SFC - Confidencialidad de la información. Seguridad y calidad. Concepto No. 2009063757-001 del 1 de septiembre de 2009 id2009063757

CONFIDENCIALIDAD DE LA INFORMACIÓN, SEGURIDAD Y CALIDAD Concepto 2009063757-001 del 1 de septiembre de 2009.

Síntesis: Se considera confidencial toda información amparada por la reserva bancaria, tal como número de cuenta, número de identificación personal (PIN), número de tarjeta física, información sobre depósitos o inversiones de cualquier tipo, créditos, saldos, cupos y movimientos de cuenta, siempre que vayan acompañados del nombre o número de identificación del cliente. En los contratos que se celebren con terceros, que tengan acceso a información confidencial de la entidad o de sus clientes, se deben incluir acuerdos de confidencialidad sobre la información manejada. Sobre la entrega de información confidencial a terceros no autorizados por el titular de la misma con fines comerciales, resulta pertinente anotar que uno de los principios de la administración de datos es la confidencialidad y el principio según el cual el titular de la información siempre debe prestar su consentimiento a la fuente para que transmita el dato al operador. «(…) solicita que se le informe “que garantía tenemos los usuarios de las instituciones financieras que nuestra información confidencial sea manejada con el debido control y no sea entregada a terceras personas entendiéndose estas como proveedores de servicios de tecnología o a entidades que comercializan productos”.

Sobre el particular, resultan pertinentes los siguientes comentarios: 1.- Esta Superintendencia ha expedido varias normas que propenden por la seguridad de las operaciones y las transacciones por los diferentes canales. La Circular Externa 052 de octubre 25 de 2007 es la instrucción más reciente, en la cual se establecen “los requisitos mínimos de seguridad y calidad que deben atender para el manejo de la

información a través de los diferentes medios y canales utilizados para la distribución de los productos y servicios que ofrecen a sus clientes y usuarios”. (Subrayado fuera de texto original). 2.- El numeral 2.14. de la referida Circular indica que se considera confidencial “toda aquella información amparada por la reserva bancaria”, tal como; número de cuenta, número de identificación personal (PIN), número de tarjeta física, información sobre depósitos o inversiones de cualquier tipo, créditos, saldos, cupos y movimientos de cuenta, siempre que vayan acompañados del nombre o número de identificación del cliente. 3.- El instructivo en mención establece una serie de requerimientos mínimos que deben observar las entidades vigiladas por esta Superintendencia para mantener la confidencialidad de la información de sus clientes y usuarios. En relación con el tema de su interés, el numeral 3.2.- de la Circular indica que en los contratos que se celebren con terceros que tengan acceso a información confidencial de la entidad o de sus clientes, se deben incluir acuerdos de confidencialidad sobre la información manejada. 4.- La implementación de la referida Circular está prevista en tres etapas, la primera de las cuales empezó a regir el 1 de julio de 2008. Para su referencia, el texto completo de la Circular Externa 052 de 2007, se encuentra disponible en la siguiente dirección electrónica: http://www.superfinanciera.gov.co/NormativaFinanciera/Archivos/ce052_07.rtf 5.- Ahora bien, en relación con su inquietud sobre la entrega de información confidencial a terceros no autorizados por el titular de la misma con fines comerciales, resulta pertinente anotar que uno de los principios de la administración de datos es

precisamente la confidencialidad1 y en la Ley 1266 de 20082, se consagra el principio según el cual el titular de la información siempre debe prestar su consentimiento a la fuente para que transmita el dato al operador (literal b) artículo 3°). A su vez, entre los derechos de los titulares de la información, se encuentra el de “solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario” (subnumeral 1.3. del numeral 3 y subnumeral 2.3. del numeral 2, ambos del artículo 6 del de la citada ley). 6.- Además el artículo 269F del Código Penal3 incluyó dentro del ordenamiento jurídico colombiano el tipo denominado “violación de datos personales”, en los siguientes términos: “El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.” (…).» 1 Letra g), artículo 4, Ley 1266 de 2008 2 “Por la cual se dictan las disposiciones generales del habeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones” 3 Ley 1273 de enero de 2009.