SIC - Concepto-13298998

Bogotá D.C 10

Asunto: Radicación: 13-298998- -2-0

Trámite: 113

Actuación: 440

Folios: 11

Estimada Señora: Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta La peticionaria formula una serie de preguntas en relación con la consulta de la información que reposa en los bancos de datos.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de habeas data, tiene, entre otras, las siguientes facultades: • Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales de acuerdo con la Ley 1266 de 2008. • Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su cabal aplicación.

Nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, a continuación damos respuesta de manera general a sus preguntas. 2.1 El derecho al habeas data.

El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)"1 Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" 2 1 Artículo 15 Constitución Política de Colombia. 2 Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado Ponente: Jaime Córdoba Triviño. Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos

de datos de naturaleza pública y privada" 3 Así mismo, la Corte Constitucional ha considerado que el núcleo esencial de dicho derecho está conformado así: "De esta manera, el núcleo esencial del derecho de habeas data está Integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. "La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (...)". 4 Para analizar de manera adecuada las normas de habeas data se debe tener en consideración las definiciones contenidas en el artículo 3 de la Ley 1266 de 2008, entre ellas se encuentran: - Titular de la información: "Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;" 5 - Fuente de información: "Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente

entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá 3 Ibídem. 4 Corte Constitucional, Sentencia T-060 de 2003, Magistrado Ponente: Eduardo Montealegre Lynnet. 5 Literal a artículo 3 Ley 1266 de 2008. los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos-" 6 - Operador de información: "Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;" 7 Así mismo, el artículo 3 de la Ley 1266 de 2008 define las diferentes clases de datos: - Dato personal: "Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen

de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;" 8 - Dato público: "Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;" 9 6 Literal b artículo 3 Ley 1266 de 2008. 7 Literal c artículo 3 Ley 1266 de 2008. 8 Literal e artículo 3 Ley 1266 de 2008. 9 Literal f articulo 3 Ley 1266 de 2008. - Dato semiprivado: "Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. "10 - Dato privado: "Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” 11 En relación con las clases de datos la Corte Constitucional consideró: "En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en

tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero. En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenidocomercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales." 12 10 Literal g artículo 3 Ley 1266 de 2008. 11 Literal h artículo 3 Ley 1266 de 2008. 12 Parágrafo 2 del artículo 10 de la Ley 1266 de 2008. 2.2 Primera pregunta. "¿de (sic) qué manera es posible la consulta de una persona natural en las centrales de riesgo en Colombia?" 2.2.1 Consulta de los titulares de los datos que reposan en bancos de

datos. El numeral 1.1 del artículo 6 de la Ley 1266 de 2008 consagra a favor de los titulares de datos el derecho de consultar la información que sobre ellos reposa en los bancos de datos: "1.1 Ejercer el derecho fundamental al hábeas data en los términos de la presente ley, mediante la utilización de los procedimientos de consultas o reclamos, sin perjuicio de los demás mecanismos constitucionales y legales." 13 Así mismo, en el numeral 1 del artículo 7 de la Ley 1266 de 2008 se establece el deber para los operadores de bancos de datos de garantizar a los titulares de datos el poder consultar en los bancos de datos. "Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley." 14 Por su parte, el parágrafo 2 del artículo 10 de la Ley 1266 de 2008 determina que al menos una vez al mes se podrá efectuar dicha consulta de manera gratuita: "La consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario." 15 13 Artículo 16-1 Ley 1266 de 2008. 14 Numeral 1.1.1 Capítulo Primero Título V Circular Única de la Superintendencia de Industria y Comercio.

15 Superintendencia de Notariado y Registro, Instrucción Administrativa número 5 del 27 de abril de 2011, https://www.supernotariado.gov.co/supernotariado/images/smilies/Normatividad2011/lnstruccion esAdministrativas/instruadm05.pdf 2.2.2 Trámite de consultas. El trámite de las consultas en los bancos de datos está previsto en el artículo 16-1 de la Ley 1266 de 2008: "Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada." (16) La petición para consultar la información de las bases de datos se puede formular de distintas maneras:

• Verbalmente

• Por escrito - A través de otros canales de comunicación siempre y cuando quede evidencia de la solicitud.

El operador tiene un plazo máximo de 10 días para dar respuesta a la solicitud de fondo y entregar la totalidad de la información solicitada, sin embargo, cuando no sea posible dar respuesta en ese plazo, así se informará al peticionario y se le indicará la fecha en que se dará respuesta, que no puede ser más de 5 días después de dicha comunicación. 2.3 Segunda pregunta. "¿Cuándo se consulta la información financiera de una persona natural se debe tener una autorización expresa y firmada por el titular de información?" 2.3.1 Respuesta. El numeral 1.1.1 del Capítulo Primero del Título V de la Circular Única de la Superintendencia de Industria y Comercio establece: "De conformidad con lo establecido en el literal a) del artículo 5 de la Ley 1266 de 2008, las Entidades que administren bases de datos deben tomar todas las medidas de seguridad razonables para garantizar que la información personal contenida en ellas, sea suministrada, únicamente, a los titulares, a las personas debidamente autorizadas por éstos o a sus causahabientes. Para tal efecto y como mínimo, los operadores deben tener en cuenta las siguientes reglas al momento de atender las peticiones o consultas que aquellos presenten: a) Verificar la calidad de titular de quien formula verbalmente una petición o consulta, así: i) Si la petición o consulta se realiza personalmente, deberá dejarse constancia de la exhibición de cualquier documento idóneo que permita su identificación. ii) Si la petición o consulta se realiza telefónicamente, siempre que el operador de información tenga habilitada esta opción, deberá validarse una

información del titular que permita su identificación y conservarse un registro de la conversación. b) Verificar que las peticiones o consultas escritas estén debidamente suscritas por el titular, quien debe acreditar su calidad así: i) Mediante la exhibición de cualquier documento idóneo que permita su identificación; o, ii) A través de la presentación de documento que se encuentre debidamente autenticado mediante diligencia notarial de reconocimiento de contenido y firma (presentación personal); o iii)Por cualquier otro medio que permita su identificación. c) Verificar que se allegue el respectivo poder, otorgado con las formalidades de ley, cuando la petición o consulta se presente por escrito, a través de mandatario, apoderado o persona autorizada. d) Verificar la calidad del causahabiente del titular de la información cuando la petición se presente por escrito por éstos. (...)" (17) 2.4 Tercera pregunta. "¿La autorización que se emite debe contener la fecha de autorización y hasta cuantos (sic) días puede llegar a cubrir la consulta de dicha información con la autorización?" 2.4.1 Respuesta. El citado literal c del numeral 1.1.1 del Capítulo Primero del Título V de la Circular Única de la Superintendencia de Industria y Comercio al establecer la verificación que se debe llevar a cabo por parte de los operadores de bancos de datos a efectos de permitir la consulta de la información por parte de un tercero hace referencia a las figuras de mandato y apoderamiento, propias la primera del derecho civil y la segunda del derecho procesal. Dado que no se cuenta en materia de habeas data con una regulación especial referente a los requisitos que deben cumplir dichas figuras, es necesario remitirse

a la regulación de las mismas. En efecto, cuando se trate de un poder otorgado a un abogado para un proceso se deberá regir por lo previsto en el Capítulo IV del Título VI de la Sección Segunda del Código de Procedimiento Administrativo (artículo 63 y subsiguientes). Por su parte, cuando se trate de un mandatario se deberá regir por las reglas previstas para dicho contrato en el Título XXVIII del Libro Cuarto del Código Civil (artículo 2142 y subsiguientes). Dado que la regulación aplicable no prevé lo contrario, es posible que en ejercicio del principio de autonomía de la voluntad el titular de los datos otorgue una autorización o poder indicando que el mismo solamente tendrá validez por un determinado periodo de tiempo. Al respecto se debe tener en consideración que el numeral 2 del artículo 2189 del Código Civil establece como una de las causales de terminación del mandato la expiración del término por el cual fue otorgado. 2.5 Cuarta pregunta. "¿Existe de alguna manera una autorización general, es decir que se otorgue una autorización y sirva para toda la vida, es decir permanente?" 2.5.1 Respuesta. Según se indicó con antelación, la regulación del trámite de consulta de la información que reposa en los bancos de datos no ha previsto plazos máximos o mínimos de vigencia de los poderes o autorizaciones dados a terceros para tal fin. De acuerdo con lo cual, se aplicará lo previsto en las normas que regulan dichas figuras y en todo caso el principio de la autonomía de la voluntad, siempre que no resulte contraria a una norma de obligatorio cumplimiento. En efecto, es posible el otorgamiento de poderes de carácter general y/o

mandatos que no cuenten con una limitación temporal. Sin embargo, la presentación de un poder que fue otorgado con demasiada antelación podría generar incertidumbre sobre la vigencia del mismo, para lo cual se debe tener en consideración lo manifestado al respecto por parte de la Superintendencia de Notariado y Registro: "(...) El artículo 2189 del Código Civil enumera en forma taxativa las causales de terminación del mandato (...) En la norma anterior, no se encuentra señalada aquella que determine que por el mero transcurso del tiempo el mandato expire, salvo en aquellos casos en que el mandante señala expresamente el término de expiración del mandato. Tratándose de un poder que no haya sido limitado por el transcurso del tiempo por parte del mandante, ni frente al cual se configure alguna de las causales de expiración señaladas en el artículo 2189, habrá de estimarse vigente. Esta Superintendencia sugiere, en aquellos casos en que les presenten poderes con fecha de otorgamiento muy anterior respecto del momento en que se pretende ejecutar el mandato, que por medida de seguridad requieran del mandatario una constancia o manifestación de ésta, alusiva a que el poder no ha sido revocado o modificado con posterioridad al otorgamiento. (...)" (18) De acuerdo con lo anterior, es posible el otorgamiento de poder para que de manera permanente se consulte la información que de un tercero reposa en un banco de datos. Sin embargo, el operador del banco de datos en cumplimiento del deben de adoptar las medidas de seguridad razonables para garantizar que la información sea divulgada solamente a quienes estén debidamente autorizados puede solicitar se le certifique la vigencia de aquellos poderes o autorizaciones otorgadas con

demasiada antelación. 2.5 Quinta pregunta. "¿mientras (sic) una persona utilice los servicios de un banco o entidad financiera con un producto como tarjeta de crédito, dicha autorización sirve para consultar la información en las centrales de riesgo, información personal, así el producto se encuentre en mora?" 2.5.1 Respuesta. La posibilidad de que el titular conozca la información que sobre él reposa en los bancos de datos hace parte del derecho fundamental al habeas data y no se encuentra supeditado a la situación de cumplimiento de las obligaciones crediticias, por lo cual, sin importar si está o no en mora en el cumplimiento de dichas obligaciones, es posible para el titular, sus autorizados o causahabientes consultar la información en los bancos de datos. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos