SFC - Hábeas data. Protección de datos de carácter financiero y crediticio. Vigilancia Concepto 2016064708-002 del 1 de agosto de 2016 id2016064708

HABEAS DATA, PROTECCIÓN DE DATOS DE CARÁCTER FINANCIERO Y CREDITICIO, VIGILANCIA Concepto 2016064708-002 del 1 de agosto de 2016

Síntesis: Las bases de datos personales que maneje la entidad vigilada y que no se encuentren dentro de la competencia de la Ley 1266 de 2008, estarán sometidas a la regulación establecida por la Ley 1581 de 2012 y será la Superintendencia de Industria y Comercio quién ejerza la vigilancia sobre las mismas. «(…) solicitud en la cual realiza las siguientes preguntas: “a) De acuerdo con la ley (sic) 1581 de 2012 de protección de datos personales (Art. 2, numeral e), aquellos datos que (…) recolecta a sus asociados, ahorradores y usuarios durante la prestación de servicios financieros, son exonerados de la aplicación a dicha ley debido a que están regulados por la ley (sic) 1266 de 2008. ¿Lo anterior indicaría entonces que CFA no debe realizar cambios para ajustarse a la normatividad que en esta materia ha establecido la Superintendencia de Industria y Comercio, sino que mantendría los esquemas de seguridad actuales que están alineados a la ley (sic) 1266 de 2008? b) (…) procesa datos personales de empleados y proveedores, cuya recolección no hace parte de un servicio financiero, por tal motivo, ¿les aplicaría todo el sistema derivado de la ley

(sic) 1581 y su respectiva regulación por la Superintendencia de Industria y Comercio? O en cambio, ¿al ser (…) una entidad vigilada por la Superintendencia Financiera,

automáticamente todas sus bases de datos personales se regirían por la ley (sic) 1266?”. En orden de resolver los cuestionamientos planteados, esta entidad considera necesario realizar, en primer lugar, las siguientes precisiones conceptuales respecto del ámbito de aplicación de la Ley 1581 de 2012: El numeral e) del artículo 2 de la Ley 1581 de 20121, delimita el ámbito de aplicación del denominado Régimen General de Protección de Datos Personales, señalando para el efecto que los principios y disposiciones que en ella dispuso el legislador, serán aplicables “a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”. De igual manera, definió la competencia del ente de control en razón al factor territorial, y estableció las excepciones a la aplicación de la norma. Entre estas, el literal e) incluyó a las “bases de datos y archivos regulados por la Ley 1266 de 2008 (…)”. En palabras de la Corte Constitucional2, se justifica la excepción a la aplicación de las disposiciones contenidas en la Ley 1581 de 2012, por cuanto ya existe un régimen sectorial que se ocupó de definir los derechos, garantías y obligaciones inherentes al tratamiento de datos personales financieros, el cual resolvió, en gran medida, las 1 La Ley 1581 de 2012 en su artículo 1 señala que su objeto es “desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma”.

2 Corte Constitucional. (6 de octubre de 2011) Sentencia C-748 del 2011. [MP. Jorge Ignacio Pretelt Chaljub]. Esta sentencia analizó la constitucionalidad del entonces proyecto de ley que posteriormente se denominó oficialmente como Ley 1581 de 2012. posibles tensiones existentes entre el habeas data como derecho fundamental y la actividad financiera, la cual es de interés público, como bien lo define la Constitución Política3. Ahora bien, la excepción prevista no puede entenderse como un mandato categórico, pues de conformidad con el parágrafo del ya referido artículo 2, serán aplicables los principios sobre protección de datos personales de la Ley 1581 de 2012 inclusive a las bases de datos que no se encuentran dentro de la órbita de competencia de las disposiciones de dicha ley. En consecuencia, aun cuando pueda pensarse que las bases de datos reguladas por la Ley 1266 de 2008 se encuentran excluidas de la aplicación de la Ley 1581 por contar con una normatividad especial, lo cierto es que los principios previstos en ambas leyes serán interpretados y aplicados de manera concurrente. Es así como, para la Corte, “con la introducción de esta reglamentación general y mínima aplicable en mayor o menor medida a todos los datos personales, el legislador ha dado paso a un sistema híbrido de protección en el que confluye una ley de principios generales con otras regulaciones sectoriales, que deben leerse en concordancia con la ley general, pero que introduce reglas específicas que atienden a la complejidad del tratamiento de cada tipo de dato”4, e insiste en que “los principios que prevé el proyecto bajo estudio deben aplicarse de manera complementaria con los establecidos en la Ley 1266”5.

(i) Respecto del primer interrogante planteado a esta entidad Claro lo anterior, para este ente de control no resulta acertado señalar que el tratamiento de información personal de contenido financiero y crediticio, comercial, de servicios y la proveniente de terceros países, se encuentra excluida, en su totalidad, del régimen previsto en la Ley 1581 de 2012. En efecto, aun cuando el artículo 2 de dicha norma haya incluido como excepciones a su aplicación, entre otras, la Ley 1266 de 2008, lo cierto es que el parágrafo del mismo artículo dispuso que, en todo caso, los principios previstos en el Régimen General de Protección de Datos Personales serán aplicables inclusive a las bases de datos exceptuadas. Además, el parágrafo del artículo 2 de la Ley 1581 de 2012 señaló que en los eventos en que cualquiera de las bases de datos exceptuadas haya sido objeto de una regulación que haya consagrado principios en razón a la naturaleza del dato, los mismos serán aplicables de manera concurrente con aquellos dispuestos por el artículo 4 de la Ley 1581 de 20126. 3 Señala el precitado artículo que “(l)as actividades financiera, bursátil, aseguradora y cualquier otra relacionada con el manejo, aprovechamiento e inversión de los recursos de captación a las que se refiere el literal d) del numeral 19 del artículo 150 son de interés público y sólo pueden ser ejercidas previa autorización del Estado, conforme a la ley, la cual regulará la forma de intervención del Gobierno en estas materias y promoverá la democratización del crédito”. Constitución Política de Colombia [Const.] (1991) Artículo 335 [Título XII]. Recuperado de http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=4125

4 Corte Constitucional, op. cit. 5 Ibidem. 6 “ARTÍCULO 4°. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: a) Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen; b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; Como se ve, la misma norma es clara en determinar que si bien existen excepciones a la aplicación de las disposiciones contenida en el Régimen General de Protección de Datos Personales, la misma no es extensible a los principios previstos en tal normatividad, pues estos deben observarse en todo momento, sin importar que se estén efectuando actividades de tratamiento de información financiera y crediticia, comercial o de servicios, es decir a las bases de datos cobijadas por la Ley 1266 de 2008. (ii) Respecto del segundo interrogante planteado a esta entidad La segunda pregunta está relacionada con la competencia que ejerce la Superintendencia de Industria y Comercio en los tratamientos de información contenida en las bases de datos que no se encuentran cobijadas por la Ley

1266 de 2008, efectuados por las entidades que están sujetas a la supervisión de la Superintendencia Financiera de Colombia. La Ley 1266 de 2008 regula el denominado “habeas data financiero”, en la medida que se ocupa, exclusivamente, en desarrollar los derechos, deberes y garantías en la administración de información personal que repose en bases de datos de contenido financiero y crediticio, y que se usa para efectos del cálculo del riesgo de crédito. De acuerdo a lo previsto por el artículo 17 de la mencionada ley, el legislador estatutario estableció una competencia dual en cabeza de dos organismos distintos: la Superintendencia de Industria y Comercio y, “(e)n los casos en que la fuente, usuario u operador de información sea una entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá la vigilancia e impondrá las sanciones correspondientes (…)”7. d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error; e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan; f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse

por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma”. Congreso de la República de Colombia. (17 de octubre de 2012). Artículo 4 [Título II]. Ley General de Protección de Datos Personales. [Ley 1581 de 2012]. Recuperado de: http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=49981 7 Congreso de la República de Colombia. (31 de diciembre de 2008). Artículo 17 [Título VI]. Ley de Hábeas Data Financiero.

[Ley 1266 de 2008]. En cambio, la Ley 1581 de 2012 dentro de su artículo 198, no hace distinción alguna frente a qué entidad ejerce la función de vigilancia de los destinatarios de la norma, pues establece, con precisión, que dicha labor estará en cabeza de la Superintendencia de Industria y Comercio como Autoridad de Protección de Datos. Así pues, se advierte que el legislador no atribuyó a esta Superintendencia funciones de vigilancia distintas a las que ya viene desempeñando por mandato de la Ley 1266, o como consecuencia de otras normas que dispongan competencias específicas en materia de supervisión. Entonces, la competencia atribuida por la Ley 1581 de 2012 a la Superintendencia de Industria y Comercio es exclusiva, pues la ley no señaló una dualidad de competencias para tal fin, y se extiende, inclusive, a las entidades vigiladas por la Superintendencia Financiera de Colombia, siempre y cuando dicha función de vigilancia esté dirigida a las bases de datos o archivos de información personal distinta a la que sí es objeto de la competencia de este Despacho, esto es, los datos personales de contenido financiero, crediticio, comercial y de servicios que tengan por finalidad el cálculo del riesgo de crédito. En conclusión, las bases de datos personales que maneje la entidad vigilada y que no se encuentren dentro de la competencia de la Ley 1266 de 2008, estarán sometidas a la regulación establecida por la Ley 1581 de 2012 y será la Superintendencia de Industria y Comercio quién ejerza la vigilancia sobre las mismas.

(…).» 8 La Ley 1581 de 2012 en su artículo 19 señala, respecto de la Autoridad de Protección de Datos que “(l)a Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.