad de la carencia actual de objeto, conocida como el hecho superado, se encuentra regulada en el artículo 26 del Decreto 2591 de 1991, y consiste en que, entre la interposición de la acción de tutela, y el momento en que el juez profiere el fallo, se satisfacen íntegramente las pretensiones planteadas, por hechos atribuibles a la entidad accionada. De esta forma, pronunciarse sobre lo solicitado carecería de sentido, por cuanto no podría ordenarse a la entidad accionada a hacer lo que ya hizo, o abstenerse de realizar la conducta que ya cesó, por su propia voluntad. En este caso, es facultativo del juez emitir un pronunciamiento de fondo, y realizar un análisis sobre la vulneración de los derechos. De esta manera, la satisfacción de lo inicialmente pedido no obsta para que (i) de considerarlo necesario, se pueda realizar un análisis de fondo, para efectos de avanzar en la comprensión de un derecho fundamental, realizar un llamado de atención a la parte concernida por la falta de conformidad constitucional de su conducta, conminarla a su no repetición o condenar su ocurrencia; o (ii) que en virtud de sus facultades ultra y extra petita, encuentre que, a pesar de la modificación en los hechos, ha surgido una nueva vulneración de derechos, motivo por el cual, debe amparar las garantías fundamentales a que haya lugar. 100. De esta manera, para que se configure la carencia actual de objeto por hecho superado, deben acreditarse tres requisitos, a saber: (i) que ocurra una variación en los hechos que originaron la acción; (ii) que dicha variación implique una satisfacción íntegra de las pretensiones de la demanda; y (iii) que ello se deba a una conducta asumida por la parte demandada, de tal forma que pueda afirmarse que la vulneración cesó, por un hecho imputable a su voluntad. Así, esta Corte ha procedido a declarar la existencia de un hecho superado, por ejemplo, en casos en los que las entidades accionadas han reconocido las prestaciones solicitadas, el suministro de los servicios en salud requeridos, o dado trámite a las solicitudes formuladas, antes de que el juez constitucional o alguna otra autoridad emitiera una orden en uno u otro sentido. 101. Por su parte, el daño consumado se configura cuando, entre el momento de presentación de la acción de tutela y el pronunciamiento por parte del juez, ocurre el daño que se pretendía evitar. De esta manera, cualquier orden que pudiera dar el juez sobre las pretensiones planteadas, también “caería en el vacío”, en tanto el objeto mismo de la tutela, que es lograr la protección inmediata y actual de los derechos fundamentales, ya no podría materializarse debido a la consumación del aludido perjuicio. Sobre este escenario, la Corte ha precisado que al no ser posible hacer cesar la vulneración, ni impedir que se concrete el peligro, lo único que procede es el resarcimiento del daño causado, no siendo la tutela, en principio, el medio adecuado para obtener dicha reparación. 102. De esta manera, la Corte ha precisado que esta figura amerita dos aclaraciones: (i) si al momento de interposición de la acción de tutela es claro que el daño ya se había generado, el juez debe declarar improcedente el amparo. Por su parte, si este se configura en el curso del proceso, el juez puede emitir órdenes para proteger la dimensión objetiva del derecho, evitar repeticiones o identificar a los responsables; y (ii) el daño causado debe ser irreversible, por lo cual, si el perjuicio es susceptible de ser interrumpido, retrotraído o mitigado a través de una orden judicial, no se puede declarar la carencia actual de objeto. 103. En su jurisprudencia, esta Corte ha procedido a declarar el daño consumado, por ejemplo, en casos en los que tras la muerte del peticionario, no es posible restablecer la vulneración de su derecho a la salud, o se comprobó la dilación injustificada en resolver de forma oportuna las solicitudes de servicios en salud por él planteadas, y cuando se ha cumplido el término de la sanción impuesta por medio de un acto administrativo, a pesar de que haya sido posible establecer con posterioridad que el mismo fue expedido con vulneración del debido proceso. 104. Así, para que se configure el fenómeno del daño consumado, debe acreditarse que (i) ocurra una variación en los hechos que originaron la acción; (ii) que la misma derive en una afectación al peticionario; (iii) que esa afectación sea resultado de la acción u omisión atribuible a la parte accionada que motivó la interposición de la acción; y (iv) que, como consecuencia de ello, ya no sea posible al juez acceder a lo solicitado. 105. Finalmente, la situación sobreviniente se configura en aquellos casos en los que, entre la interposición de la acción y el momento del fallo, ocurre una variación en los hechos, de tal forma que (i) el accionante asumió una carga que no debía asumir; (ii) a raíz de dicha situación, perdió interés en el resultado del proceso; o (iii) las pretensiones son imposibles de llevar a cabo. En este escenario, a diferencia del hecho superado, la presunta vulneración de los derechos no cesa por una actuación inicialmente atribuible a la entidad accionada, sino por circunstancias sobrevinientes en el curso del proceso. 106. La Corte ha aplicado esta figura, por ejemplo, en aquellos casos en los que ya no es posible acceder a lo solicitado, porque (i) la vulneración cesó en cumplimiento de una orden judicial; (ii) la situación del accionante cambió, de tal forma que ya no requiere lo que había solicitado inicialmente, por ejemplo, por haber asumido una carga que no debía; y (iii) se reconoció un derecho a favor del demandante, que hizo que perdiera su interés en el reconocimiento de lo que solicitaba en la tutela. En estos casos, esta corporación concluyó que las situaciones de los accionantes no encajaban en el supuesto de hecho superado, ni daño consumado, toda vez que aquellos ya habían perdido cualquier interés en la prosperidad de sus pretensiones, pero por hechos que no podían atribuirse al obrar diligente y oportuno de las entidades demandadas. 107. No obstante, ha precisado esta Sala que “El hecho sobreviniente remite a cualquier “otra circunstancia que determine que, igualmente, la orden del juez de tutela relativa a lo solicitado en la demanda de amparo no surta ningún efecto y por lo tanto caiga en el vacío”, por lo que esta no es una categoría homogénea y completamente delimitada, razón por la cual, sería equivocado basar la validez de la aplicación de este supuesto, en que haya sido previamente aplicado en la jurisprudencia. 108. La Sala Plena ha destacado la importancia de este concepto para definir aquellas situaciones frente a las que no había claridad en anteriores pronunciamientos, por no ser asimilables a las definiciones del hecho superado ni el daño consumado. 109. Así, para que se configure la situación sobreviniente, es necesario que (i) ocurra una variación en los hechos que originaron la tutela; (ii) que dicha variación implique la pérdida de interés del accionante en que se acceda a sus pretensiones, o que estas no se puedan llevar a cabo; y (iii) que la alteración en los hechos no sea atribuible a una conducta voluntariamente asumida por la parte accionada. 110. De conformidad con lo expuesto, en caso de que, al momento de proferir el fallo, el juez observe una variación en los hechos que implique la configuración de alguno de los escenarios anteriores, corresponde a este declarar la carencia actual de objeto, ya que cualquier orden que pudiera impartirse sobre lo solicitado sería “inocua” o “caería en el vacío”. F. SOLUCIÓN DEL CASO CONCRETO. CONFIGURACIÓN DE CARENCIA ACTUAL DE OBJETO POR HECHO SUPERADO 111. A partir de un análisis detallado del material probatorio que reposa en el expediente y en aplicación de la jurisprudencia constitucional decantada, la Sala constata que, en el presente caso, se configura una carencia actual de objeto por hecho superado respecto de la presunta violación de los derechos fundamentales al habeas data, libertad de locomoción y unidad familiar por la descarga y uso de la aplicación CoronApp, y en consecuencia, de las pretensiones encaminadas a que dicha situación no se repita. 112. En el contexto de la pandemia del Covid-19, el Gobierno Nacional, mediante el Decreto-Ley 539 de 2020, dispuso que, durante el término de la emergencia sanitaria el Ministerio de Salud sería “la entidad encargada de determinar y expedir los protocolos que sobre bioseguridad se requieran para todas las actividades económicas, sociales y sectores de la administración pública (…)”. En la marcha de la mencionada situación, el Presidente de la República, estableció, a través del Decreto 1168 de 2020, el “aislamiento selectivo y distanciamiento individual responsable” en el que se prohibió habilitar eventos de carácter público o privado que implicaran aglomeración de personas, bares, discotecas, lugares de baile y consumo de bebidas embriagantes en espacios públicos y establecimientos de comercio. En ese sentido, “al no encontrarse restricciones diferentes a las señaladas (…), las demás actividades que se desarroll[aran] en el territorio nacional esta[ban] permitidas siempre y cuando se sujet[aran] al cumplimiento de los protocolos de bioseguridad que establec[iera]” el Ministerio de Salud. 113. Por lo anterior y, “dada la importancia comercial para el país que implica[ba] la entrada en funcionamiento de los aeropuertos nacionales”, el Ministerio de Salud, mediante la Resolución No. 1517 del 1° de septiembre de 2020, expidió el protocolo de bioseguridad para los sectores aeroportuario y aeronáutico del territorio nacional que contempló en su anexo técnico respecto a la descarga y uso de la aplicación CoronApp lo siguiente: a) Para los operadores de los aeropuertos medidas de bioseguridad generales de “Recomendar a todos los pasajeros y todo el personal que ingrese al aeropuerto, instalar en sus celulares o dispositivos la aplicación CoronApp-Colombia (…)” y, medidas de control de acceso al aeropuerto de pasajeros de “Verificar el diligenciamiento de la encuestaste de viaje dispuesta para el seguimiento del viaje en la aplicación CoronApp-Colombia, o la que se estipule por parte del Ministerio de Salud (…) por parte de viajeros.”; b) Para las aerolíneas y explotadores de aeronaves medidas de bioseguridad generales de recomendar “a los pasajeros instalar en sus celulares o dispositivos móviles la aplicación CoronApp-Colombia, o la que se estipule por parte del Ministerio de Salud”, al realizar el check-in electrónico o presencial; c) Para los pasajeros o viajeros “Instalar en sus celulares o dispositivos móviles la aplicación CoronApp-Colombia o la que se estipule por parte del Ministerio de Salud y Protección Social y diligenciar la información solicitada en esta cuando sea necesario y por lo menos una vez al día.”, y “Reportar su estado de salud a la EAPB, a la entidad territorial de salud de donde sea su residencia o donde se encuentre de viaje, a la aerolínea y en la aplicación CoronApp – Colombia o la que se estipule por parte del Ministerio de Salud (…), si durante los 14 días posteriores a su vuelo presenta síntomas que coincidan con COVID-19”. 114. En el presente caso, las accionantes consideraron vulnerados sus derechos fundamentales a la privacidad, habeas data, libertad de locomoción y unidad familiar, en razón a que, los operadores aeroportuarios, invocando lo dispuesto en la Resolución No. 1517 de 2020, les exigieron descargar y usar la aplicación CoronApp como condición para ingresar a los diferentes aeropuertos. Por ello, preocupadas de que fueran sometidas al mismo requisito en sus futuros viajes, entre otras cosas, le solicitaron al juez constitucional: “Primero. Ordenar al Ministerio de Salud y Protección Social y a la Aerocivil a aclarar por los medios que sean necesarios y especialmente a las aerolíneas y todas las autoridades, operadores y aerolíneas que operan el servicio de transporte aéreo nacional, que no se puede obligar a personas que viajan a nivel nacional a descargar y usar la aplicación CoronApp y que su no descarga no puede significar un obstáculo o impedimento para ingresar a las instalaciones aeroportuarias del país y que el contenido de la Resolución 1517 de 2020 debe ser respetado en el sentido en que insiste en recomendar o sugerir su uso, por lo que las personas no están obligadas a ello. En caso de que se estime oportuna la captura de datos para efectuar la notificación a pasajeros posiblemente expuestos al covid-19 y que vuelan con destinos a nivel nacional, se prevea por Su Señoría la necesidad de que se trate de la mínima cantidad de información útil para tal fin, con alternativas de registro por medios digitales y analógicos sin que su provisión constituya en todo caso una condición para el derecho a la libre locomoción en aeropuertos nacionales. Segundo. Ordenar a la concesionaria OPAIN S.A. (operadora del aeropuerto El Dorado de Bogotá), la concesionaria Aeropuertos de Oriente (operadora del aeropuerto de Santa Marta y del aeropuerto de Bucaramanga) y Airplan (operadora del Aeropuerto José María Córdova), proveer entrenamiento a su personal para que de ninguna manera se pueda obligar nuevamente a pasajeros que viajan a nivel nacional a descargar y usar la aplicación CoronApp, y que dichas entidades aclaren que su no uso o descarga puede servir de manera alguna como una razón para impedir o negar el ingreso de pasajeros a las instalaciones aeroportuarias del país. (...) Cuarto. Se ordene al Instituto Nacional de Salud incluir en su política de tratamiento de datos la prohibición que tienen las autoridades públicas de exigir la descarga y uso de CoronApp como condición para volar a nivel nacional.” 115. Para sustentar sus pretensiones, las accionantes anexaron pruebas de que la Aerocivil y los operadores aeroportuarios “ha[bían] hecho públicos en sus propias páginas web [y redes sociales] (…) la obligatoriedad de CoronApp”. En concreto, (i) se refirieron a los tuits publicados en el perfil de la Aerocivil entre el 1º de octubre y 20 de noviembre de 2020 en los que informaba que “todos los pasajeros y personal aeroportuario que transiten las terminales aéreas, deberán tener instalada en su celular la aplicación #CoronApp”; (ii) aportaron fotografías de los carteles a las afueras de las instalaciones del operador aeroportuario de la ciudad de Bogotá, información publicada en la página web y en el perfil de Twitter entre el 22 de octubre y 25 de noviembre de 2020; y (iii) remitieron información divulgada en la página web y perfil de Twitter del Aeropuerto José María Córdova entre el 29 de septiembre y 13 de noviembre de 2020. 116. Las entidades accionadas se opusieron a la prosperidad del amparo, bajo el argumento de que no habían desplegado ninguna conducta violatoria de los derechos fundamentales invocados. En síntesis, el Ministerio de Salud manifestó su falta de legitimación en la causa por pasiva, debido a que, la implementación de la aplicación CoronApp estaba en cabeza del INS en coordinación con la AND y, agregó que, cada “institución es autónoma frente a la creación y diseño de sus planes y protocoles en materia de bioseguridad. Por lo cual, sus estrategias deben guardar estrecha relación y congruencia con los lineamientos y disposiciones emitidas por parte de nuestra Institución”. A su turno, el INS solicitó negar las pretensiones de las accionantes, al mencionar que la política de tratamiento de datos de CoronApp era clara en señalar el uso voluntario de la misma, así como que, “el ciudadano será libre de descargar, utilizar o desinstalar esta aplicación (…)”. 117. Por otra parte, la Aerocivil solicitó su desvinculación del proceso, al considerar que fueron los operadores aeroportuarios quienes exigieron la descarga y uso de la aplicación CoronApp como condición para ingresar a los aeropuertos. Frente a esto, OPAIN S.A., Aeropuertos de Oriente S.A.S. y Airplan S.A.S. alegaron que carecían de falta de legitimación en la causa por pasiva, porque, a su juicio, se limitaron a dar cumplimiento a la obligación de verificación del diligenciamiento de la aplicación, en los términos estipulados en la Resolución No. 1517 de 2020. 118. Con relación a la anterior controversia, en sede de revisión ante la Corte, las accionantes; el DAPRE, en intervención conjunta con el Ministerio de Salud; y las organizaciones Dejusticia, Defence, Karisma y el GAP, mediante escritos de amicus curiae, pusieron de presente a la Sala los cambios de reglamentación en los protocolos de bioseguridad para el sector aeroportuario y la prestación del servicio de transporte aéreo. En ese sentido, informaron que la Resolución No. 1517 de 2020 fue derogada por la Resolución No. 411 del 29 de marzo de 2021, la cual a su vez fue reemplazada por la Resolución No. 777 del 2 de junio 2021, por medio de la cual se eliminó de las medidas de bioseguridad lo relacionado con la descarga y uso de la aplicación CoronApp. 119. De igual forma, el INS, en respuesta conjunta con AND, las accionantes y el Ministerio de Salud informaron a la Sala que, mediante contrato interadministrativo de cesión total de derechos patrimoniales de autor de la obra CoronApp, celebrado el 1° de octubre de 2021, el INS cedió la aplicación al Ministerio mencionado, a fin de que, entre otras cosas, asumiera la responsabilidad del tratamiento de los datos personales a través de dicha aplicación. Además, indicaron que esta herramienta tecnológica ahora se denomina MinSalud Digital, la cual tiene una nueva finalidad y política de privacidad y protección de datos a cargo del Ministerio de Salud. 120. Frente a la modificación sustancial en las circunstancias que dieron lugar a la interposición de la acción constitucional, Aeropuertos de Oriente S.A.S., el DAPRE, en intervención conjunta con el Ministerio de Salud, y la organización Karisma sugirieron que, en el presente asunto, existía una carencia actual de objeto por hecho superado, teniendo en cuenta que con la expedición de la Resolución No. 777 de 2021 se eliminó de los protocolos de bioseguridad la exigencia de la descarga y uso de la aplicación CoronApp para utilizar el transporte aéreo. Al respecto, a continuación se resumen las intervenciones en el presente expediente, en las cuales se solicita la configuración de una carencia actual de objeto: Autoridad pública o Entidad privada|Pretensión inicial frente a la que se configuró la carencia actual de objeto por hecho superado por la expedición de la Resolución No. 777 de 2021| DAPRE y Ministerio de Salud|Pretensiones: primera, segunda, cuarta y quinta.| Aeropuertos de Oriente S.A.S.|Pretensión: segunda.| Karisma|Pretensión: primera, segunda y quinta.| 121. Por otra parte, las accionantes y el GAP manifestaron que, en el caso concreto, debía ser descartada la configuración de una carencia actual de objeto por hecho superado, a pesar de la emisión de la Resolución 777 de 2021, debido a que: (i) durante 11 meses (27 de junio de 2020 al 2 de junio de 2021) la entrega de los datos a la aplicación CoronApp fue obligatoria, además que, (ii) nada descarta que, frente a nuevas y más agresivas variantes del Covid-19, las autoridades impongan la obligación de la descarga y uso de la aplicación para fortalecer los controles a la movilidad humana o la posibilidad de cambiar la política sobre el uso de la misma, generando confusión y nuevos escenarios de vulneración de derechos. 122. A partir de todos los elementos de juicio y material probatorio recaudado en el trámite del proceso, y conforme con lo expuesto en la Sección II.E de esta sentencia, la Sala constata la configuración de una carencia actual de objeto por hecho superado, en los términos señalados por la jurisprudencia constitucional. Primero, la Resolución No. 777 de 2021 no añadió en su anexo técnico medidas de bioseguridad relacionadas con el diligenciamiento de la aplicación CoronApp, razón por la cual, actualmente, las autoridades en materia de salud y los operadores aeroportuarios no están exigiendo a los pasajeros que descarguen y utilicen esta herramienta como una condición para ingresar a los aeropuertos y acceder al servicio de transporte aéreo. Esto constituye una variación sustancial en los hechos inicialmente expuestos en la tutela. Segundo, como consecuencia de lo anterior, se verifica la satisfacción del grupo de pretensiones dirigidas a aclarar a diferentes entidades y brindar entrenamiento al personal de los operadores aeroportuarios acerca de la descarga y uso voluntario de la aplicación. Tercero, la posibilidad de que las accionantes y, en general, los usuarios del servicio de transporte aéreo no tengan que utilizar la aplicación CoronApp para ingresar a los aeropuertos y viajar a través de las distintas aerolíneas dentro del territorio nacional, es un hecho atribuible a una conducta voluntariamente asumida por el Ministerio de Salud, demandado a través de la presente acción de tutela. 123. La Sala observa que sigue la misma suerte de lo anterior la pretensión que busca ordenar al INS incluir en su política de tratamiento de datos la prohibición para las autoridades públicas de exigir la descarga y uso de la aplicación como condición para volar a nivel nacional (pretensión: cuarta. Ver supra, numeral 114). En efecto, con la expedición de la Resolución No. 777 de 2021 hubo una variación sustancial de la situación fáctica en el caso concreto, dado que, no se está exigiendo la descarga y uso de la CoronApp como una medida de bioseguridad en los aeropuertos, sumado a que, la aplicación cambió de nombre, responsable, política y finalidad. Esto, conlleva a que la pretensión mencionada no se pueda hacer efectiva, debido a que, el Ministerio de Salud, entidad diferente al INS, derogó la reglamentación anterior emitiendo nuevos protocolos, dentro de los cuales no se encuentra como directriz la descarga y uso de la CoronApp para utilizar el transporte aéreo nacional. En consecuencia, también opera el fenómeno de la carencia actual de objeto por hecho superado respecto de esta pretensión. 124. Por lo anterior, la Sala descarta la validez de los argumentos presentados por las accionantes y el GAP sobre la inexistencia de una configuración de carencia actual de objeto por hecho superado en el caso concreto (ver supra, numeral 121), pues no es posible ordenar a las accionadas que se abstengan de realizar una conducta que ya cesó por su propia voluntad al expedir y cumplir una nueva reglamentación, sumado a que, la aplicación CoronApp ahora es llamada MinSalud Digital, la cual cuenta con una nueva finalidad y política en cabeza del Ministerio de Salud. 125. Sobre la base de las razones expuestas, concluye la Sala que, en el caso concreto, la conducta que generaba la vulneración de los derechos invocados por las accionantes se modificó completamente en el curso de la revisión del expediente por la Sala Tercera de Revisión. Es así como, actualmente, las accionantes pueden ingresar a los aeropuertos y acceder al servicio de transporte aéreo sin la necesidad de descargar y usar la otrora aplicación CoronApp. Por lo tanto, al constatar que una eventual orden de amparo no tendría efecto alguno sobre la situación de las tutelantes, en la parte resolutiva de esta providencia, la Sala declarará la carencia actual de objeto por la configuración del fenómeno de hecho superado. Consideraciones finales i. Respecto del derecho fundamental al habeas data en el contexto del Estado de Emergencia Económica, Social y Ecológica por la pandemia de la Covid-19 126. La Sala llama la atención sobre la necesidad de asegurar la eficacia del derecho fundamental del habeas data en el contexto del Estado de Emergencia Económica, Social y Ecológica decretado con ocasión de la pandemia de la Covid-19. Recuérdese que la controversia constitucional objeto de estudio giró alrededor de la descarga y uso de la aplicación CoronApp, la cual fue diseñada como una herramienta de información que sirviera para orientar las medidas generales de bioseguridad que debía adoptar los sectores aeroportuario y aeronáutico del territorio nacional, con el fin de disminuir el riesgo de transmisión del virus durante el desarrollo de las actividades relacionadas con el transporte aéreo de personas. 127. El habeas data es un derecho fundamental autónomo contenido en el artículo 15 de la Constitución Política, definido como la garantía de las personas al “acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos (…)” y aplicado a bases de datos personales, tanto de carácter público como privado. 128. En desarrollo del anterior postulado, y producto de una tarea de sistematización de lo dispuesto por la jurisprudencia constitucional en la materia, la Ley Estatutaria 1581 de 2012, en su artículo 4º, “establece los principios a los que está sujeto cualquier tipo de tratamiento de datos en Colombia”. En concreto, consagra los principios de (i) legalidad, (ii) finalidad, (iii) libertad, (iv) veracidad o calidad, (v) transparencia, (vi) acceso y circulación restringida, (vii) seguridad y (viii) confidencialidad, los cuales son “oponibles a todos los sujetos involucrados en el tratamiento del dato, entiéndase en la recolección, circulación, uso, almacenamiento, supresión, etc., sin importar la denominación que los sujetos adquieran (…)”. 129. Tales principios, de conformidad con la jurisprudencia de esta corporación, “buscan impedir el uso abusivo y arbitrario de la facultad informática (…) [y] (…) deben ser interpretados en concordancia con el segundo inciso del artículo 15 de la Carta, que establece que ‘[e]n la recolección, tratamiento y circulación de los datos se respetarán la libertad y demás garantías consagradas en la Constitución.’”. Estos son “una clasificación especial de principios que no incluye la totalidad de los principios predicables de la administración de datos y que han sido desarrollados tanto por la jurisprudencia de esta Corporación, como por las normas internacionales sobre la materia”. Por ello, además de los expresamente previstos en el artículo 4 de la Ley precitada, desde el año 1994, por vía jurisprudencial se han incorporado al proceso de administración de datos los principios de necesidad; integridad; incorporación; utilidad; caducidad; individualidad; temporalidad; entre otros. 130. El marco axiológico anotado define entonces, en gran medida, el contenido y núcleo esencial del derecho al habeas data, el cual, de acuerdo con la jurisprudencia reiterada de la Corte, está “integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica. La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Las autoridades estatales y los particulares están llamados a garantizar los principios y núcleo esencial del habeas data mediante la aplicación de los preceptos constitucionales, estatutarios y jurisprudenciales que lo regulan. 131. La restricción a cualquiera de los principios que integran el habeas data, como por ejemplo el principio de libertad según el cual “el tratamiento [de datos personales] sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular”, debe ser excepcional y legalmente fundamentada, incluso en Estados de Emergencia Económica, Social y Ecológica. Así lo ha dispuesto expresamente el Legislador Estatutario al menos en dos cuerpos normativos. 132. El primero, mediante la Ley Estatutaria 137 de 1994-, al establecer que en caso de que sea necesario limitar en el marco de un Estado de Excepción el ejercicio de algún derecho no intangible (entiéndase alguno diferente a los referidos en el artículo 4 de dicha ley), “no se podrá afectar su núcleo esencial y se deberán establecer garantías y controles para su ejercicio.” (art. 6º). El segundo, con la Ley Estatutaria 1581 de 2012, al fijar las excepciones al principio de libertad -consentimiento o autorización del titular del dato-. Específicamente, el artículo 10 de dicha ley establece que, entre otros casos, no es necesaria la autorización del titular de los datos cuando se trate de (i) información requerida por entidades públicas o administrativas en ejercicio de sus funciones legales, y (ii) en los casos de urgencia médica o sanitaria. 133. Con ocasión del control previo y automático de constitucionalidad al proyecto de la Ley Estatutaria 1581 de 2012, la Corte hizo precisiones sobre la forma en que tales excepciones se pueden aplicar en armonía con el artículo 15 de la Constitución. Frente al primer supuesto en los que no se requiere autorización del titular, porque el dato solicitado tiene una conexión directa con el ejercicio de una función legal de una entidad pública o administrativa, la Corte advirtió que esta facultad en cabeza de los funcionarios del Estado “no puede convertirse en un escenario proclive al abuso del poder informático”. Con relación al segundo supuesto según el cual se podrá prescindir de la autorización del titular del dato en casos de urgencia médica y sanitaria, la corporación realizó una interpretación restringida de esta disposición en el sentido de que sólo opera “en los casos en que dada la situación concreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmente problemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechos fundamentales, ya sea del titular o de terceras personas.”. 134. A partir de los fundamentos decantados, es claro que el marco jurídico del derecho fundamental al habeas data procura al máximo la protección de su núcleo esencial y la realización de sus principios, incluso en situaciones de crisis o emergencias sanitarias derivadas de una pandemia. Por ello, teniendo en cuenta los hechos que motivaron la presentación de esta acción de tutela, y las tensiones y retos que significó el tratamiento de datos personales con el fin de adoptar medidas y protocolos de bioseguridad en el sector aeroportuario y aeronáutico, la Sala dispondrá prevenir al Gobierno Nacional para que en futuras ocasiones aplique la legislación estatutaria en materia de habeas data, en concordancia con las previsiones que sobre la misma ha realizado la Corte Constitucional en reiterada jurisprudencia. ii. Respecto al debido proceso administrativo que deben surtir el INS y la AND, en relación con la supresión de datos personales, trámite que no ha concluido como se evidencia en los hechos probados en sede de revisión 135. Por último, la Sala encuentra necesario llamar la atención sobre el trámite impartido a la gestión de supresión de los datos personales de las accionantes, el cual fue promovido por el INS y AND con ocasión de la presentación de la acción de tutela, y que, como se pasa exponer, no se logró comprobar que haya concluido. 136. El artículo 29 de la Constitución establece que “el debido proceso se aplicará a toda clase de actuaciones judiciales y administrativa”. En desarrollo de lo anterior, la Corte Constitucional ha definido el debido proceso administrativo como “el conjunto complejo de condiciones que le impone la ley a la administración, materializado en el cumplimiento de una secuencia de actos por parte de la autoridad administrativa, (…) cuyo fin está previamente determinado de manera constitucional y legal”, el cual busca “i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”. 137. Dentro de las garantías del debido proceso administrativo se encuentran, entre otros, los derechos a: “i)ser oído durante toda la actuación, (ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso” (negrillas fuera del texto original). 138. La dilación injustificada se presenta cuando la duración de un procedimiento supera el plazo razonable. De acuerdo con la jurisprudencia constitucional, la razonabilidad del plazo se establece en cada caso particular, teniendo en cuenta (i) la complejidad del asunto; (ii) la actividad procesal del interesado; (iii) la conducta de la autoridad competente; y (iv) la situación jurídica de la persona interesada. Por consiguiente, esta Corte ha sostenido que el derecho al debido proceso administrativo se entiende vulnerado cuando las autoridades públicas, en ejercicio de función administrativa, no siguen estrictamente los actos y procedimiento establecidos en la ley para la adopción de sus decisiones y, por ejemplo, dilatan las mismas en el tiempo sin justificación, desconociendo las garantías reconocidas a los administrados. 139. En el caso en concreto, mediante la acción de tutela, se solicitó al INS “la eliminación inmediata de la información suministrada a través de CoronApp” respecto de las señoras Juanita María Goebertus, Alejandra Martínez Hoyos y Sol Marina de la Rosa Flórez, pretensión en la que, en el trámite de impugnación, fue incluida la señora Claudia Julieta Duque Orrego. 140. El 2 de diciembre de 2020, en el traslado del proceso de tutela en primera instancia, el INS, responsable de la aplicación CoronApp para la época, a través de correo electrónico, solicitó a la AND, encargada del tratamiento de los datos de la aplicación, “su colaboración con la gestión pertinente” respecto a la pretensión de supresión de los datos de las accionantes. En sede de revisión, el magistrado sustanciador requirió a las entidades mencionadas a fin de que informaran el estado actual de dicha gestión. Frente a esto, el 27 de octubre de 2021, la AND informó que, con relación al trámite referenciado, había enviado un comunicado a las accionantes con el fin de confirmar su interés y aprobación frente a la eliminación de sus datos personales de la aplicación CoronApp, sin embargo, no hay prueba de que se haya surtido esa gestión, pues la entidad no allegó copia de esta comunicación y las tutelantes negaron haberla recibido. 141. Para la Sala es claro que, de acuerdo con los supuestos fácticos bajo estudio, la solicitud gestionada por el INS y la AND se dio en los términos del artículo 15 de la Ley Estatutaria 1581 de 2012, el cual, establece que la reclamación respecto a la supresión de datos será atendida por el responsable y/o encargado del tratamiento de datos, en los 15 días hábiles siguientes a su recibo y, en todo caso, de no ser posible cumplir con el anterior término, se le informará al interesado el motivo de la demora y se atenderá la misma en los siguientes 8 días hábiles, contados a partir del vencimiento del plazo original. No obstante, a la fecha de dictarse esta sentencia, la Sala advierte que no existe información sobre la culminación o decisión dentro del trámite respectivo. 142. Al respecto, la Corte recuerda que, en virtud del artículo 29 de la Constitución, la administración debe garantizar la eficacia del derecho fundamental al debido proceso administrativo y, por tanto, entre otras cosas, surtir sus actuaciones dentro de los términos legales establecidos, sin dilaciones injustificadas. Es un imperativo del Estado Social de Derecho, en tanto manifestación del principio de legalidad, que las autoridades cumplan con las etapas, tiempos y procedimientos diseñados por el Legislador, a fin de que, en trámites como el previsto en el artículo 15 de la Ley 1581 de 2012, se “i) asegur[e] el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) [se] resguard[e] el derecho a la seguridad jurídica y a la defensa de los administrados”. 143. Con base en lo anterior, sin perjuicio de la verificación de la configuración de la carencia actual de objeto en los términos expuestos, y ante la falta de evidencia de que la gestión de la supresión de datos personales hubiese sido concluida por las entidades mencionadas, la Sala dispondrá prevenir al INS, la AND y al Ministerio de Salud, como el nuevo responsable del tratamiento de los datos de la aplicación MinSalud Digital -antes CoronApp-, para que, en el término de los 15 días hábiles siguientes a la notificación de esta providencia, resuelvan la solicitud de supresión de datos respecto de las accionantes Juanita María Goebertus, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque Orrego. 144. La Sala advierte que la inclusión del Ministerio de Salud en la prevención anotada se justifica por la necesidad de dar una respuesta integral a la solicitud de supresión de los datos personales de las accionantes. Aunque a este Ministerio no le es imputable negligencia alguna en el trámite iniciado el 2 de diciembre de 2020, disponer su participación en dicha gestión es acorde con sus competencias legales y con su nuevo rol de responsable de la otrora CoronApp. Recuérdese que, en sede de revisión, se obtuvo información relacionada con el Ministerio de Salud acerca del (i) contrato interadministrativo MSPS-485-202 celebrado con el INS, el 1º de octubre de 2021, por medio del cual se acordó la cesión de derechos patrimoniales de autor de la aplicación CoronApp a favor del Ministerio; y (ii) del contrato interadministrativo No. 720 celebrado con la AND, el 20 de octubre de 2021, mediante el cual se contrataron los servicios de la Agencia para brindar apoyo en la operación y soporte técnico que se requieran en la administración, aprovisionamiento de Infraestructura en nube pública y en la transferencia en la plataforma en el sistema CoronApp. Además, dicha cartera puso en conocimiento de la Sala que, con ocasión del cambio de responsable del tratamiento de datos, le fueron transferidos algunos datos de los ciudadanos que usaron la referida aplicación. G. SÍNTESIS DE LA DECISIÓN 145. La Sala revisó los fallos que resolvieron la acción de tutela interpuesta por las señoras Juanita María Goebertus, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque Orrego contra el Ministerio de Salud, el INS y otros, por la presunta violación de los derechos fundamentales al habeas data, libertad de locomoción, unidad familiar y privacidad. En el examen de procedencia formal, constató que la demanda de tutela cumplía con los requisitos de legitimación en la causa por activa y pasiva, e inmediatez. 146. Con relación al requisito de subsidiariedad, la Sala abordó su análisis a partir de tres hechos relevantes y teniendo en consideración el sentido de las pretensiones. Primero, determinó que la acción de tutela era procedente para analizar la presunta violación de los derechos al habeas data, libertad de locomoción, unidad familiar y privacidad causada por el hecho de que los operadores aeroportuarios exigieran la descarga y uso de la aplicación CoronApp como condición para ingresar a los aeropuertos y acceder al servicio de transporte aéreo. Segundo, conforme con la jurisprudencia constitucional y la Ley Estatutaria 1581 de 2012, comprobó que la solicitud de protección del derecho al habeas data mediante la orden de supresión de los datos personales de las señoras Goebertus, Martínez y De la Rosa Flórez no cumplía con el presupuesto formal de procedencia, por cuanto no agotaron la reclamación ante el responsable y/o encargado de la aplicación CoronApp, ni acudieron ante la Delegatura de Protección de Datos Personales de la SIC. No se encontró evidencia de la producción de un perjuicio irremediable. Tercero, verificó que la solicitud de protección del derecho al habeas data mediante la supresión de datos personales de la señora Duque no satisfizo el requisito de subsidiariedad, en los términos de la jurisprudencia de esta corporación y de la ley precitada, comoquiera que no acudió previamente ante el responsable o encargado del tratamiento de datos de la aplicación ni adelantó trámite ante la SIC. No se encontró evidencia de la producción de un perjuicio irremediable. 147. Resuelto lo anterior, la Sala formuló el problema jurídico respecto del primer asunto. Sin embargo, como resultado de las sub-reglas contenidas en la Sección II.E de esta sentencia, la Sala comprobó la configuración de la carencia actual de objeto por hecho superado, por cuanto, se evidenció que: (i) acaeció una variación sustancial en los hechos que dieron origen a la acción de tutela, al haberse expedido la Resolución No.777 de 2021, por medio de la cual se eliminó de los protocolos de bioseguridad del sector aeroportuario y servicio de transporte aéreo la descarga y uso de la aplicación CoronApp; (ii) dicha variación conllevó a que las pretensiones relacionadas en el escrito de tutela perdieran significado, por lo que carece de sentido cualquier orden que pudiera emitir la Corte en esta misma dirección; y (iii) la alteración en la situación planteada por las tutelantes ocurrió con ocasión de un hecho atribuible a una conducta voluntariamente asumida por el Ministerio de Salud, accionada en el presente proceso. Lo anterior, considera la Sala, conllevaría a que cualquier orden sobre la controversia planteada sea “inocua” o “caiga en el vacío”. 148. Sin perjuicio de la anterior comprobación, la Sala estimó que el asunto ameritaba realizar algunas consideraciones finales. El primero con el fin de advertir al Gobierno Nacional sobre la importancia de aplicar el marco jurídico de protección del derecho al habeas data cuando requiera realizar el tratamiento de datos personales con el fin de adoptar medidas y protocolos de bioseguridad en el sector aeroportuario y aeronáutico. El segundo con el propósito de prevenir al INS, AND y al Ministerio de Salud para que, de manera conjunta, procedan a dar respuesta a la gestión de supresión de datos personales de las accionantes, la cual comenzó con ocasión de la presentación de la acción de tutela, pero no se demostró que hubiese concluido a la fecha de adoptarse esta decisión. III. DECISIÓN En mérito de lo expuesto, la Sala Tercera de Revisión de la Corte Constitucional de la República de Colombia, administrando justicia en nombre del pueblo y por mandato de la Constitución, RESUELVE Primero.- LEVANTAR la suspensión de términos decretada en el proceso de la referencia. Segundo.- REVOCAR la decisión proferida por el Tribunal Administrativo de Cundinamarca el día 18 de febrero de 2021, mediante la cual se confirmó la sentencia proferida por el Juzgado 43 Administrativo de Oralidad del Circuito de Bogotá D.C. el 11 de diciembre de 2020, en la cual se resolvió negar el amparo solicitado por las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque Orrego, contra el Ministerio de Salud y Protección Social; y en su lugar, DECLARAR LA CARENCIA ACTUAL DE OBJETO, por la configuración de un hecho superado, de conformidad con las consideraciones expuestas en la parte motiva de esta providencia. Tercero.- Con base en las razones expuestas, PREVENIR al Gobierno Nacional para que, en futuras ocasiones cuando requiera realizar el tratamiento de datos personales con el fin de adoptar medidas y protocolos de bioseguridad en el sector aeroportuario y aeronáutico, aplique la legislación estatutaria en materia de habeas data, en concordancia con las previsiones que sobre la misma ha realizado la Corte Constitucional en reiterada jurisprudencia. Cuarto.- Con base en las razones expuestas, PREVENIR al Instituto Nacional de Salud, a la Corporación Agencia Nacional Digital y al Ministerio de Salud y Protección Social, en calidad de nuevo responsable del tratamiento de los datos recolectados por la aplicación CoronApp, ahora MinSalud Digital, que, en el término de los 15 días hábiles siguientes a la notificación de esta providencia, respondan a la solicitud de supresión de los datos personales suministrados por las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque Orrego. Quinto.- LIBRAR las comunicaciones –por la Secretaría General de la Corte Constitucional–, así como DISPONER las notificaciones a las partes y terceros intervinientes, previstas en el artículo 36 del Decreto Ley 2591 de 1991, a través del Juzgado 43 Administrativo de Oralidad del Circuito de Bogotá D.C. Notifíquese, comuníquese, cúmplase. ALEJANDRO LINARES CANTILLO Magistrado ANTONIO JOSÉ LIZARAZO OCAMPO Magistrado PAOLA ANDREA MENESES MOSQUERA Magistrada MARTHA VICTORIA SÁCHICA MÉNDEZ Secretaria General Referencia: Expediente T-8.197.643 Acción de tutela interpuesta por Juanita María Goebertus Estrada y otras contra Ministerio de Salud y otros. I. ANEXO I: Intervención y amicus acuriae Intervención| DAPRE y Ministerio de Salud |El DAPRE y el Ministerio de Salud presentaron escrito en el que le solicitaron a la Corte confirmar las decisiones de instancia y, subsidiariamente, “declarar por improcedente la acción de tutela dentro del proceso de la referencia”, reiterando los argumentos de los fallos de tutela sobre controvertir un acto administrativo general, la inexistencia de una vulneración de derechos fundamentales y perjuicio irremediable y la ausencia de solicitud tendiente a eliminar los datos suministrados a la aplicación (ver supra, núm. 20 y 23). Así mismo, manifestaron que de considerar que “se vulneraron los derechos fundamentales de las accionantes” se “declare el hecho superado”, debido a que, “la exigencia de descargar y usar la aplicación a los viajeros dentro del territorio nacional fue eliminada con la expedición de la Resolución 777 de 2021”. Luego de exponer la evolución, medidas que tomó el Gobierno Nacional para combatir el virus, el estado actual de la pandemia y de reiterar algunas de las consideraciones dadas en las contestaciones del proceso de tutela (ver supra, núm. 12 a 14), las entidades mencionadas señalaron el desarrollo de la aplicación CoronApp en la fase de introducción y contención y la de mitigación. De igual forma, informaron que con la Resolución 777 de 2021 “la herramienta CoronApp Colombia deja de ser necesaria para la verificación del estado de salud de los viajeros de vuelos nacionales (…) [por lo que a]ctualmente la herramienta se encuentra en proceso de cesión del INS al Ministerio de Salud (…) y se está considerando su utilidad en la validación de pruebas de laboratorio para los viajeros internacionales que se dirijan a destino que solicitan prueba negativa (…) [así como] para validar el certificado de vacunación”. Por último, señalaron sus argumentos respecto al cumplimiento del test de proporcionalidad por parte de la aplicación mencionada.| Amicus curiae| PuenteTech |PuenteTech puso a disposición de la Corte Constitucional la investigación en la que analizaron varias aplicaciones tecnológicas desarrolladas por algunos gobiernos de América Latina para luchar contra el Covid-19, dentro de las cuales se encuentra la CoronApp. Lo anterior con el objetivo de aportar a la discusión jurídica sobre la privacidad, la protección de datos de las personas, el acceso a la información pública y demás derechos y libertades en el eventual análisis que se efectúe sobre la aplicación móvil CoronApp.| Derechos Digitales Latinoamérica, la Escuela de Privacidad S.A.S, Transparencia por Colombia, Access Now, el Instituto Internacional de Estudios Anticorrupción, la Asociación por los Derechos Civiles (ADC) e Hiperderecho |Derechos Digitales, la Escuela de Privacidad, Transparencia por Colombia y la ADC presentaron similares intervenciones con el fin de enriquecer la discusión jurídica sobre el “uso de aplicaciones que recolectan de datos personales protegidos constitucionalmente” y “aportar elementos que permitan (…) amparar los derechos reclamados por las tutelantes”. Las organizaciones propusieron tres problemas jurídicos y concluyeron, de forma general que, respecto al caso concreto, en su opinión, existe una vulneración de los derechos a la intimidad, habeas data y acceso a la información, en razón a que, el consentimiento para el tratamiento de datos derivado del uso de la CoronApp no fue obtenido conforme al principio de libertad y la falta de claridad respecto de la obligatoriedad o no de descarga y uso de la aplicación no permite que los ciudadanos decidan de manera informada sobre la exposición de su información. Aunque Access Now, el Instituto Internacional de Estudios Anticorrupción e Hiperderecho sugirieron los mismos tres problemas jurídicos que las organizaciones del párrafo anterior, las desarrollaron de manera distinta. La primera solicitó ser reconocida como interviniente dentro del proceso y expuso fundamentos relacionados con la recopilación, uso de datos de salud, rastreo y datos de geocalización, uso obligatorio de las aplicaciones y consentimiento; la segunda pidió acceder a las pretensiones de las tutelantes, “dado que no se configuraban los elementos de hecho y de derecho para que proceda una excepción al deber de obtener la autorización del titular para el tratamiento de datos sensibles”; y la última manifestó el apoyo a las accionantes basándose en el libre desarrollo de la personalidad y señalando que la obligación del uso y descarga de la CoronApp no supera “el test de legalidad, proporcionalidad y necesidad establecido en la Convención Americana sobre Derechos Humanos”.| Asociación Colombiana de Legal Tech (alt+co) |La Asociación Colombiana de Legal Tech presentó sus fundamentos con el ánimo de contribuir a la discusión jurídica sobre el caso concreto. Al respecto expuso los beneficios y dificultades de las aplicaciones tipo MCTA y los principios de “data minimization” y “purpose limitation”, los cuales “han sido de gran utilidad en otras jurisdicciones para resolver problemas jurídicos sobre privacidad de datos”. Por último, sugirió el problema jurídico sobre si “los datos personales de los ciudadanos significan una información indispensable para lograr cumplir con los propósitos de la aplicación CoronApp”.| El Centro de Estudios de Derecho, Justicia y Sociedad |Dejusticia presentó intervención en la que expuso lo que, en su opinión, debería ser el problema jurídico de la acción de tutela de la referencia y desarrolló su tesis. Al respecto, indicó el contenido del derecho fundamental al habeas data, para luego, plantear el “error interpretativo” de los operadores aeroportuarios respecto a la Resolución 1517 de 2020 que, a su juicio, terminó con la vulneración de los derechos fundamentales de las tutelantes. Por último, señaló algunas ideas para resolver el caso concreto.| IFEX-ALC, Defence y las Organizaciones |IFEX-ALC presentó escrito en el que solicitó a la Corte proteger los derechos fundamentales de las tutelantes, “en especial el derecho a la libertad de expresión y de prensa y de reserva de las fuentes periodísticas”. Para el efecto, centró su exposición en el uso de la aplicación CoronApp y el oficio periodístico señalando las “(i) generalidades del derecho a la libertad de expresión dentro del sistema constitucional colombiano y el sistema interamericano de derechos humanos (…), (ii) la protección general al secreto profesional en el derecho colombiano, (iii) la protección especial a la reserva de la fuente periodística en distintos sistemas jurídicos, (iv) la protección del derecho de acceso a la información pública, (v) las funciones y políticas de CoronApp y (vi) reflexiones sobre el caso concreto”. Lo anterior, para concluir que “el uso obligatorio de la aplicación viola la Constitución de Colombia y la Convención Americana sobre Derechos Humanos”. Por otro lado, Defence y “las Organizaciones” presentaron intervención ante la Corte y coincidieron en los argumentos sobre los estándares del derecho internacional para proteger la libertad de expresión y la privacidad de periodistas en virtud del uso y descarga obligatoria de la aplicación CoronApp. La primera, aunque no hizo ninguna solicitud especial, analizó los temas relacionados con la centralización y la función de rastreo de los datos de la aplicación, la protección de fuentes y el enfoque de género respecto a la periodista Claudia Julieta Duque. La segunda, además de reiterar varios de los argumentos presentados en el escrito de coadyuvancia, solicitó a la Corte amparar los derechos de las accionantes y hacer “uso de sus poderes oficiosos” para que “se abstenga a cualquier establecimiento público o privado, a solicitar la descarga o uso de CoronApp a las personas identificadas como prensa”.| Grupo de Acciones Públicas de la Universidad del Rosario (GAP) |El GAP presentó intervención ante la Corte para sustentar las razones por las que, en su opinión, deben tutelarse los derechos fundamentales de las accionantes. Para el efecto, expuso “por qué la presente acción de tutela cumple con el requisito de subsidiariedad y por qué en el caso no se configura la carencia actual de objeto por hecho superado”, para luego, dar su explicación sobre cómo “la exigencia de la aplicación vulnera los derechos al habeas data y libre desarrollo de la personalidad, de una manera desproporcionada.”.| Fundación Karisma |Karisma presentó escrito en el que solicitó se amparen los derechos fundamentales de las accionantes. Sobre el particular, manifestó que no se configura ninguna modalidad de carencia actual de objeto, en la medida en que los datos de las tutelantes siguen registrados en la base de datos en contra de su voluntad y sin la posibilidad de supresión, en razón a “la vaguedad y confusión de las políticas de tratamiento de la aplicación móvil”. Finalmente, mencionó que, en caso de considerarse la carencia actual de objeto, el juez constitucional “se encuentra ante un caso que amerita un análisis de fondo ‘para llamar la atención (…)”, pues el asunto involucra “por primera vez en la historia de la jurisprudencia constitucional, el cuestionamiento sobre la vigencia del derecho a la privacidad y protección de datos en contextos de emergencia sanitaria”; “cuestiona el despliegue de tecnologías digitales intensivas en la recolección de datos, su afectación a la privacidad (…) y uso para condicionar el ejercicio de otros derechos”; y, es una oportunidad para precisar “la aplicación de la ley de protección de datos en el sector público”.| II. ANEXO II: Respuestas y traslado probatorio del auto del 8 de octubre de 2021 Identificación detallada de las pruebas solicitadas en auto del 8 de octubre de 2021|Respuestas allegadas| Accionantes: Juana María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque| 1) A las señoras Juanita María Goebertus Estrada, Alejandra Martínez Hoyos y Sol Marina de la Rosa Flórez ¿les fue comunicada alguna decisión del procedimiento que el Instituto Nacional de Salud solicitó gestionar, el 2 de diciembre de 2020, ante la Agencia Nacional Digital respecto a la eliminación de los datos que suministraron mediante la aplicación CoronApp? 2) A todas las accionantes ¿han presentado reclamación al Instituto Nacional de Salud y/o a la Corporación Agencia Nacional Digital para obtener la eliminación o supresión de los datos personales que suministraron mediante la aplicación CoronApp?. En su respuesta, por favor sírvanse precisar: a) Si la respuesta es afirmativa, sírvanse informar en qué fecha realizaron la reclamación y cuál fue la respuesta de la entidad correspondiente. b) Si la respuesta es negativa, sírvanse explicar las razones que han impedido presentar la mencionada reclamación. 3) Con relación a las circunstancias particulares de la señora Claudia Julieta Duque, quien manifiesta ser víctima de interceptaciones ilegales y presuntas amenazas de muerte por parte de funcionarios públicos, sírvase: a) Remitir copia simple, únicamente, de los documentos pertinentes que acrediten la condición de víctima de los delitos y amenazas recibidas por razón del ejercicio de la profesión de periodista (v.gr. denuncias penales, quejas disciplinarias, providencias judiciales dictadas con ocasión de las referidas denuncias, entre otros). b) Informar si descargó y suministró datos personales a través de la aplicación CoronApp. Si la respuesta es afirmativa, indique en qué fechas.|1) “(…) ninguna de nosotras ha sido notificada sobre el inicio del procedimiento de borrado de nuestros datos personales registrados en CoronApp móvil y, de haberlo, tampoco se nos ha notificado del resultado final del mismo”. 2) No. “Decidimos elevar este pedido a través de la acción de tutela y no a través de un derecho de petición porque la redacción de la política de tratamiento de datos de CoronApp nos disu[a]dió por su vaguedad e imprecisión, inhibiéndonos de acudir a dicha vía (…)”. 3) a) “En sendas sentencias se exponen las distintas amenazas, vigilancia ilegal, tortura psicológica y distintos ataques de los que mi hija y yo hemos sido víctimas en razón de mi trabajo periodístico.”. b) “(…) tuve que descargar la aplicación móvil y registrarme en contra de mi voluntad el día “X” de “XXX” de “XXX” en un viaje de emergencia que tuve que efectuar con destino hacia la ciudad de “B” (aunque inicialmente mi destino de viaje era otro).”.| Traslado probatorio|Las accionantes se expresaron frente a las pruebas allegadas por la FGN, INS y AND, SIC e hicieron una solicitud final a la Corte Constitucional así: -Contestación respecto a la FGN: Las accionantes cuestionaron la respuesta de la FGN en la que informó que en una noticia criminal “la señora Claudia Julieta Duque Orrego, aparece en calidad de “XXX”, no de “XXX””, al no demostrar diligencia respecto a la pregunta realizada por el Magistrado Sustanciador y agregando la carta del Ministerio de Relaciones Exteriores de Colombia dirigida a la Comisión Interamericana de Derechos Humanos en la hizo el recuento de los procesos que adelanta la FGN sobre “(…) la comisión de hechos que han atentado o han amenazado atentar contra la vida e integridad de la periodista Duque (…)”. -Contestación respecto al INS y la AND: Las accionantes respecto a las afirmaciones de las entidades manifestaron que: (i) “(…) la cesión de los derechos patrimoniales de autor resulta insustancial e irrelevante para la discusión del caso que nos compete pues aquello no implica, por su naturaleza jurídica, la transmisión de las bases de datos.”; (ii) del anexo presentado por el INS sobre el contrato interadministrativo No.485 de 2021 celebrado con el Ministerio de Salud “(…) no se describe que el Ministerios de Salud sea el nuevo responsable o encargado de los datos personales que fueron recogidos por la aplicación (…)”; (iii) a la fecha de la respuesta (10 de noviembre de 2021) los usuarios de la CoronApp, ni la PTI ha sido actualizada respecto a la cesión de la aplicación por parte del INS al Ministerio de Salud, generando incertidumbre sobre el responsable y/o encargado de los datos recolectados; (iv) denominaron como “function creep” las actuaciones del Gobierno y el INS, debido a que, este último manifestó que la finalidad de la aplicación respecto a esa entidad ya se había cumplido; (v) el contrato entre el Ministerio de Salud y la AND se “(…) refiere al compromi[s]o de la AND en el tratamiento de datos a propósito del vínculo contractual entre dichas partes, pero no del tratamiento de datos de la aplicación CoronApp.”; (vi) informaron que no han recibido la comunicación para confirmar su interés y aprobación frente a la supresión de datos personales en las bases de datos de CoronApp que mencionó la AND en su respuesta; (vii) llamaron la atención sobre las inconsistencias en la respuestas del INS y AND quienes afirmaban que la aplicación había cumplido su finalidad y, luego, que los fines para los cuales se recopilaron los datos no habían desaparecido; (viii) resaltaron que los datos personales registrados en la CoronApp fueron compartidos con terceras partes que no fueron descritas en la PTI de la aplicación, “sin que mediara ninguna previsión o condición previa” ni “un análisis mínimo de impacto en privacidad” y (ix) cuestionaron que el INS y la AND enviaran a la Corte Constitucional el estado de las peticiones de eliminación de datos en la CoronApp solicitadas por terceros sin anonimizar los datos personales de estos últimos. -Contestación respecto a la SIC: Las accionantes indicaron que el caso de Samsung ameritaba un llamado de atención por parte de esta Corte, debido a que, “la preinstalación no consentida se trató de una práctica que privó a cientos de usuarios sobre el control de su dispositivo móvil al punto en que no estaban habilitados ni siquiera para suprimir la aplicación de sus teléfonos móviles.”. En un mismo sentido, enfatizaron en que la estrategia del INS para promover el uso de la CoronApp fue la de la obligatoriedad y, que en los meses de abril a junio de 2020 en los que se llevó a cabo “la preinstalación no consentida” de CoronApp en los dispositivos móviles de marca Samsung, la (…) SIC había concluido que CoronApp no cumplía con la ley de protección de datos colombiana (…)”. Por último, señalaron, a su juicio, “(…) la ausencia de una verdadera autoridad de protección de datos independiente que sea capaz de vigilar a las entidades públicas cuando son responsables del tratamiento de datos de las personas.”. -Solicitud a la Corte Constitucional: Las accionantes solicitaron “(…) tener una visión panorámica sobre las fallas que giran en torno al tratamiento de los datos de la población cuando el responsable de los datos es el Estado, especialmente aplicables en el caso del uso obligatorio de CoronApp para volar a destinos nacionales.”, y reiteraron sus pretensiones iniciales.| INS y AND| Con relación a los hechos mencionados en el trámite de las instancias: 1) Informe si los datos personales de las accionantes fueron recolectados a través de la aplicación CoronApp y se encuentran almacenados en la respectiva base de datos. En sentido, indique qué datos fueron recolectados y en qué fechas. 2) El Instituto Nacional de Salud y la Corporación Agencia Nacional Digital suscribieron acuerdo de transmisión de datos personales con vigencia hasta el día 31 de diciembre de 2020. Al respecto, informe si este acuerdo fue prorrogado. Si la respuesta es negativa, informe cuál es el acuerdo vigente. Sírvase adjuntar el soporte correspondiente. 3) Si no se renovó el referido acuerdo, indique ¿cuándo borró, eliminó, volvió ilegible o devolvió la información junto con todas las copias que de ella hubiere hecho en servidores, dispositivos móviles, red de almacenamiento y demás periféricos donde se hubiese almacenado la información? 4) ¿Qué ocurrió con la gestión solicitada por el Instituto Nacional de Salud a la Corporación Agencia Nacional Digital, mediante correo electrónico del 2 de diciembre de 2020, sobre la supresión de los datos de las señoras Goebertus, Martínez y de la Rosa suministrados a través de la aplicación CoronApp? a) Si se suprimieron los datos de las accionantes, informe las razones por las cuales accedieron a dicha solicitud. b) Si no accedieron a la solicitud de supresión, informe las razones por las cuales no aceptaron la solicitud.|1) “(…) sea lo primero indicar (…) que el primero (01) de octubre de 2021 el Instituto Nacional de Salud suscribió, en calidad de cedente, un contrato interadministrativo de cesión total de derechos patrimoniales de Autor de la Obra CoronApp Colombia a favor del Ministerios de Salud y Protección Social, el cual puede ser consultado en la plataforma de SECOP II bajo en número de contrato MSPS-485-202. Este contrato se realizó teniendo en cuenta que la aplicación para esa fecha ya había cumplido, en los que al Instituto Nacional de Salud-INS respecta, con la finalidad para la cual fue creada, sin embargo, considerando que la aplicación puede tener una utilidad para enfrentar la pandemia que persiste por la Covid-19, al se entregada al Ministerio de Salud y Protección Social, se busca que, todos los servicios tecnológicos se coloquen a disposición de la población desde el Gobierno Nacional, de manera centralizada por dicho Ministerio como responsable de la política en materia de salud pública.”. En tabla en el que se identifica “Etapas”; “Definición” y “Fechas Recolección de Datos”, se entregó información sobre las fechas, horas y etapa del proceso en las que las accionantes ingresaron sus datos a la aplicación, los cuales fueron recolectados por la misma. 2) El acuerdo de transmisión de datos fue prorrogado 3 veces así: (i) por 6 meses hasta el 30 de junio de 2021; (ii) por 2 meses hasta el 31 de agosto de 2021; y finalmente, (iii) por 12 días hasta el 12 de septiembre de 2021. Adicionalmente, las entidades informaron que, en virtud de la cesión de los derechos patrimoniales de autos de CoronApp por parte del Instituto Nacional de Salud al Ministerio de Salud, este último suscribió con la Agencia Nacional Digital contrato interadministrativo No 720 de 2021, el día 20 de octubre de 2021, el cual tiene por objeto “Contratar los servicios para brindar al Ministerio de Salud y Protección Social el apoyo en la operación y soporte técnico que se requieran en la administración, aprovisionamiento de Infraestructura en nube pública y en la transferencia en la plataforma en el sistema CORONAPP, que facilite el análisis de información y contribuya al mejoramiento continuo de la calidad de la atención en salud”. 3) La Agencia Nacional Digital, mediante memorando del 17 de septiembre de 2021, solicitó al Instituto Nacional de Salud “informar los mecanismos o procesos seleccionados y dispuestos por la Entidad para realizar la transferencia de la información de CoronApp, en cumplimiento a lo establecido en el Memorando de Entendimiento y el Acuerdo de Transmisión de Datos personales suscrito”. A través de comunicación del 5 de octubre de 2021, el Instituto Nacional de Salud informó sobre el contrato interadministrativo de cesión de derechos patrimoniales de autor de la aplicación CoronApp al Ministerio de Salud celebrado el 1 de octubre de 2021, por lo que, “sugirió consultar directamente al Ministerio, en su nueva calidad de responsable del tratamiento de la información recolectada en CoronApp Colombia, sobre la eliminación o devolución de los datos. En virtud de lo anterior, entre el Ministerio de Salud y Protección Social y la Agencia Nacional Digital, el pasado 20 de octubre de 2021, suscribieron el contrato interadministrativo No 720 de 2021 (…)”. 4) Luego de exponer los fines y cómo funciona el tratamiento de los datos suministrados por los usuarios de CoronApp, así como, los protocolos y las medidas técnicas de seguridad adoptadas por la Agencia Nacional Digital y la política de tratamiento de información de la CoronApp, las entidades informaron que “las accionantes no realizaron la solicitud de supresión de datos personales directamente frente al Instituto Nacional de Salud, en calidad de Responsable del Tratamiento de CoronApp, o ante la Agencia Nacional Digital en calidad de encargados del tratamiento de datos personales (…)”. En un mismo sentido, señalaron que “las accionantes continúa utilizando las funcionalidades de CoronApp, conforme al reporte dado en la respuesta del punto 1 del presente cuestionario, sin que a la fecha se hayan recibido reclamos, derechos de petición, y solicitudes frente al tratamiento de los datos personales”. Por último, manifestaron que “Teniendo en cuenta los hechos presentados (…) la Agencia Nacional Digital procedió con el envío de comunicado No AND-EXT-0452-2921 dirigido Juanita María Goebertus Estrada, Alejandra Martínez Hoyos, Sol Marina de la Rosa Flórez y Claudia Julieta Duque, con la finalidad de confirmar su interés y aprobación frente a la supresión de datos personales en las bases de datos de CoronApp (…) Por lo que una vez se reciba la confirmación e interés de los titulares sobre la supresión de los datos, la Agencia Nacional Digital procederá con su eliminación conforme a los establecido en (…) [la] Ley 1581 de 2012 (…)”.| Con relación al funcionamiento de la aplicación CoronApp: 5) Explique, de manera detallada, cada una de las etapas del proceso de recolección de los datos personales a través de la aplicación CoronApp, y del tratamiento de estos, esto es, desde la oferta o descarga de la App en los dispositivos móviles de los usuarios, hasta la devolución o eliminación de la información. Adicionalmente, sírvase informar: a) De acuerdo con la Ley 1581 de 2012, el Decreto 1377 de 2013 y el principio de limitación de la recolección previsto en la política de tratamiento de datos de la aplicación CoronApp, informe: i. ¿Qué tipo o clase de datos recolecta la aplicación CoronApp? Indique el dato y la categoría a la que pertenece. ii. ¿Cuál es la pertinencia de cada dato recolectado (información personal, información de salud, información de vuelos, localización geográfica, acceso a la red, entre otros) por la aplicación CoronApp para el cumplimiento del objetivo de la misma (vigilancia en salud pública en el marco de las diferentes etapas para afrontar la pandemia del Covid-19)? b) ¿Cuáles son las funcionalidades de la aplicación CoronApp? Explique en qué consiste cada una de ellas. c) Teniendo en cuenta el carácter facultativo de las personas para responder preguntas que versen sobre datos sensibles y si la aplicación CoronApp solicita información al respecto, indique a este despacho si ¿se informó o ha informado a los titulares que no están obligados a autorizar el tratamiento de los datos mencionados? Además, indique si se informó o ha informado a los titulares, de forma explícita y previa, cuáles de los datos que serán objeto de tratamiento son sensibles y la finalidad del tratamiento de estos. d) Actualmente ¿quién o quiénes son los responsables del tratamiento de los datos personales consignados en las bases de datos? Indique cuáles son los deberes y las responsabilidades respecto de cada una de las funcionalidades de la aplicación CoronApp y del tratamiento de los datos recolectados a través de esta. e) Actualmente ¿quién o quiénes son los encargados del tratamiento de los datos personales consignados en las bases de datos? Indique cuáles son los deberes y las responsabilidades respecto de cada una de las funcionalidades de la aplicación CoronApp y del tratamiento de los datos recolectados a través de esta. 6) ¿Cuál es la entidad, los requisitos y el procedimiento para que el titular de la información pueda reclamar la supresión del dato personal recolectado por la CoronApp? 7) En cuanto a la geolocalización y tecnologías de detección de cercanía de la CoronApp, sírvase informar: a) ¿Cómo funciona la geolocalización y tecnologías de detección de cercanía de la CoronApp? En ese sentido, ¿podría dicha función suministrar la localización en tiempo real del usuario de la aplicación (rastreo digital)? b) ¿Qué medidas de seguridad ha implementado el responsable y/o encargado de tratamiento de los datos para que la función de geolocalización no sea utilizada ilegalmente por sujetos no autorizados y en perjuicio de los derechos de los titulares del dato? c) En la política de tratamiento de datos de la CoronApp se indica “Sólo se activarán cuando así lo deseen los usuarios y voluntariamente programe su equipo o dispositivo para dicho efecto”. De acuerdo con esto, ¿el responsable y/o encargado del tratamiento de datos en ninguna circunstancia podría activar la geolocalización y tecnologías de detección de cercanía de la CoronApp? Justifique la respuesta. d) ¿Cuál es la finalidad con la que se incorporó la función de geolocalización en la aplicación si de acuerdo con la política de tratamiento de información sólo el usuario pueda activarla cuando lo desee? e) ¿El responsable y/o el encargado del tratamiento de datos ha utilizado la función de geolocalización y tecnologías de detección de cercanía de la CoronApp? Si la respuesta es afirmativa, ¿para qué la ha utilizado y cómo ha contribuido a la finalidad de la aplicación? f) A partir de los datos recolectados a través de la aplicación CoronApp y almacenados en la base de datos, ¿el responsable y/o encargado del tratamiento de datos puede establecer o no una huella digital (rutas de desplazamiento, historial de lugares visitados, entre otros) de los titulares de los datos? Justifique la respuesta positiva o negativa. 8) De conformidad con la Resolución 777 del 2 de junio de 2021, y el informe rendido por el DAPRE y Min Salud, “la herramienta CoronApp Colombia deja de ser necesaria para la verificación del estado de salud de los viajeros de vuelos nacionales”. En ese sentido, y en aplicación del principio de temporalidad de la política de tratamiento de datos según el cual “una vez se cumpla la finalidad del tratamiento, los datos recolectados a través de CoronApp serán eliminados de manera definitiva”, ¿ya se eliminaron o suprimieron los datos recolectados por la aplicación CoronApp? a) Si la respuesta es afirmativa, informe las razones por las cuales se eliminaron los datos recolectados por la aplicación CoronApp. Sírvase adjuntar el soporte correspondiente. b) Si la respuesta es negativa, sírvase informar lo siguiente: i. De los datos personales recolectados a través de la aplicación CoronApp ¿qué tipos de datos personales siguen almacenados en las bases de datos? ii. ¿Cuánto tiempo y cuál es la finalidad por la cual cada uno de los datos personales recolectados deberían permanecer almacenados en las bases de datos? iii. En ese sentido, ¿qué uso le están dando a los datos personales los responsables y/o encargados del tratamiento de la información? iv. Si la aplicación CoronApp ya no hace parte de los protocolos de bioseguridad para el transporte aéreo, ¿por qué deben permanecer almacenados los datos recolectados? ¿cuál es el deber legal o contractual que así lo impone? v. Si la respuesta a la anterior pregunta se relaciona con el tratamiento de datos por fines científicos, estadísticos o históricos, ¿cuáles serán los datos que permanecerán almacenados?; ¿cómo se utilizarán esos datos?; y ¿cómo será el procedimiento para el tratamiento de estos? 9) En cuanto a la anonimización referida en la política de tratamiento de información de la CoronApp, sírvase informar: a) ¿Cuáles son las herramientas de anonimización a las que se refiere dicha política de la CoronApp? b) Ilustre mediante ejemplos reales cómo funciona o funcionaría la anonimización de los datos personales recolectados por la aplicación. c) Según la política de tratamiento de información, “por regla general se utilizarán herramientas de anonimización” para que los datos personales recolectados no estén asociados o vinculados a una persona en particular. Asimismo, menciona que “excepcionalmente se tratará la información de forma no anonimizada cuando es rigurosamente necesario conocer la identidad del titular del dato”. Teniendo en cuenta lo anterior, indique a este despacho ¿cuáles son esas situaciones excepcionales en las que la información de los datos personales de los titulares no se trataran de forma anonimizada? 10) Teniendo en cuenta los principios de acceso y circulación restringida previstos en la política de tratamiento de información, ¿cuáles entidades (públicas o privadas) han accedido a los datos personales recolectados a través de la aplicación CoronApp? Indique cada entidad y la razón por la cual tuvo acceso a los datos. 11) ¿En la recolección y tratamiento de datos personales almacenados por la aplicación se previeron medidas especiales respecto de sujetos expuestos a un riesgo excepcional? Justifique la respuesta. 12) ¿Cuántos reclamos relacionados con la supresión de datos personales han recibido el Instituto Nacional de Salud o la Corporación Agencia Nacional Digital? Informe acerca del estado de dichas reclamaciones. Sírvase aportar los soportes correspondientes. 13) ¿Cuántas quejas en contra del Instituto Nacional de Salud o la Corporación Agencia Nacional Digital se han presentado ante la Superintendencia de Industria y Comercio por la recolección y tratamiento de datos personales relacionados con la CoronApp? En ese sentido ¿ha informado a la SIC alguna eventual violación a los códigos de seguridad o riesgo respecto a la administración de la información de los titulares? Explique la respuesta. 14) De acuerdo con lo mencionado en la política de tratamiento de datos sobre la “Responsabilidad demostrada (accountability) frente al tratamiento de datos personales”, informe detalladamente a este despacho ¿Cuáles han sido las estrategias, procedimientos y herramientas que ha adoptado para demostrar ante la Superintendencia de Industria y Comercio el cumplimiento de sus obligaciones legales respecto al tratamiento de datos personales y cómo éstas han mejorado la función sobre el tratamiento de los datos? 15) La política de tratamiento de información establece que la transferencia y/o transmisión de información se contemplan todas las medidas de protección y seguridad de la información establecidas en la Ley 1581 de 2012 y en las políticas del Instituto Nacional de Salud. Por ello, y de acuerdo con el principio de seguridad incluido en dicha política, ¿cuáles han sido las medidas que ha implementado para evitar la pérdida, consulta, uso o acceso no autorizado o fraudulento a la información y datos personales de los cuales es responsable y/o encargado?|5) Las entidades explicaron que mientras el Instituto Nacional de Salud fue el responsable de los datos se tuvo una estructura de 5 etapas para la recolección de los datos de la aplicación así: - Etapa 1. Descarga de la aplicación. “La aplicación permitía acceder a la información sanitaria, recomendaciones de salubridad, así como de cuidado en casa e información de la pandemia de manera informativa a la cual se podía acceder incluso sin necesidad de registrarse.”. - Etapa 2. Registro. “Con el objetivo de realizar el registro en la aplicación, el usuario debía suministrar voluntariamente los siguientes datos: Nombres, apellidos, tipo de documento (cédula de ciudadanía, tarjeta de identidad, cédula de extranjería, PEP- venezolanos, pasaporte y visa), número de documento y número de celular. Así mismo, con el objetivo de registrar un familiar, se debían ingresar los datos indicados anteriormente.”. - Etapa 3. Auto reporte. “Si la persona se registraba, aceptando voluntariamente los términos y condiciones, podía realizar el auto reporte donde informaba acerca de los síntomas, factores de riesgo y antecedentes. De igual forma, se indagaba sobre sintomatología compatible con infección respiratoria aguda, antecedentes de posibles contactos y viajes nacionales e internacionales adelantados.”. - Etapa 4. Clasificación del usuario. “Una vez ingresada la información, la App categorizaba al usuario como Alerta, Advertencia o Normal, de acuerdo con el algoritmo de riesgo de CoronApp que se encontraba en concordancia con el Protocolo del evento y el autodiagnóstico realizado.”. - Etapa 5. Generación del Estatus de movilidad. “Una vez realizado el reporte voluntario de síntomas (autodiagnóstico), el usuario debía suministrar la información relativa a las garantías para la medida de aislamiento que le eran aplicables de conformidad con el Decreto No. 749 de 2020 (…) en el cual se presentaban las siguientes variantes: (…) ¿Voy a realizar un viaje?; Tipo de viaje”. La selección de viaje correspondía a aéreo o terrestre, dependiendo la elección se debía dar información respecto al primero de la fecha y numero del vuelo y silla y, del segundo, empresa de transporte, número de pasabordo y silla, origen y destino. Sumado a lo anterior, las entidades resaltaron que “la aplicación no almacenaba información al momento de la descarga, solamente obtenía información de usuarios registrados voluntariamente. La información sobre sus movimientos y actividades eran definidas por el usuario de conformidad a los términos y condiciones establecidos para la aplicación”. Asimismo, explicaron que en la fase de mitigación cesó la funcionalidad de auto reporte, en razón a que para cumplir con la función Sanidad Portuaria, se expedía “un código QR se obtenía a través de un algoritmo en el cual se establecía que CoronApp revisara desde la fecha de la consulta y hasta 12 días atrás si existía un resultado positivo para PCR o Antígeno en el sistema SISMUESTRAS del INS”. Posteriormente, con la Resolución 777 del 2 de junio de 2021 “la herramienta Coronapp Colombia dej[ó] de ser obligatoria para la verificación del estado de salud de los viajeros de vuelos nacionales y su utilidad se centra en la validación de pruebas para los viajeros internacionales que se dirijan a destinos que solicitaban prueba Covid-19.”. Por último, resaltaron que “El tratamiento realizado por el INS obedeció siempre a una finalidad legítima, la cual se encuentra sustentada, en el caso particular, en la recolección de datos necesarios para la adopción de políticas públicas relacionadas con la pandemia generada por COVID-19. El INS recolectó, uso y trató los datos públicos, semiprivados, privados y sensibles de los usuarios de CoronApp Colombia, de manera leal y lícita, para realizar la vigilancia en salud pública en el marco de las diferentes etapas para afrontar la pandemia por COVID-19, y para cumplir las finalidades específicas expuestas siempre en los términos y condiciones de la aplicación. Respecto a la devolución o eliminación de la información, (…) el INS (…) entregó al MSPS la facultad de disponer sin limitaciones sobre los derechos sobre CoronApp Colombia, razón por la cual la decisión de devolver o eliminar los datos contenidos en la aplicación quedó en cabeza del Ministerio en su calidad de responsable del tratamiento de estos.”. a) i. Las entidades informaron que “los datos recolectados en su momento por parte del INS bajo la aplicación CoronApp” correspondían a “datos personales”, “datos personales sensibles relativos a la salud de responsabilidad forzada cuyo suministro no esta obligatorio” y “dato personal privado”. Por último, informaron que “una vez se recolectaban los datos personales, por regla general se utilizaron herramientas de anonimización de la información para no asociarla o vincularla a una persona particular” y, “respecto a los datos sensibles relacionados con la salud pública, geolocalización y datos de menores de edad, las personas no se encontraban obligadas a autorizar su tratamiento en virtud del Artículo 8 del Decreto 1377 de 2013.”. ii. Las entidades manifestaron que la pertinencia de los datos consistió en lo siguiente: -La información personal para “Crear y activar el registro de usuario en CoronApp de manera voluntaria [y] Permit[ir] al usuario el ingreso a CoronApp y uso de sus funcionalidades”. -La información de salud “permitía que el usuario reportara [su] estado de salud y [el de] sus familiares en tercer grado de consanguinidad y primero de afinidad que habitan en la misma vivienda del usuario [, así como,] permiti[ó] monitorear síntomas, signos de alarma y riesgo y vulnerabilidad relacionados con la enfermedad (…) COVID-19.”. -La localización geográfica “permitía reconocer la localización geográfica del usuario y la ubicación del dispositivo únicamente para el envío del reporte de salud al momento que el usuario realizaba el autodiagnóstico dispuesto en CoronApp (…) [, además del] envío de comunicaciones y código de verificación para el registro del usuario a través de SMS”. -La información de vuelos “generaba el estatus de movilidad (…) [y] permitía la consulta por parte de las autoridades del (…) [mismo,] a través de un código QR.”. Al respecto, las entidades informaron que la exigencia de CoronApp “en el ámbito nacional para le transporte aéreo y voluntaria en el caso internacional” fue una decisión del Gobierno Nacional, debido a que, “consideró que CoronApp, dado su desarrollo, ofrecería esta funcionalidad para generar los pasaportes de movilidad.”. -El acceso a red permitía acceso y ver red, así como, conectarse a redes wifi, “con la finalidad de actualización de las cifras que mostraba la aplicación en su momento, envío de los reportes de salud de los usuarios al servidor, entre otras asociadas a las funcionalidades de la aplicación. El acceso a la red es un mecanismo para que los datos se suministren, no es un dato en sí mismo.”. b) CoronApp ha tenido varias funcionalidades, de acuerdo con los diferentes momentos de la pandemia. Primero, se utilizó la funcionalidad de auto reporte “para la identificación temprana de potenciales conglomerados”; luego, con la apertura gradual de los aeropuertos se generó la funcionalidad de emitir código QR para viajeros, “de acuerdo con el nivel de riesgo reportado en el auto reporte”. Por último, y en la fase de mitigación en donde la funcionalidad de auto reporte cesó, debido a su inutilidad para el momento de la pandemia, se desarrolló “por parte de la AND la función de verificación de viajeros aéreos que están con pruebas positivas en aislamiento”. c)Las entidades informaron que “mientras el INS actuó como responsable de la información contenida en la aplicación, estableció en su Política de Tratamiento de Información (…) la no obligatoriedad de suministrar datos sensibles relativos a la salud”. Adicionalmente, manifestó que los documentos (PTI y términos y condiciones de CoronApp) “se encontraban publicados en la aplicación para conocimiento de la ciudadanía de forma visible al inicio del proceso de instalación de esta, de modo que previo al registro y diligenciamiento de datos, los ciudadanos podían acceder de forma explícita y previa a su contenido, en el cual se les informaba la no obligatoriedad de suministrar datos personales sensibles y la finalidad de su tratamiento.”. e) En virtud del contrato interadministrativo de cesión de derechos patrimoniales de autor de la obra CoronApp Colombia entre el INS y el Ministerio de Salud, las entidades informaron que “el responsable del tratamiento de datos sobre CoronApp se encuentra a cargo del Ministerio de Salud y Protección Social. Así mismo, actualmente, se encuentra en elaboración y validación jurídica la suscripción de un nuevo Acuerdo de Trasmisión de Datos entre el Ministerio de Salud y Protección Social y la Agencia Nacional con la finalidad de dar cumplimiento a los parámetros establecidos en el contrato interadministrativo 720 de 2021 y a las obligaciones y responsabilidades que se establecen en la Ley 1581 de 2021.”. 6) “Mientras el INS fue responsable de la información contenida en CoronApp Colombia actuó como la entidad responsable de tramitar las consultas y reclamos de la ciudadanía en materia de habeas data (…)” de acuerdo a los términos y condiciones a la PTI. Por lo que, los legitimados para ejercer los derechos de conocer, actualizar y rectificar y/o suprimir sus datos personales eran las personas habilitadas conforme al articulo 20 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y, las consultas y reclamos debían presentarse en los canales habilitados por el INS con la siguiente información: “a. Nombre completo (nombres y apellidos); b. Tipo y número de documento de identificación; c. Copia de documento de identificación; d. Datos de contacto y medio para recibir respuesta a la solicitud (dirección física y/o correo electrónico) e informar sobre el estado del trámite; e. Motivo(s) o hechos(s) que da(n) lugar a la solicitud con una descripción precisa y completa de los hechos que dan lugar al reclamo. f. Documentos y demás pruebas pertinentes que quiera hacer valer. g. En caso de presentar el reclamo a nombre de un tercero, deberá remitir: i. Nombre completo (nombres y apellidos) del tercero que autoriza; ii. Copia de documento de identificación del tercero que autoriza; iii. El documento de autorización del titular (tercero que autoriza) para este trámite. h. Firma (si aplica).”. 7) a) “Con anterioridad a la cesión de la aplicación, la funcionalidad se encontraba activada con base en los indicado en el documento de términos y condiciones (…) [, así mismo,] CoronApp no tiene la funcionalidad de generar una huella digital (…)”. b) Las entidades se limitaron a copiar y pegar lo que relaciona la PTI sobre “Datos de Localización y tecnologías de cercanía” y “Datos anonimizados”. c) “(…) el ciudadano es el que activa las funcionalidades de geolocalización, las conexiones a bluetooth o sensores de localización del dispositivo. La desactivación de estas funcionalidades por defecto se determinó como requerimiento por parte del INS.”. d) “La función de geolocalización se incorporó con la finalidad de que, mediante los datos referenciados geográficamente de manera voluntaria por los usuarios en el momento del auto reporte, se construyeran mapas de localización como alertas.”. e) “Al inicio de la pandemia, en las fases introducción y contención, a partir de la fecha de inicio de síntomas y la ubicación geográfica de los usuarios que voluntariamente accedían a la herramienta, las entidades territoriales (de salud), podían localizar zonas de especial interés por la magnitud de casos confirmados y auto reportes (zonas de calor/ posibles conglomerados) mediante las diferentes estrategias de vigilancia y control que permitían un mayor impacto de contención o mitigación. (…) Estos mapas eran utilizados anonimizando los casos individuales.”. f) “CoronApp no tiene la funcionalidad de generar una huella digital (…)”. 8) “Si bien la verificación del estado de salud de los viajeros para vuelos nacionales a través de la aplicación ya no es necesaria, los fines para los cuales se recopilaron los datos no han desaparecido (…) todo bajo el entendido que la pandemia no ha finalizado.”. a) “Teniendo en cuenta la calidad de responsable del Tratamiento de Datos que ostenta el Ministerio de Salud y Protección Social, le corresponde al Ministerio determinar el proceso de eliminación o supresión de los datos personales, cuando considere que la finalidad con la que fueron recolectados se haya cumplido (…)”. b) i. “Al momento de la cesión de CoronApp Colombia, los datos personales que se encontraban almacenados eran los mencionados en la estructura de datos.”. ii. “Hasta el 1 de octubre de 2021, fecha en la que el INS actuó como responsable del tratamiento de los datos, (…)” se siguió con lo expresamente establecido en los términos y condiciones de la aplicación. iii. “(…) es el Ministerio quien actualmente puede informar del uso que se le están dando a los datos personales.”. iv. “Mientras el INS fue el propietario de la aplicación los datos recolectados permanecieron almacenados teniendo en cuenta que la Pandemia por Covid-19 no ha finalizado, y la información recolectada a través de CoronApp, al ser parte del sistema de vigilancia de salud pública, podría resultar útil para actividades que desplegara el Ministerio de Salud y Protección Social para afrontar la enfermedad por Sars Cov-2, así como para el análisis del comportamiento del virus que debían realizar las entidades de salud del país.”. v. En virtud del contrato de cesión, es el Ministerio de Salud quien debe definir la posibilidad de conservar datos por fines científicos, estadísticos o históricos. 9) a) “En el documento de arquitectura de datos de la Corporación Agencia Nacional Digital, se especifica la herramienta de anonimización en el numeral 6.2 (…)”. b) “Un ejemplo del manejo de información anonimizada de la herramienta se aprecia en algunos de los tableros de mando diseñados para el análisis y toma de decisiones por parte de las entidades territoriales, en donde se presenta la información totalizada frente al número de alertas y advertencias sin usar en ningún momento datos personales.”. c) “Al inicio de la pandemia, en la fase de introducción y contención, los datos obtenidos a través del registro voluntario de los usuarios, se usaban con fines de seguimiento, en este sentido, las personas que generaban voluntariamente alertas o advertencias de acuerdo con el autodiagnóstico realizado, eran contactadas por la entidad territorial de salud, en el marco de sus competencias, con el fin de identificar atención previa en el servicio de salud, verificar el estado de salud, así como la canalización precisa de casos potenciales que requirieran ser dirigidos a centros asistenciales para iniciar su atención, identificación de posibles conglomerados de casos, en tiempo y lugar, que facilitaban priorizar la acción de las autoridades sanitarias como identificar potenciales cadenas de contagio, entre otras. De otra parte, el artículo 13 de la Ley 1581 de 2012 establece a su vez de forma taxativa las personas a quienes se les puede suministrar información que contiene datos personales (…) Esta es otra de las situaciones excepcionales en los que la información no se trataría de forma Anonimizada (…)”. 10) En la fase de introducción y contención, conforme al artículo 13 de la Ley 1581 de 2012, se le suministró información que contiene datos personales “(…) a las Entidades públicas en ejercicio de sus funciones, razón por la cual se compartió información con las secretarías de salud departamentales y distritales (…)”. Adicional a ellos, el Comité de Propiedad Intelectual del INS autorizó el suministro de información recolectada a través de CoronApp a las siguientes entidades, “las cuales presentaron solicitud formal al INS, indicando conexidad directa de la información requerida con sus funciones (…)”: Ecopetrol; Secretaria Distrital de Salud de Bogotá; Grupo de Energía de Bogotá S.A. ESP -GEB; Transportadora de Gas Internacional S.A. ESP – TGI; DANE; Interconexión Eléctrica S.A. E.S.P (Grupo ISA); Suramericana S.A.; Celsia S.A. ESP; Departamento Administrativo de la Presidencia de la República y Oleoducto Central S.A – Ocensa. 11) “(…) en la recolección y tratamiento de datos de CoronApp se tomaron medidas de forma específica respecto a un tipo de sujetos de especial protección, los cuales son los niños, niñas y adolescentes, acorde a la normatividad vigente (…)”. 12) “Conforme a la información consignada en el Grupo de Atención al Ciudadano del INS, esta Entidad recibió un total de ocho (8) reclamos en los cuales los titulares solicitaban la supresión de sus datos de CoronApp Colombia. El estado de cada una de ellas se remite en archivo Excel adjunto, así como los soportes de las solicitudes recibidas y las respuestas correspondientes.”. 13) Las entidades informaron que mientras fueron responsables del tratamiento de los datos recolectados en la aplicación CoronApp no tuvieron conocimiento de quejas presentadas en contra de ellas ante la SIC. Asimismo, mencionaron que “No se han presentado violaciones de códigos de seguridad o riesgo respecto a la administración de información de los titulares”. 14) El INS informó que, mientras fue responsable del tratamiento de los datos recolectados en la aplicación CoronApp, adoptó: (i) “Políticas”; (ii) “Términos y condiciones del aplicativo CoronApp Colombia”; (iii) “Sobre la recolección, almacenamiento, uso, circulación y supresión o disposición de la información personal, incluyendo los requisitos para obtener la autorización de los titulares”; (iv) “Acceso y corrección de datos personales”; (v) “Conservación y eliminación de la información personal”; (vi) “El uso responsable de la información, incluyendo controles de seguridad, administrativos, físicos y tecnológicos”; (vii) “Inclusión en todos los medios contractuales de la entidad de una clausula de confidencialidad y de manejo de información (…)” y (viii) “Presentación de quejas, denuncias y reclamos”. 15) La AND adoptó, como encargado de CoronApp protocolos y medidas técnicas de seguridad para evitar la adulteración y divulgación de la información, tales como: tener definidas políticas y procedimientos de seguridad de la información a nivel interno; contar con un software de seguridad perimetral; control de acceso limitado a la aplicación e infraestructura; diferentes capas de seguridad a nivel de infraestructura de la aplicación, entre otros.| Ministerio de Salud y de la Protección Social| 1) Teniendo en cuenta que el DAPRE y el Ministerio de Salud y la Protección Social informaron en sede de revisión que “actualmente la herramienta [entiéndase CoronApp-Colombia] se encuentra en proceso de cesión del INS al [Min Salud] y se está considerando su utilidad en las pruebas de laboratorio para los viajeros internacionales que se dirijan a destinos que solicitan prueba negativa de Sars-Cov-2 / de Covid-19”, ¿La administración de la herramienta CoronApp-Colombia ya fue cedida al Min Salud? Si la respuesta es afirmativa, informe ¿se hizo la transferencia de los datos personales recolectados a través de la aplicación a dicho ministerio? ¿qué tipo de datos se transfirieron y para qué finalidad? 2) ¿Cuáles son las razones por las cuales la descarga y uso de la aplicación CoronApp ya no hace parte de los protocolos de bioseguridad para el transporte aéreo? En otros términos, ¿cuáles fueron las razones por las cuales, en este punto específico, se expidió la Resolución No. 777 de 2 de junio de 2021?|No se recibió respuesta por parte del Ministerio de Salud y de la Protección Social.| FGN y PGN| Se sirvan informar si la señora Claudia Julieta Duque Orrego ha presentado denuncias o quejas por la presunta comisión de delitos en su contra por razón del ejercicio de su profesión de periodista. Si la respuesta es afirmativa, sírvase informar el estado de dichas actuaciones y adjuntar los soportes correspondientes.|La Dirección Seccional de Boyacá de la Fiscal General de la Nación, informó que la noticia criminal “XXXXXXXXXX”, que cursó en el despacho de la Fiscalía 42 de la Unidad de Conciliación Preprocesal – Grupo de Querellables Tunja “no cumple con los criterios del numeral 4” del presente auto, debido a que la señora Claudia Julieta Duque aparece en calidad de “XXX” y no de “XXX”.| |El coordinador del Grupo de Gestión Electrónica Documental – GED de la Procuraduría General de la Nación suministró datos generales de “X” radicados dentro de su sistema que corresponden a “quejas o denuncias que posiblemente tengan relación con la señora Claudia Julieta Duque Orrego”.| Traslado probatorio|1.La Dirección de Atención al Usuario, Intervención Temprana y Asignaciones de la Fiscalía General de la Nación indicó que consultados los sistemas misionales SPOA y SIJUF con el nombre de Claudia Julieta Duque se encontraron “XX” resultados. Aclarando que lo anterior, “no constituye certificación en virtud del articulo 3.3 del Decreto Ley 4057 de 2011”. 2.La Dirección Seccional de Bogotá de la Fiscalía General de la Nación informó que comunicó el auto a la Dirección Especializada contra Violaciones de Derechos Humanos para que diera la correspondiente respuesta. 3.La Dirección Especializada contra Violaciones a los Derechos Humanos de la Fiscalía General de la Nación dio traslado del oficio OPTB-1643/2021 a el Grupo de Trabajo Nacional de Amenazas.| OPAIN S.A., Aeropuertos de Oriente S.A.S. y Airplan S.A.S.| 1) Mientras estuvo vigente la recomendación y posibilidad de verificar el estado de salud de los viajeros a través de la aplicación CoronApp antes de ingresar a las instalaciones aeroportuarias (Resolución 1517 de 2020), ¿disponía de otra alternativa para el diligenciamiento de la mencionada información sin que fuese necesaria la descarga y uso de la aplicación? ¿en qué consistía la otra opción? Sírvase adjuntar los soportes correspondientes. 2) Remitir copia de los respectivos Protocolos de Bioseguridad Internos de los años 2020 y 2021 para el ingreso al aeropuerto y el transporte aéreo de pasajeros.|1. Airplan S.A.S informó que “mientras estuvo vigente la recomendación y posibilidad de verificar el estado de salud de los viajeros a través de la aplicación CoronApp antes de ingresar a las instalaciones aeroportuarias, como la misma normatividad no permitía ningún método alternativo, la sociedad no dispuso de ninguna otra opción para el diligenciamiento de la mencionada información.”. Por su lado, Aeropuertos de Oriente S.A.S. mencionó que “Teniendo en cuenta que la Resolución 1517 de 2020, emitida por el Ministerio de Salud, no contemplaba alternativas diferentes al diligenciamiento de la aplicación CoronApp para el ingreso a los aeropuertos, (…) Aeropuertos de Oriente S.A.S no disponía de otra alternativa para el diligenciamiento de la mencionada información sin que fuese necesaria la descarga y uso de la aplicación.”.| Traslado probatorio|Aeropuertos de Oriente S.A.S., en vista de las pruebas aportadas, menciono que no maneja ni controla los datos sensibles suministrados por los usuarios en la aplicación CoronApp y, reiteró que, implementó la verificación del diligenciamiento de la encuesta para el seguimiento del viaje de pasajeros en la aplicación CoronApp, conforme a la Resolución No. 1517 de 2020. Por último, informó que a partir de la vigencia de la Resolución 777 de 2021 no incluye en sus protocolos de bioseguridad el diligenciamiento del cuestionario de la CoronApp.| SIC| 1) ¿La SIC ha recibido quejas en contra del Instituto Nacional de Salud, la Corporación Agencia Nacional Digital y/o operadores aeroportuarios por la presunta infracción al régimen de protección de habeas data en el recaudo, tratamiento y almacenamiento de los datos personales a través de la CoronApp? Si la respuesta es afirmativa, sírvase informar el estado de dichas actuaciones y adjuntar el soporte correspondiente. Adicionalmente, informe si ha puesto en conocimiento de la Procuraduría General de la Nación este tipo de quejas. 2) En el ejercicio de las funciones previstas en la Ley 1581 de 2012, ¿la SIC ha realizado monitoreo o auditorías a las estrategias, procedimientos y herramientas utilizadas por el Instituto Nacional de Salud y de la Corporación Agencia Nacional Digital para el tratamiento de los datos personales recolectados a través de la CoronApp? Si la respuesta es afirmativa, sírvase informar el estado de dichas actuaciones y adjuntar el soporte correspondiente.|1) La SIC informó que, a la fecha, solo se ha recibido una denuncia anónima que tramitó bajo el radicado 20-173282. La anterior estuvo sustentada en que un equipo de marca Samsung, después de la última actualización de su sistema operativo, instaló de forma predefinida y sin posibilidad de borrado, la aplicación CoronApp. La Dirección de Investigaciones para la Protección de Datos Personales, luego de adelantar el procedimiento respectivo y valorar las pruebas allegadas, concluyó que “la pre-carga [de la aplicación CoronApp] no afectaba los derechos de los titulares ni al Régimen de Protección de Datos por cuanto no accedió a información considerada personal y/o sensible, ni a funcionalidades que podían afectar la privacidad (…)”. 2)La SIC manifestó que, en virtud de la función establecida en el artículo 1 del Decreto 4886 del 2011, el 1 de mayo de 2020 recomendó al INS, AND y Consejería Presidencial para Asuntos Económicos y de Transformación Digital: (i) elaborar una PTI especial y única para la aplicación CoronApp; (ii) inscribir oportunamente la base de datos de CoronApp ante la SIC en el Registro Nacional de Bases de Datos; (iii) realizar una auditoría para establecer los niveles de seguridad de la aplicación y (iv) Dar a conocer al ciudadano, de manera fácil y antes que el mismo suministre sus datos personales, la PTI. El 6 de mayo de 2020 reiteró la solicitud de elaborar una PTI especial, remitiendo una propuesta de borrador. Sin embargo, el 28 de mayo de 2020, al verificar que la PTI de la CoronApp no cumplía con el 64,7% de los requisitos legales que exige la regulación colombiana sobre el tratamiento de datos personales, recomendó varios ajustes a la misma, las cuales fueron incorporadas por las entidades encargadas y comunicadas a la SIC el 18 de junio de 2020.| Anexos allegados| Accionante: Claudia Julieta Duque| La accionante Claudia Julieta Duque anexó a su respuesta lo siguiente: 1.Sentencia T-1037 del 23 de octubre de 2008 (M.P. Jaime Córdoba Triviño) emitida por la Corte Constitucional. 2. Sentencia SC3-20032366 del 26 de marzo de 2020 (M.P. José Élver Muñoz Barrera) emitida por la Sección Tercera, Subsección C del Tribunal Administrativo de Cundinamarca. Traslado probatorio Las accionantes adjuntaron con su respuesta al traslado probatorio el siguiente documento: 3. Carta del Ministerio de Relaciones Exteriores de Colombia dirigida a la Secretaria Ejecutiva de la Comisión Interamericana de Derechos Humanos que atiende la solicitud relacionado con las medidas cautelares MC-339-09 en favor de Claudia Julieta Duque Orrego y “Celeste” con fecha del 23 de junio de 2021.| INS y AND| Las entidades anexaron a su respuesta los siguientes documentos: 1.Acuerdo de Transmisión de Datos Personales suscrito entre el Instituto Nacional de Salud – INS y la Corporación Agencia Nacional de Gobierno Digital firmado el 10 de marzo de 2020. 2. Otrosí No. 1 al Acuerdo de Transmisión de Datos Personales suscrito entre el Instituto Nacional de Salud – INS y la Corporación Agencia Nacional de Gobierno Digital – AND firmado el 30 de diciembre de 2020. 3. Otrosí No. 2 al Acuerdo de Transmisión de Datos Personales suscrito entre el Instituto Nacional de Salud – INS y la Corporación Agencia Nacional de Gobierno Digital – AND firmado el 29 de junio de 2021. 4. Otrosí No. 3 al Acuerdo de Transmisión de Datos Personales suscrito entre el Instituto Nacional de Salud – INS y la Corporación Agencia Nacional de Gobierno Digital – AND firmado el 31 de agosto de 2021. 5.Clausulado anexo al contrato interadministrativo de cesión de derechos patrimoniales de autor No. 485 de 2021, suscrito entre el Ministerio de Salud y Protección Social e Instituto Nacional de Salud (INS). 6. Memorando de la AND dirigido al INS del 17 de septiembre de 2021 sobre la “Transferencia de información recolectada en virtud de CoronApp”, radicado No. AND-EXT-0368-2021. 7. Memorando del INS dirigido a la AND del 5 de octubre de 2021 respondiendo al radicado No. AND-EXT-0368-2021. 8. Resolución 1607 del 22 de diciembre de 2013 “Por la cual se adopta el Reglamento de Propiedad Intelectual del Instituto Nacional de Salud-INS, la política para la protección de datos personales establecida en la ley estatutaria No 1582 de 2012 y se dictan otras disposiciones.”. 9. Resolución 0457 del 3 de junio de 2020 “Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualiza la Política de Tratamiento de Datos Personales del Instituto Nacional de Salud”. 10. Solicitudes y respuesta a entidades para suministrar información recolectada a través de la CoronApp, en las que se adjuntan 10 solicitudes y 10 autorizaciones. 11. Listado de reclamos y soportes, en el que se adjuntan 11 archivos pdf y un reporte de PQRSD que contiene 8 solicitudes.| Aeropuertos de Oriente S.A.S. y Airplan S.A.S.| Los operadores aeroportuarios anexaron a su respuesta los siguientes documentos: 1.Certificado de existencia y representación legal de Aeropuertos de Oriente S.A.S. 2. Certificado de existencia y representación legal de Airplan S.A.S. 3. Protocolo de bioseguridad para el transporte de pasajeros por vía aérea del Aeropuerto Internacional José María Córdova.| SIC| La SIC anexó a su respuesta los siguientes documentos: 1.Iniciación de actuación administrativa y requerimiento a Samsung, Google y INS, por parte del Director de Investigación de Protección de Datos Personales. 2. Certificado de existencia y representación legal de Samsung Electronics Colombia S. A. 3. Información sobre CoronApp dirigida a Samsung por la AND. 4. Acuerdo de licencia de usuario final para el software de Samsung. 5. Términos y condiciones de uso de CoronApp. 6. Elementos destacados de la política de privacidad de Samsung. 7. Respuesta al requerimiento con fecha del 23 de julio de 2020 dirigido al Director de Investigación de Protección de Datos Personales por parte de Samsung. 8. Actualización de base de datos de CoronApp en el Registro Nacional de Base de Datos dirigido a la SIC por parte del INS. 9. Verificación del cumplimiento de requisitos legales de la PTI de CoronApp dirigida al INS, AND y Consejería Presidencial para Asuntos Económicos y de Transformación Digital por parte de la SIC. 10. Memorando del Director de Investigación de Protección de Datos Personales de la SIC al Superintendente Delegado para la Protección de Datos Personales, remitiendo oficios de la AND sobre la PTI del 8 de mayo de 2020. 11. Memorando dirigido a la Consejería Presidencial para Asuntos Económicos y de Transformación Digital por parte de la SIC para que remita certificación y resultados de la auditoria externa a CoronApp. 12. Memorando dirigido al INS por parte de la SIC informando un error al cargar la PTI de CoronApp en el Registro Nacional de Bases de Datos. 13. Respuesta al radicado No. 20-145155- -5-0. Requerimientos CoronApp dirigido a la SIC por parte de la AND. 14. Verificación del cumplimiento de los requisitos legales de la PTI de CoronApp dirigido a la SIC por parte de la AND del 30 de mayo y 1 de junio de 2020. 15. PTI de la CoronApp. 16. Documento dirigido a la INS por parte de la SIC en la que consta el tramite de registro de una base de datos con una información personal. 17. Denuncia anónima. 18. Documento sobre la autorización precarga aplicación CoronApp en móviles dirigido a Samsung por parte del INS. 19. Preguntas en el marco de investigación adelantada por la SIC a Samsung. 20. Solicitud de prórroga para allegar información dirigida a la SIC por parte de Samsung y respectiva respuesta. 21. Documento dirigido a Samsung por parte de la SIC en la que informa el archivo de la actuación administrativa adelantada.| III. ANEXO III: Respuestas y traslado probatorio del auto del 3 de diciembre de 2021 Identificación detallada de las pruebas solicitadas en auto del 3 de diciembre de 2021|Respuestas allegadas| Ministerio de Salud y de la Protección Social| 1) ¿Cuáles son las razones por las cuales la descarga y uso de la aplicación CoronApp ya no hace parte de los protocolos de bioseguridad para el transporte aéreo? En otros términos, ¿cuáles fueron las razones por las cuales, en este punto específico, se expidió la Resolución No. 777 de 2 de junio de 2021? 2) El día 27 de octubre de 2021, el INS y la AND en respuesta unificada a las preguntas del auto del 8 de octubre de 2021 informaron que “el primero (01) de octubre de 2021 el Instituto Nacional de Salud suscribió, en calidad de cedente, un contrato interadministrativo de cesión total de derechos patrimoniales de Autor de la obra CoronApp Colombia a favor del Ministerio de Salud y Protección Social” y afirmaron que “este contrato [el de cesión total de derechos patrimoniales de autor de la obra CoronApp] se realizó teniendo en cuenta que la aplicación para esa fecha ya había cumplido, en lo que al Instituto Nacional de Salud-INS respecta, sin embargo, considerando que la aplicación puede tener una utilidad para enfrentar la pandemia que persiste por la Covid-19, al ser entregada al Ministerio de Salud y Protección Social, se busca que, todos los servicios tecnológicos se coloquen a disposición de la población desde el Gobierno Nacional (…)”. Al respecto, sírvase informar si el contrato administrativo de cesión total de derechos patrimoniales de autor de la aplicación CoronApp incluyó o no la transferencia de la base de los datos personales recolectados y tratados por el INS. Si la respuesta es afirmativa, sírvase informar lo siguiente: a) ¿Qué tipo de datos se transfirieron y cuál es la finalidad? b) ¿Quién es el Reponsable del tratamiento de los datos personales transferido? Indique cuáles son los deberes y las responsabilidades respecto de cada una de las funcionalidades de la aplicación CoronApp y del tratamiento de los datos recolectados a través de esta. c) ¿Quién es el Encargado del tratamiento de los datos personales transferido? Indique cuáles son los deberes y las responsabilidades respecto de cada una de las funcionalidades de la aplicación CoronApp y del tratamiento de los datos recolectados a través de esta. d) ¿Existe actualmente una nueva política para el tratamiento de los datos recolectados a través de la aplicación CoronApp? Si la respuesta es afirmativa, sírvase allegar copia de la respectiva política. e) ¿Cuál es la entidad, los requisitos y el procedimiento para que el titular de la información pueda reclamar la supresión del dato personal recolectado por la aplicación CoronApp? f) En lo que respecta a la cesión de la aplicación CoronApp realizada por el INS al MSPS, se indica que, aún cuando esta ya cumplió con su finalidad original, puede tener una nueva utilidad para enfrentar la pandemia que persiste por la Covid-19. Al respecto, explique: i. ¿Cuál es el nuevo alcance y uso de la aplicación CoronApp? ii. ¿Cuál es la finalidad por la que cada uno de los datos personales recolectados deberían permanecer almacenados en las bases de datos? iii. ¿Por cuánto tiempo estarán almacenados los datos personales que fueron recolectados y/o que serán recolectados con fundamento en la nueva finalidad? iv. ¿Cuál es el deber legal o contractual que lo impone? 3) El artículo 2.2.2.25.2.2. del Decreto 1074 de 2015 dispone que “[e]n caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento”. En ese sentido, informe: a) ¿El MSPS comunicó a los titulares los datos personales recolectados a través de la aplicación CoronApp las novedades sobre la identificación del actual o actuales Responsables y/o Encargados del tratamiento de los datos? Si la respuesta es afirmativa, sírvase explicar cómo lo hizo y anexe los respectivos soportes. b) Atendiendo al principio de libertad, ¿los actuales Responsables y/o Encargados del tratamiento de los datos personales obtuvieron una nueva autorización de los titulares? Si la respuesta es afirmativa, sírvase explicar cómo lo hizo y anexar los respectivos soportes. 4) El día 27 de octubre de 2021, el INS y la AND en respuesta unificada a las preguntas del auto de día 8 de octubre de 2021 afirmaron que “este contrato [el de cesión total de derechos patrimoniales de autor de la obra CoronApp] se realizó teniendo en cuenta que la aplicación para esa fecha ya había cumplido, en lo que al Instituto Nacional de Salud-INS respecta (…)”. Sobre este particular, informe si ya fueron eliminados o no los datos recolectados y tratados por el INS. Sírvase explicar su respuesta.|1) Al respecto el Ministerio de Salud señaló que: “Colombia, a partir de las recomendaciones que la Organización Mundial de la Salud (OMS) (…) aplicó las medidas reglamentadas por la Resolución 777 de 2021 con un enfoque basado en el respeto a la dignidad, los derechos humanos y los derechos fundamentales y libertades de los viajeros. (…) Es así que, respetando el principio de proporcionalidad y buscando garantizar la ejecución de viajes internacionales esenciales y continuar con la reactivación económica de todos los sectores donde se desarrolla la vida cotidiana de la población colombiana se establecieron normas de autocuidado y se actualizó el protocolo de bioseguridad que garantice la aplicación de medidas no farmacológicas, acompañadas también como se ha mencionado de aumento en la aplicación de dosis de las vacunas y del fortalecimiento de acciones del Programa de Pruebas, Rastreo y Aislamiento Selectivo Sostenible - PRASS en el que dentro de su ejecución contempla a través del Centro de Contacto Nacional de Rastreo – CCNR el seguimiento telefónico a viajeros ejecutado diariamente. (…) Desde el inicio de su operación se ha gestionado el seguimiento de más de 2 millones de viajeros ejecutada diariamente por un equipo de más de 1.200 agentes rastreadores. Todas las llamadas realizadas son grabadas previo consentimiento del ciudadano y en estricto cumplimiento de lo establecido en la Ley 1581 de 2012 y el Decreto Reglamentario 1377 de 2013.”. 2) “Esta Aplicación NO ALMACENA DATOS QUE NO HAYAN SIDO PREVIAMENTE CARGADOS EN LOS APLICATIVOS SISPRO del Ministerio de Salud y Protección Social como Ente Rector del Sector Salud los cuales son tratados conforme a la normativa vigente. La aplicación MINSALUD DIGITAL, solamente consulta los datos ya guardados en los aplicativos del MSPS y los cruza en diferentes fuentes de información que ya son del MSPS con el fin de entregar información de valor al ciudadano. En virtud de lo anterior se debe aclarar que se transfirieron datos únicamente de registro de los ciudadanos que estaban usando CoronApp con el único propósito de poder mantener compatibilidad con la nueva versión de MINSALUD DIGITAL; estos datos principalmente correspondían al correo electrónico y el documento de identificación y la fecha de registro, sin embargo no fueron usados dentro del contenido de la nueva versión.”. a) “Se transfirieron datos como el tipo de identificación, el número de identificación, la fecha de registro de la información y el correo electrónico del usuario. Esto para garantizar que en el proceso de migración de versiones, no se perdiera información que serviría para generar una positiva experiencia de usuario.”. b) “El responsable del tratamiento de datos es el MSPS de acuerdo con la política de privacidad y protección de la información del Ministerio (…) y que se encuentra establecida en la aplicación MINSALUD DIGITAL, la cual debe ser aceptada previamente por el usuario de la aplicación, de manera libre y voluntaria, antes de hacer uso o navegar en la nueva versión.”. c) “Los deberes y responsabilidades de las partes se encuentran descritos en el documento de Política de Privacidad y Protección de Datos del MSPS (…)”. d) “Es la misma que se tiene en el MSPS disponible en: http://url.minsalud.gov.co/pppdmsps” e) “Los titulares que consideren que la información debe ser objeto de corrección, actualización o supresión, cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley Estatutaria 1581 de 2012, podrán presentar un reclamo ante el Ministerio, el cual será tramitado según el artículo 15 de la misma ley y en los términos y a través de los canales dispuestos en la Política (…)”. f) i. “MINSALUD DIGITAL le permite realizar los trámites con el Ministerio con facilidad y eficacia; y se consolida como un canal de comunicación directo entre los ciudadanos y el Ministerio, haciendo que la colaboración social sea un elemento más en la gestión de la misma. En esta App no solo encontrará sus Certificados Digitales de Vacunación (programa regular y contra COVID-19) sino que garantizaremos la transparencia, los datos abiertos y la participación ciudadana. (…) Esta aplicación móvil permitirá que los ciudadanos tengan varios servicios que requieren en su día a día. El primero es la posibilidad de descargar el Certificado Digital de Vacunación COVID-19, que actualmente sólo puede ser descargado desde el portal de Mi Vacuna. También los ciudadanos podrán acceder rápidamente a los servicios de establecimiento de PQRS y conocer cómo se realizan los principales trámites en el Ministerio de Salud y Protección Social, pero quizás lo más importante es que los ciudadanos podrán conocer cuáles son las rutas de prevención de enfermedades, mediante la Big Data, y cruces de información de los aplicativos misionales del Ministerio, esta App podrá caracterizar al ciudadano y presentarle una información sobre los procedimientos que debe realizarse según el sexo, la edad, y las comorbilidades que pueda presentar. Aprovechando que CoronApp ya se encuentra desarrollado y más de 15 millones de usuarios la tienen instalada en sus celulares, se aprovechará para evolucionar los servicios y poner al alcance del ciudadano más funcionalidades. MINSALUD DIGITAL es una nueva versión de CORONAPP que tiene nuevos servicios de consulta de información en los sistemas SISPRO.”. ii. “Esta Aplicación NO ALMACENA DATOS QUE NO HAYAN SIDO PREVIAMENTE CARGADOS EN LOS APLICATIVOS SISPRO. La aplicación MINSALUD DIGITAL, solamente consulta los datos ya guardados en los aplicativos del MSPS y los cruza en diferentes fuentes de información que ya son del MSPS con el fin de entregar información de valor al ciudadano.”. iii. “El tiempo que el MSPS determine según la evolución de la pandemia.”. iv. Pregunta no respondida. 3) a) “La aplicación actualizó su versión, es decir que en cada aparato electrónico en que la misma hubiese sido instalada, al momento de usar la nueva versión, todos los usuarios deben iniciar el proceso de registro y aceptar los términos de uso descritos en el literal b) de la respuesta al numeral 2. Por lo tanto, esta actualización no afectó el contenido de la autorización dada anteriormente al INS.”. b) “Los usuarios deben aceptar la Política de Privacidad y Protección de Datos Personales en el momento en que se registran y según la actualización de la aplicación (Minsalud Digital), es decir que al usar el cambio de versión, deben aceptar la Política por lo que se genera un código de verificación enviado a su correo electrónico.”. 4) “No es del conocimiento de la Entidad si el INS eliminó o no dato algún, o si era procedente o no algún tipo de eliminación. En los numerales 7 y 8 del Contrato Interadministrativo se estableció como obligación a cargo del CONTRATISTA – CEDENTE lo siguiente: “(…) 7. Cumplir con las políticas de seguridad de la información y los lineamientos dados por EL MINISTERIO relacionados con el Sistema de Gestión de Seguridad de la Información. 8. Firmar un compromiso de confidencialidad y no divulgación con respecto a toda la información obtenida por EL CONTRATISTA durante la ejecución del contrato, cuando a ello hubiere lugar. (…)”.| AND| 1) De acuerdo con la respuesta al auto de pruebas de día 8 de octubre de 2021, el día 12 de septiembre de 2021 finalizó el Acuerdo de Transmisión de datos personales celebrado entre la AND y el INS. Al respecto, sírvase informar: a) ¿La información recolectada a través de la aplicación CoronApp ya fue borrada, eliminada, vuelto ilegible o devuelto junto con todas las copias que de ella hubiere hecho en servidores, dispositivos móviles, red de almacenamiento y demás periféricos donde se hubiese almacenado? Si la respuesta es negativa, explique: i. ¿Cuánto tiempo y cuál es la finalidad por la cual cada uno de los datos personales recolectados deberían permanecer almacenados en las bases de datos? ii. ¿Qué uso le están dando a los datos personales los responsables y/o encargados del tratamiento de la información? iii. ¿Por qué deben permanecer almacenados los datos recolectados? iv. ¿Cuál es el deber legal o contractual que así lo impone? Si la respuesta es afirmativa, explique: i. ¿A qué entidad fue devuelta la información o entregada la constancia de la eliminación de los datos almacenados? Sírvase anexar los soportes correspondientes.|La AND se limitó a reiterar lo informado en la respuesta al auto del 8 de octubre de 2021, adicionando a lo anterior que, en virtud del Acuerdo Marco de Nuble Pública celebrado con el proveedor Clouxter S.A.S., se “(…) realizó la transferencia de los ID de la cuenta asignada a CoronApp al MSPS, lo que contempla las credenciales de administración y control de la plataforma al MSPS incluida la información registrada en la base de datos diseñada el sistema CoronApp, en virtud de la cuenta asignada por el proveedor de servicios en la nube a CoronApp, toda vez que el Ministerio de Salud y Protección Social, actualmente tiene la facultad de disponer de los derechos sobre CoronApp Colombia, y ostenta la calidad de responsable del tratamiento de la información recolectada en CoronApp Colombia.”. Por último, aclaro que la AND no cuenta con ninguna copia de la información almacenada en CoronApp.| SIC| 1) En el marco de sus competencias constitucionales y legales, en especial aquellas relacionadas con el régimen de protección del derecho al habeas data, sírvase pronunciar sobre los hechos que motivaron la presente acción de tutela. Para tal efecto, por intermedio de la Secretaría General, remítasele copia de los documentos que integran el expediente digital del proceso de tutela. En especial, demanda de tutela, informes rendidos por las autoridades accionadas y fallos de tutela de primera y segunda instancia. 2) ¿Cuál es el procedimiento que adelanta la SIC/Delegatura de Protección de Datos cuando se presenta queja en contra de una autoridad pública por la presunta vulneración al régimen de protección de datos personales? Sírvase describir en qué consiste en el requisito de procedibilidad, las etapas del procedimiento ante la SIC y los términos de cada una estas. Así mismo, explique ¿cómo funciona la distribución de competencias entre la SIC y la Procuraduría General de la Nación cuando se presentan ese tipo de quejas en contra de autoridades públicas? 3) En el caso de que la entidad pública se abstenga de responder o niegue la solicitud de supresión de datos personales elevada por el titular del dato, (i) ¿qué tipo de medidas puede ordenar la SIC/Delegatura de Protección de Datos para proteger el derecho al habeas data?; (ii) ¿puede ordenar la supresión de los datos personales almacenados en bases de datos cuando los Responsables o Encargados son entidades públicas y se compruebe la violación al régimen de protección de habeas data? 4) Luego del 2 de junio de 2020, ¿asesoró o realizó vigilancia a los datos recaudados, tratados y almacenados a través de la aplicación CoronApp? ¿Inició alguna investigación producto de la vigilancia mencionada?|1) La SIC manifestó que: (i) no le constan los hechos narrados por las accionantes; (ii) que las últimas no presentaron reclamación alguna ante la SIC respecto a los hechos objeto de tutela y que esa entidad no fue vinculada al proceso. Por último, mencionó que los ciudadanos “(…) cuentan con dos mecanismos para buscar la protección de su derecho fundamental de habeas data (i)la acción de tutela o (2) la vía administrativa establecida en la Le. 1582 de 2012 (…)”. 2) La SIC informó que el procedimiento que adelanta la Delegatura de Protección de Datos Personales para atender las quejas es “el Procedimiento Administrativo general consagrado en el Titulo II de la Ley 1437 de 2011” desarrollados en las siguientes etapas: i. “El Titular de la información (persona natural) puede presentar una reclamación ante el responsable o encargado del tratamiento, para lo cual los numerales 1, 2 y 3 del artículo 15 de la Ley 1581 de 2012 señalan el trámite para presentar los reclamos con el fin de agotar el requisito de procedibilidad.”. ii. “Teniendo en cuenta la regulación en mención, dentro de las quejas presentadas por los titulares, esta Superintendencia procede a revisar la documentación anexa a las quejas, a fin de establecer si el ciudadano ha presentado la reclamación ante el Responsable o el Encargado del Tratamiento, relacionado con la protección de su derecho de habeas data.”. iii. “De acuerdo con la queja presentada, la Superintendencia de Industria y Comercio al advertir la existencia de la reclamación, su respuesta o la afirmación del titular de no haber recibido respuesta, procede, en caso de encontrar mérito a iniciar una actuación administrativa.”. iv. “De lo contrario, esta Dirección procederá a rechazar la solicitud. No obstante, el ciudadano podrá presentar una nueva reclamación, adjuntando prueba mediante la cual acredite que presentó reclamo previo ante el Responsable o el Encargado del Tratamiento (con constancia de radicación), así como la respuesta desfavorable suministrada por la misma o la afirmación de que su requerimiento no fue atendido en el término legal.”. v. “Si la queja presentada por el ciudadano está acompañada con la prueba que demuestre que el titular cumplido con el requisito de procedibilidad, la Superintendencia de Industria y Comercio corre traslado de la misma al Responsable o Encargado del Tratamiento para que, en ejercicio de su derecho de defensa y contradicción, en el término de rinda explicaciones y aporte las pruebas que pretenda hacer valer.”. vi. “Vencido dicho término, la Superintendencia de Industria y Comercio, entra a resolver de plano el asunto, a menos que se haga necesario practicar pruebas de oficio o a petición de parte.”. vii. Contra la decisión administrativa adoptada proceden los recursos de reposición y apelación. Por último y, respecto a la distribución de competencias entre la SIC y la PGN, indicó que, de acuerdo al parágrafo del artículo 23 de la Ley 1581 de 2012, el régimen sancionatorio de la Ley Estatutaria sólo le es aplicable a las personas de naturaleza privada, en lo que resta conserva las funciones señaladas en el articulo 21 de la Ley 1581 de 2012 frente a las entidades públicas. 3) La SIC mencionó que la solicitud de supresión de datos “no resulta procedente cuando el titular tiene un deber legal o contractual de permanecer en la base de datos como (…) [lo] consagra(…) el inciso segundo del artículo 9 del [D]ecreto 1377 de 2011 (…)”, y que, en cumplimiento de las funciones de la SIC “(…) ha impartido, entre otras, 105 órdenes administrativas a entidades públicas (…)”. 4)La SIC se limitó a reiterar lo informado en la respuesta al auto del 8 de octubre de 2021.| PGN| 1) ¿La PGN ha recibido quejas trasladadas de la SIC en contra de algún servidor público por la presunta infracción al régimen de protección de habeas data en el recaudo, tratamiento y almacenamiento de los datos personales a través de la CoronApp? Si la respuesta es afirmativa, sírvase informar el estado de dichas actuaciones y adjuntar el soporte correspondiente. 2) ¿La PGN ha recibido quejas de ciudadanos en contra de algún servidor público por la presunta infracción al régimen de protección de habeas data en el recaudo, tratamiento y almacenamiento de los datos personales a través de la CoronApp? Si la respuesta es afirmativa, sírvase informar el estado de dichas actuaciones y adjuntar el soporte correspondiente.|No se recibió respuesta por parte de la Procuraduría General de la Nación.| Traslado probatorio| Aeropuertos de Oriente S.A.S|Aeropuertos de Oriente S.A.S reiteró la información brindada en la respuesta y traslado probatorio del auto del 8 de octubre de 2021. Adicional a esto, solicitó a la Corte declarar que Aeropuertos de Oriente no vulneró los derechos fundamentales de las accionantes y negar la segunda pretensión de la acción de tutela, “(…) por cual la aplicación CoronApp ya no es de uso obligatorio, circunstancia que constituye un hecho superado.”.| Accionantes|Respecto a la respuesta de la AND, las accionantes manifestaron que fue “(…) vaga e imprecisa en aclarar por qué, pese a la conclusión del memorando entre ambas entidades y la culminación de dicho plazo, los datos personales en todo caso fueron transferidos a una tercera entidad (Ministerio de Salud y Protección Social). Evento que no estaba previsto en la política de tratamiento de datos (…) y que (…) [no] fue notificado a nosotras (…)”. Asimismo, indicaron que la AND “(…) debió eliminar los datos personales registrados en la aplicación (…) a más tardar el 1 de octubre de 2021, fecha en que concluyó el último memorando suscrito entre ésta y el Instituto Nacional de Salud.”. Además, reiteraron que en la respuesta conjunta la AND y el INS “(…) sostuvieron que la finalidad de la aplicación, así como del tratamiento de datos, se había concretado al fin.”, por lo que, afirmaron que no entendían por qué fueron transferidos sus datos sin previo aviso a un tercero, y que, vía tutela han insistido por más de un año en que sus datos sean eliminados. Por último, reiteraron el fenómeno “function creep” e informaron que la aplicación CoronApp ahora tiene otro nombre, MinSalud Digital, cuyo fin es “(…) ser el puente digital de comunicación entre la ciudadanía y el Ministerio de Salud.”. En ese sentido, indicaron que no fueron notificadas de dicho cambio; desconocen la política a cargo de MinSalud; la finalidad para lo cual serán empleados sus datos; la temporalidad de los mismos y los mecanismos y canales para ejercer sus derechos de cancelación y retiro de los datos de la aplicación MinSalud Digital, antigua CoronApp.| AND|La AND reiteró que la información recolectada a través de CoronApp Colombia, en el momento que el INS y la AND fueron responsable y encargado del tratamiento de datos, fue recolectada únicamente para la mitigación de la emergencia ocasionada por el Covid-19, conforme a todas las medidas de protección, seguridad de la información y principios establecidos en la Ley 1581 de 2012. Por último, concordaron con lo señalado por la SIC, indicando que desde la AND “fueron contempladas las actividades que lograron el cumplimiento de los fines legítimos consagrados en la salvaguarda de la salud publica y la protección de los datos personales de los usuarios de la aplicación.”.| Anexos allegados| AND| La AND anexó a su respuesta los siguientes documentos: 1.Memorando de la AND dirigido al INS del 17 de septiembre de 2021 sobre la “Transferencia de información recolectada en virtud de CoronApp”, radicado No. AND-EXT-0368-2021. 2. Memorando del INS dirigido a la AND del 5 de octubre de 2021 respondiendo al radicado No. AND-EXT-0368-2021. 3. Correos electrónicos que refiere el “traslado de las cuentas ID al” Ministerio de Salud. 4. Acuerdo Marco de Nube Pública. El Ministerio de Salud anexó a su respuesta los siguientes documentos: 1.Politica de privacidad y protección de datos personales del Ministerio de Salud y Protección Social. 2.Poder general de la apoderada del Ministerio de Salud| Aeropuertos del Oriente S.A.S.| Aeropuertos del Oriente S.A.S. en su respuesta al traslado probatorio anexó: 1. Certificado de existencia y representación legal de Aeropuertos de Oriente S.A.S.|