SFC - Habeas data. Reporte negativo. Autorización para hacer el reporte CC. Sala Cuarta de Revisión. M. P. Gabriel Eduardo Mend idT-2384383.

HÁBEAS DATA, REPORTE NEGATIVO, AUTORIZACIÓN PARA HACER EL REPORTE Corte Constitucional. Sala Cuarta de Revisión. M. P. Gabriel Eduardo Mendoza Martelo.

Sentencia T-168 del 8 de marzo de 2010. Expediente T-2.384.383.

Síntesis: La Sala advierte que es responsabilidad de la central de información financiera verificar si las entidades que realizan el reporte se encuentran legítimamente autorizadas por el titular de los datos negativos para que éstos se suministren a las centrales de riesgo. Por ello, se ordena a la central que verifique si las entidades involucradas se encontraban autorizadas para hacer dicho reporte, de modo que, si acreditan debidamente esa facultad, se encontrará demostrada la legitimidad del reporte, lo que permite que se mantenga por el tiempo correspondiente en las centrales de riesgo. En caso contrario, deberá proceder a cancelar el reporte.

«(…)

III. CONSIDERACIONES

1. Competencia Es competente esta Sala de la Corte Constitucional para revisar la decisiones proferidas dentro de la presente acción de tutela, con fundamento en los artículos 86 y 241, numeral 9, de la Constitución Política, en concordancia con los artículos 31 y 36 del Decreto 2591 de 1991.

2. Procedibilidad de la Acción de Tutela 2.1. Legitimación activa La accionante se encuentra legitimada para interponer la acción de tutela, toda vez que actúa en nombre propio y en defensa de sus derechos e intereses. 2.2. Legitimación por pasiva Las entidades demandadas: (…), (…) –en liquidación y la Sociedad (…), división (…), se

encuentran legitimadas como parte pasiva toda vez que, todas ellas son entidades privadas frente a las cuales la accionante ha realizado solicitudes en ejercicio de su derecho fundamental de habeas data, de conformidad con el numeral 6 del artículo 42 del Decreto 2591 de 1991, las que a su juicio, no han sido cabalmente atendidas. En efecto, de acuerdo con la jurisprudencia de la Corte Constitucional1, la acción de tutela para proteger el derecho fundamental de hábeas data, exige, como requisito de procedibilidad, presentan solicitud previa a la entidad correspondiente, para corregir, aclarar, rectificar o actualizar el dato o la información que ha sido reportada a las bases de datos. En el caso bajo examen se observa que la demandante presentó solicitudes ante las entidades accionadas, con el objeto de obtener el retiro del reporte negativo que por cuenta de cada una de ellas se mantiene en (…) (Folios 148 y 149). Aunque la accionante no se dirigió a (…) de manera previa a la interposición de la tutela, es posible considerar que las solicitudes presentadas ante las entidades emisoras del dato negativo suplen, en este caso, esa formalidad. Por esta razón, la Sala encuentra probado el requisito de procedibilidad de la presente acción de tutela. 1 Ver Sentencias entre otras T-131 de 1998 M.P. Hernando Herrera Vergara; T-857 de 1999 M.P. Carlos Gaviria Díaz y T1322 de 2001M.P. Alfredo Beltrán Sierra.

3. Problema Jurídico Conforme a los antecedentes planteados corresponde a esta Sala de Revisión determinar si las entidades (…), (…) y (…) - en liquidación, vulneran derechos fundamentales de la señora

(…), al mantener reportada información financiera negativa suya en la base de datos de las centrales de riesgo. A su vez, la Sala determinará si la central de riesgo (…) vulneró, por omisión, los derechos fundamentales de la accionante toda vez que, habría registrado la información suministrada por las distintas entidades sin constatar su veracidad y sin exigir constancia sobre la existencia de autorización previa para realizar el reporte. Para la solución de las anteriores cuestiones esta Corporación reiterará su jurisprudencia relacionada con el alcance del derecho fundamental de habeas data, y, en ese ámbito, sobre el derecho de petición como instrumento para asegurar su efectividad, para, a partir de esas premisas, abordar la consideración de caso concreto.

4. Alcance del derecho de habeas data. Reiteración de jurisprudencia 4.1. De acuerdo con el artículo 152de la Carta Política el habeas data consiste en “[e]l derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

El mencionado derecho fundamental tiene como finalidad garantizar que la información reportada o almacenada en las bases de datos respete las garantías constitucionales de los ciudadanos. Sobre el particular, la Corte, en Sentencia T-848 de 20083, expresó: “(…) En tal sentido, tanto las autoridades públicas, como particulares, están obligados respetar el derecho al buen nombre y, en consecuencia al Estado a quien le corresponde velar por el cumplimiento de tal deber dotándolas de instrumentos que garanticen la veracidad de

la información que se suministre de un determinado sujeto de derecho(…)”. 4.2. Ha dicho la Corte Constitucional que el núcleo esencial del habeas data está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y, en especial, económica. Para la Corte, la autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales. A su vez, la referencia a la libertad tiene que ver con el hecho de que ésta, en particular la económica, podría ser vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley4. El contenido del habeas data se manifiesta por tres facultades concretas que el citado artículo 15 reconoce a la persona a la cual se refieren los datos recogidos o almacenados5 a) El derecho a conocer las informaciones que a ella se refieren; comprende la posibilidad de exigir que se le informe en que base de datos aparece reportado así como el poder verificar el contenido de la información recopilada; 2 Inciso segundo del artículo 15 de la Constitución Política. 3 M. P. Marco Gerardo Monroy Cabra 4 Ver Sentencia SU - 082 de 1995 M. P. Jorge Arango Mejia. 5 Ver entre otras Sentencias SU-082 de 1995 M. P. Jorge Arango Mejía y T-684 de 2006 M. P. Marco Gerardo Monroy Cabra. b) El derecho a actualizar tales informaciones, es decir, a ponerlas al día, agregándoles los hechos nuevos, de solicitar que sea ingresada de manera inmediata al banco de datos la nueva

información principalmente de aquella que trate sobre el cumplimiento de las obligaciones; c) El derecho a rectificar las informaciones que no correspondan a la verdad, la jurisprudencia constitucional ha señalado que éste derecho se refiere a la posibilidad que tiene el titular de la información a exigir “(i) que el contenido de la información almacenada sea veraz; (ii) que se aclare la información que por su redacción ambigua, pueda dar lugar a interpretaciones equívocas y (iii) que los datos puestos a disposición de la base de datos hayan sido obtenidos legalmente y su publicación se haga mediante canales que no lesione otros derechos fundamentales, entre otras exigencias”6 Existe, además, el derecho a la caducidad del dato negativo que se encuentre reportado en las centrales de riesgo, el cual no fue consagrado expresamente en el artículo 15 de la Constitución, pero que se deduce de la misma autodeterminación informática, y también de la libertad. El alcance de este derecho se analizará posteriormente, en esta misma providencia Del mismo modo, la jurisprudencia ha puntualizado que, como parte del derecho de habeas data se encuentra la necesidad de que, para que se puedan reportar los datos financieros negativos de una persona a las centrales de riesgo, ésta debe haber dado su consentimiento expreso y previo. 4.3. El derecho de habeas data adquiere mayor relevancia en todo lo relacionado con la recopilación de la información suministrada a la bases de datos creadas para establecer los riesgos de los usuarios actuales y potenciales del sistema financiero.7 Al respecto, esta Corporación ha sostenido que las centrales de riesgos administran información financiera, la cual reviste interés público, de conformidad con el artículo 335 de

la constitución, debido a que su función principal está encaminada a disminuir los riesgos de créditos a los usuarios del sistema, protegiendo así los recursos del ahorro público y garantizando el desarrollo de la actividad económica8. Para tal efecto, el sistema financiero maneja información, positiva y negativa, sobre sus usuarios a través de medios que les permiten conocer, actualizar y rectificar la información que sobre ellos se reporta en las centrales de riesgo. Por ello, en cumplimiento del derecho al habeas data, los titulares de la información pueden exigir la diligencia de las personas o entidades que administran la información para que ésta sea veraz y corresponda a la realidad9. 4.4. Por tener particular significación dentro del presente caso, la Sala se refiere a continuación a los siguientes aspectos del habeas data: (i) Condiciones en las que procede el reporte del dato negativo a las centrales de riesgo, dentro de las cuales se encuentran, la veracidad y certeza de la información, y la necesidad de autorización expresa para el reporte del dato financiero negativo; (ii) El derecho de los usuarios, derivado del artículo 23 Superior, a que se les informen, de manera completa y documentada, las razones por las cuales se ha producido un reporte y las condiciones del mismo; (iii) Caducidad del dato negativo, particularmente en cuanto hace a la que se origina en obligaciones insolutas, y, (iv) Obligaciones de las centrales de riesgo. 6 Ver Sentencia T-684 de 2008 M. P. Marco Gerardo Monroy Cabra. 7 Sentencia T684 de 2006 M. P. Marco Gerardo Monroy Cabra. 8 Artículo 335 Constitución Política: “Las actividades financiera, bursátil, aseguradora y cualquier otra relacionada con el

manejo, aprovechamiento e inversión de los recursos de captación a las que se refiere el literal d) del numeral 19 del artículo 150 son de interés público y sólo pueden ser ejercidas previa autorización del Estado, conforme con la ley, la cual regulará la forma de intervención del gobierno en esta materia y promoverá la democratización del crédito”. 9Sentencia T-848 de 2008 M. P. Marco Gerardo Monroy Cabra. 4.4.1. Condiciones en las que procede el reporte del dato negativo a las centrales de riesgo. La jurisprudencia constitucional ha desarrollado algunos principios en aras de garantizar que la información registrada en los bancos sea veraz, completa, exacta, actualizada y comprobable. En efecto, en la Sentencia T-798 de 200710 la Corte dispuso algunas reglas para el manejo de la información que reposa en las centrales de riesgo, dentro de las cuales se encuentran, (i) la necesidad de que la información reportada sea veraz, lo cual implica proscribir la divulgación de datos falsos, parciales, incompletos e insuficientes, y, (ii) el requisito de autorización previa, escrita, clara, expresa, concreta y libremente manifestada por el titular del dato, como condición para que una entidad financiera pueda divulgar información relacionada con la historia crediticia de una persona. Para la Corte, “[a]demás debe contar con la autorización previa en los términos anteriormente indicados, el reporte de datos negativos a centrales de información crediticia debe ser informado al titular del dato, con el fin de que este pueda ejercer sus derechos al conocimiento, rectificación y actualización de los datos, antes de que estos sean expuestos al conocimiento de terceros”;

4.4.1.1. Esos criterios aluden, en primer lugar, a la veracidad de la información, en cuanto que debe responder a la situación objetiva del deudor, presentada de manera completa. En ese sentido, es preciso que se tenga certeza sobre la existencia y las condiciones del crédito. La jurisprudencia constitucional ha precisado que no basta con que las entidades que realicen el reporte tengan los registros contables que soporten la existencia de la obligación, sino que, además, como condición para hacer el reporte y como medio para hacer efectivo el derecho de las personas a conocer las circunstancias del mismo, deben contar con los documentos de soporte, en los que conste la respectiva obligación. Al respecto la Corte, en reciente providencia, indicó que el derecho de consulta que tienen los titulares de la información, se encuentra relacionado con el manejo contable de las entidades financieras. Al respecto sostuvo: “(…) Los hechos económicos que tienen lugar en desarrollo de la relación que se traba entre usuarios del sistema y las entidades financieras se reflejan en los registros contables, los cuales están llamados a dar cuenta de lo que genéricamente se ha denominado “dato”. Estos registros reflejan las operaciones financieras cursadas y, por lo mismo, se constituyen en prueba idónea de la veracidad e integridad de la información, de allí que su manejo y guarda adquiera especial valor en relación con el derecho de habeas data. Los registros de los hechos económicos en los asientos contables deben encontrarse respaldados, tal y como ordena la ley, en los respectivos soportes, de manera que las operaciones de crédito deben documentarse mediante los preliminares de aprobación de crédito, el contrato de mutuo debidamente instrumentalizado a través de un pagaré o

cualquier otro medio utilizado por las partes usuarios y operadores para formalizar sus negocios jurídicos y sus relaciones financieras. Es por ello que dichos soportes deben adherirse a los comprobantes de contabilidad respetivos y deben conservarse debidamente de manera que sea posible su verificación11. Lo anterior, adquiere mayor importancia cuando se presenta una controversia sobre la existencia de una obligación sobre la cual no exista claridad debido al transcurso del tiempo, en estos casos se ratifica la existencia de la obligación con la presentación de los documentos idóneos con los que se respalde la existencia de la obligación controvertida. Al respecto, la Corte ha señalado que cuando judicialmente se haya controvertido la existencia 10 M. P. Jaime Córdoba Triviño 11 Ver Sentencia T-129 de 23 de febrero de 2010 M. P. Juan Carlos Henao. del crédito no cabe que mientras que la obligación esté en disputa se haga el correspondiente reporte. En efecto, la Corte en Sentencia T-272 de 2007 sostuvo que en situaciones en las que se ha generado un reporte negativo con respecto a un deudor, pero éste controvierte la veracidad de la información reportada, bien porque desconoce que la obligación supuestamente insoluta haya nacido a la vida jurídica en la forma en que lo sostiene el acreedor, bien porque entiende que si bien la obligación existió, ya se ha extinguido por alguna circunstancia que no es aceptada por quien fuera el titular de dicho crédito, “… la Corte ha considerado que no se cumple de manera satisfactoria el criterio de veracidad, por lo que no resulta procedente mantener el reporte, junto con sus efectos negativos, mientras no se dilucide con toda claridad si en efecto la obligación existe y se encuentra pendiente de

pago en la forma en que lo entiende el acreedor.” Agrego la Corte que “[f]rente a la tensión existente entre los derechos e intereses de las organizaciones que usan este tipo de información y los de las personas reportadas, es necesario anotar que el informe de situaciones discutidas y no suficientemente esclarecidas expone al afectado a sufrir todas las limitaciones y consecuencias negativas de tales reportes …”. 4.4.1.2. Como se ha señalado, la Corte, al establecer el núcleo esencial del derecho al habeas data, consideró que la autorización expresa y específica proveniente del titular de la información que ha sido puesta en circulación en las bases de datos constituye, uno de los requisitos para que proceda de forma legítima el reporte de datos en las centrales de riesgo financiero. Por consiguiente, la autorización que el interesado otorgue para disponer de su información es la base fundamental y el punto de equilibrio que le permite, a las entidades solicitar o reportar el incumplimiento de las obligaciones por parte de algún usuario del sistema financiero a las centrales de riesgo. A su vez, cuando el titular encuentre que no ha dado su autorización para el reporte estaría facultado, debido al incumplimiento de este requisito, para reclamar la exclusión del dato12. Ahora bien, esta Corporación ha señalado que la autorización que se requiere para que el reporte de una información financiera sea legítima debe ser libre, previa, expresa, escrita y proveniente del titular del dato13. En concordancia con lo anterior, la Corte en Sentencia T-592 de 2003 manifestó que la autorización de la cual se ha hecho mención se encuentra asociada con la oportunidad que las

entidades deben otorgar a los titulares de la información para que puedan en cualquier momento rectificar o actualizar los datos que sobre ellos reposen en las centrales de riesgos. En tal sentido, sostuvo que: “El consentimiento del titular de la información sobre el registro de sus datos económicos en los procesos informáticos, debe estar aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, ya que resultan esenciales para salvaguardar su derecho a la autodeterminación informática” De lo anterior se concluye que la jurisprudencia constitucional, de manera unánime y reiterada, ha considerado que los administradores informáticos deben obtener una previa y expresa autorización de los titulares del dato que se pretende recopilar, tratar o divulgar. Y de la misma manera, deben permitir las solicitudes de rectificación y actualización por parte de los titulares de los mismos. 12 Ver, entre otras, las sentencias SU-082 de 1995, M. P Jorge Arango Mejia y T-684 de 2006 M. P. Marco Gerardo Monroy Cabra. 13 Ibidem 4.4.2. La jurisprudencia ha señalado que como manifestación especial del derecho de petición, y como condición para la efectividad de su derecho de habeas data, las personas pueden elevar solicitudes respetuosas a las entidades u organizaciones públicas o privadas que participan en la administración de datos personales, y éstas tienen, a su vez, la obligación de dar una respuesta oportuna, de fondo y congruente con lo pedido. De este modo, es deber de quienes administran las bases de datos y, en general, de quienes

reportan la información a ellas, responder de manera oportuna, completa, congruente y documentada las solicitudes que se les presenten por las personas afectadas por el reporte de datos negativos. De no ocurrir ello así se genera una situación de indefensión de los usuarios, que se verían imposibilitados para solicitar la rectificación, la corrección o la actualización de los datos. Esta Corporación en distintos fallos ha ido perfilando los alcances del derecho fundamental de petición, señalando los elementos que lo conforman y que permiten que se garantice su efectividad. En este sentido, en Sentencia T-377 de 200014 la Corte sostuvo que: “a) El derecho de petición es fundamental y determinante para la afectividad de los mecanismos de la democracia participativa. Además que mediante él se garantizan otros derechos constitucionales, como los derechos a la información, a la participación política y a la libertad de expresión. B) El núcleo esencial del derecho de petición reside en la resolución pronta y oportuna de la cuestión, pues de nada serviría la posibilidad de dirigirse a la autoridad si ésta no resuelve o se reserva para sí el sentido de lo decidido. c) La respuesta debe cumplir con estos requisitos: 1.oportunidad, 2. debe resolverse de fondo, clara, precisa y de manera congruente con lo solicitado y 3. ser puesta en conocimiento del peticionario. Si no se cumple con estos requisitos se incurre en una vulneración del derecho constitucional fundamental de petición. d) Por lo anterior, la respuesta no implica aceptación de lo solicitado ni tampoco se concreta siempre en una respuesta escrita. e) Este derecho, por regla general, se aplica a entidades estatales, esto es, a quienes ejercen

autoridad. Pero la Constitución lo extendió a las organizaciones privadas cuando la ley así lo determine. (…) Respecto de este último elemento, se ha sostenido que el derecho de formular peticiones, en principio, es vinculante solamente para las autoridades públicas sin embargo, también esta previsto que se pueden presentar peticiones ante entidades privadas cada vez que las mismas tengan como objetivo garantizar algún derecho fundamental15. En efecto, la jurisprudencia ha señalado que como manifestación especial del derecho de petición y como condición para la efectividad del habeas data las personas pueden solicitar a las entidades financieras información sobre su historial crediticio. Por consiguiente, las peticiones presentadas ante entidades privadas requiriendo, por ejemplo, los datos sobre su historia financiera negativa reportada a las centrales de riesgos, presuponen la protección del derecho fundamental al habeas data toda vez que, su finalidad es conocer la 14 M. P. Alejandro Martínez Caballero. 15 Ver Sentencias T-219 de 2001 M. P Fabio Morón Díaz y T-507 de 993 M. P Alejandro Martínez Caballero. procedencia de esa información, lograr establecer sus elementos y si corresponde a la realidad. Indicó que es deber de las bases de datos y en general de quienes reportan datos a ellas, responder de manera oportuna, completa, congruente y documentada las solicitudes que se le presenten por las personas afectadas por el reporte de datos negativos. De no ocurrir ello así cuando se solicite, por ejemplo, aclaración sobre el fundamento de un reporte de información financiera negativa, los usuarios se verían imposibilitados para solicitar la rectificación, corrección o la actualización de los datos.

Ahora bien, se ha indicado que la notificación oportuna al interesado de la respuesta conforma el núcleo esencial del derecho fundamental de petición toda vez que, no puede tenerse como “real contestación” aquella que sólo es conocida por la entidad de quien se solicita la información, pues estás se encuentran obligadas a transmitir la información solicitada al interesado en cumplimiento del derecho de petición16. Esta Corporación enfatizó que si por algún motivo las entidades no pueden resolver las peticiones que les fueron presentadas, deben entonces informar a los interesados las razones de esa imposibilidad en aras de evitar la vulneración del respectivo derecho fundamental17. 4.4.3. En cuanto hace a la caducidad de dato negativo, la Corte Constitucional, al pronunciarse sobre el derecho fundamental del habeas data, ha sido enfática en determinar que la información financiera negativa administrada por parte de las centrales de riesgo no puede permanecer de manera indefinida en las bases de datos. Esta Corporación tratando de suplir la ausencia legislativa que existía antes de la expedición de la Ley Estatutaria 1266 de 2008, en lo concerniente a la caducidad de la información negativa de contenido financiero y crediticio, estableció algunas reglas jurisprudenciales18 que en su momento se aplicaron para determinar, en algunos casos específicos, el límite temporal de la permanencia de aquellos datos en las centrales de riesgo. Sin embargo, el legislador en el año 2008 mediante la Ley Estatutaria No 1266 “por la cual se dictan las disposiciones generales del Hábeas Data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones” reguló el tema en

los siguientes términos: “Artículo 13: Permanencia de la información. La información de carácter positivo permanecerá de manera indefinida en los Bancos de Datos de los operadores de información. Los datos cuyo contenido hagan referencia al tiempo de mora, tipo de cobro, estado de la cartera, y en general aquellos datos referentes a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los Bancos de Datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será de cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida.” La Corte en desarrollo del control automático de constitucionalidad de la mencionada ley, expidió la Sentencia C-1011 de 200819, en la cual se declaró la exequibilidad del citado 16 Sentencia T-249 de 2001 M. P. José Gregorio Hernández Galindo. 17 Sentencia T-249 de 2001 M. P. José Gregorio Hernández Galindo, en la cual se refiere a las peticiones presentadas ante entidades. 18 Ver entre otras SU-082 de 19995, SU-098 de 1995, T-798 de 2007 M. P. Jaime Córdova Triviño 19 M. P. Jaime Córdoba Triviño. artículo 13, en el entendido de que la caducidad del dato financiero en caso de mora inferior de dos años, no podrá exceder el doble de la mora, y que el término de permanencia de cuatro años también se contará a partir del momento en que se extinga la obligación por cualquier

modo. Destacó la Corte en esa sentencia, que el legislador, en ejercicio de su potestad de configuración había procedido a establecer un término de caducidad del dato financiero negativo, pero que, sin embargo, había omitido establecer una diferencia en atención a las condiciones temporales en las que se había producido el pago, y tampoco había previsto la situación de las deudas insolutas, en relación con las cuales la jurisprudencia había establecido un término de caducidad equivalente al de prescripción ordinaria que es de diez años. Así pues, la Corte, en la Sentencia C-1011 de 2008, a partir de la regla general establecida por el legislador, distinguió tres situaciones (i) la caducidad de un dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora, (ii) en los casos en que el titular cancele las cuotas vencidas o la obligación vencida después de dos años de mora, el término de permanencia de la información negativa será de cuatro años contados a partir de la fecha en que se da cumplimiento a la obligación y (iii) cuando se trate de obligaciones insolutas, la caducidad de la información negativa reportada será, a su vez, de cuatro años contados a partir del momento en que la obligación deje de existir por cualquier causa. Esta última previsión es la que resulta aplicable a la extinción de las obligaciones originada en la prescripción. Respecto a ésta última forma de extinción de obligaciones, la Corte precisó que una vez culmine el término de prescripción de las acciones cambiarias empezará a correr el término

reconocido para la prescripción de las acciones civiles ordinarias20, es decir, que si una persona permanece en mora en relación con una obligación por más de 10 años se entenderá que la misma se extinguió en virtud de la prescripción. Está Corporación advierte que de no presentarse la suspensión o interrupción de la prescripción, ésta se empieza a contar a partir del momento en que se hace exigible la obligación y una vez se extinga por esta causa se empezará a contar el término de la caducidad de la información negativa reportada en las centrales de riesgo, el cual, como se ha señalado, tiene un periodo de permanencia de 4 años. Así pues se concluye que en aquellos casos en que la obligación en virtud de la prescripción se extinga, la información reportada con base en ella deberá permanecer en las centrales de riesgo por un tiempo adicional definido por la ley. 4.4.4. Obligaciones de las centrales de riesgo. La Corte, a su vez, se ha pronunciado sobre las bases de dato y al respecto a manifestado que las centrales de riesgo, son centros de acopio y almacenamiento de datos relacionados con el comportamiento financiero de los usuarios del sistema. Éstas son administradoras que están encargadas, además, de la actualización y ampliación de la información, en virtud de los contratos que se celebren con entidades crediticias. En lo referente a las bases de datos, esta Corporación ha sostenido que si bien es cierto que su función es administrar, ingresar y actualizar la información que reciben, no significa que no

tengan responsabilidades importantes en materia de protección del derecho al habeas data de los titulares de la información que ingresan21. En este sentido, la Corte ha precisado sus funciones de la siguiente manera: 20 Artículo 8° de la Ley 791 de 2002. El artículo2536 del Código Civil quedará así: // “El artículo 2536: La acción ejecutiva por cinco (5) años y la ordinaria por diez (10). La acción ejecutiva se convierte en ordinaria por el lapso de cinco (5) años, y convertida en ordinaria durará solamente otros cinco (5)” 21 Ver Sentencia T-684 de 2006 M. P. Marco Gerardo Monroy Cabra. “Las entidades administradores de bases de datos financieros son responsables de que (i) el ejercicio de la recolección, tratamiento y circulación de datos sea razonable y no lesione los derechos fundamentales de los titulares de la información;(ii) de la incorporación de los nuevos datos que le sean remitidos, en particular cuando de la inclusión de dichos datos se deriven situaciones ventajosas para el titular; (iii) de retirar los datos una vez se cumplan los términos de caducidad de los mismos (iv)de mantener separadas las bases de datos que se encuentren bajo su cargo y de impedir cruces de datos con otros bancos de información; (v) de garantizar la integridad y seguridad de la información almacenada; (vi) de verificar que la entidad que le remite datos para divulgación, cuenta con la autorización previa, expresa y escrita del titular del dato para el efecto, (vii) de informar a este último que la información será incluida en su fichero”22 En ese entendido, estas e