SIC - Concepto-20488525

Bogotá D.C., 10 Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Asunto: Radicación: 20 - 488525

Trámite: 113

Evento: 0

Actuación: 440

Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, Ley 1437 de 2011, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud radicada el 21 de diciembre de 2020 ante esta Superintendencia, en la cual consulta: “De acuerdo con mi derecho a presentar peticiones, consagrado en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y de la Constitución Política Nacional, es de mi interés elevar a la Superintendencia, de manera respetuosa, la presente Petición: ¿Por cuánto tiempo una Fuente de Información debe guardar los extractos del Titular de la Información, especialmente, cuando por medio del extracto se ha realizado la comunicación del reporte de información negativa? Adicional, ¿en caso de no tener el extracto original, se puede construir el mismo a través de las bases de datos de la Fuente de Información, cuando este contiene la comunicación del reporte de información negativa? Similar a la anterior pregunta, ¿cuando en el extracto no se ha realizado la comunicación del reporte de información negativa, y no reposa el original, este puede construirse

a través de las bases de datos e información de la Fuente de Información, en caso de requerirse dicho extracto por el Titular de la Información o de Una Entidad Estatal, dado el caso?” Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE HÁBEAS DATA En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada para la

protección de datos personales así: “60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera. La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley”.

4. LEY 1266 DE 2008

El artículo 1 de la Ley 1266 de 2008 establece lo siguiente: “ARTÍCULO 1o. OBJETO. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales a que se refiere el artículo 15 de la Constitución Política, así como el derecho a la información establecido en el artículo 20 de la Constitución Política, particularmente en relación con la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países.” Ahora, en la materia es pertinente indicar lo que al respeto se establece para las fuentes y para tales efectos se hace alusión a lo contemplado en el artículo 8 de la

ley referida, así: “ARTÍCULO 8o. DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: “1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable. “2. Reportar, de forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada. “3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores. “4. Diseñar e implementar mecanismos eficaces para reportar oportunamente la información al operador. “5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley. “6. Certificar, semestralmente al operador, que la información suministrada cuenta con la autorización de conformidad con lo previsto en la presente ley. “7. Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley. “8. Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de

rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite. “9. Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley. “10. Los demás que se deriven de la Constitución o de la presente ley.” En este corolario es preciso señalar que las fuentes tienen el deber de rectificar cuando sea incorrecta y reportar al operador para que la información se mantenga actualizada garantizando así el derecho de habeas data. Así mismo, el titular de la información puede exigir dicha actualización y rectificación de la información tanto a los operadores, como a las fuentes, sin perjuicio de las obligaciones que cada uno de ellos posee de conformidad a la ley, como lo preceptúa para el titular, el artículo 6 de la ley 1266 de 2008: “ARTÍCULO 6o. DERECHOS DE LOS TITULARES DE LA INFORMACIÓN. Los titulares tendrán los siguientes derechos: “1. Frente a los operadores de los bancos de datos: “1.1 Ejercer el derecho fundamental al hábeas data en los términos de la presente ley, mediante la utilización de los procedimientos de consultas o reclamos, sin perjuicio de los demás mecanismos constitucionales y legales. “1.2 Solicitar el respeto y la protección de los demás derechos constitucionales o legales, así como de las demás disposiciones de la presente ley, mediante la utilización del procedimiento de reclamos y peticiones. “1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario. “1.4 Solicitar información acerca de los usuarios autorizados para obtener

información. “PARÁGRAFO. La administración de información pública no requiere autorización del titular de los datos, pero se sujeta al cumplimiento de los principios de la administración de datos personales y a las demás disposiciones de la presente ley. “La administración de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los datos, salvo en el caso del dato financiero, crediticio, comercial, de servicios y el proveniente de terceros países el cual no requiere autorización del titular. En todo caso, la administración de datos semiprivados y privados se sujeta al cumplimiento de los principios de la administración de datos personales y a las demás disposiciones de la presente ley. “2. Frente a las fuentes de la información: “2.1 <Numeral CONDICIONALMENTE exequible> Ejercer los derechos fundamentales al hábeas data y de petición, cuyo cumplimiento se podrá realizar a través de los operadores, conforme lo previsto en los procedimientos de consultas y reclamos de esta ley, sin perjuicio de los demás mecanismos constitucionales o legales. “2.2 Solicitar información o pedir la actualización o rectificación de los datos contenidos en la base de datos, lo cual realizará el operador, con base en la información aportada por la fuente, conforme se establece en el procedimiento para consultas, reclamos y peticiones. “2.3 Solicitar prueba de la autorización, cuando dicha autorización sea requerida conforme lo previsto en la presente ley. “3. Frente a los usuarios: “3.1 Solicitar información sobre la utilización que el usuario le está dando a la información, cuando dicha información no hubiere sido suministrada por el operador.

“3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo previsto en la presente ley. “PARÁGRAFO. Los titulares de información financiera y crediticia tendrán adicionalmente los siguientes derechos: “Podrán acudir ante la autoridad de vigilancia para presentar quejas contra las fuentes, operadores o usuarios por violación de las normas sobre administración de la información financiera y crediticia. “Así mismo, pueden acudir ante la autoridad de vigilancia para pretender que se ordene a un operador o fuente la corrección o actualización de sus datos personales, cuando ello sea procedente conforme lo establecido en la presente ley.” De lo expuesto, se determina de manera clara las obligaciones y/o deberes de los operadores, fuentes y los derechos de los titulares de la información, necesarios para la solicitud objeto de consulta.

5. CONSERVACIÓN DOCUMENTAL La Ley 594 de 2000 "Por medio de la cual se dicta la Ley General de Archivos", establece los principios generales y las reglas que regulan la función archivística del Estado, la Administración Pública en sus diferentes niveles, así coma las distintas instituciones privadas que cumplen funciones públicas, esto, con el fin de contar con documentación e información institucional organizada que permita su uso eficiente y su fácil recuperación, para el servicio y beneficio de todos los ciudadanos.

Por su parte, las disposiciones reglamentarias de la Ley 594 de 2000, entre otras, el Decreto 2609 de 2012 en sus artículos 35 y 36, establece en cabeza de Ministerios y Superintendencias la responsabilidad de implementar en sus respectivos sectores las políticas de gestión documental e instruir a las entidades privadas bajo su inspección, control y vigilancia sobre el manejo de sus archivos,

con el fin de asegurar la adecuada producción, recepción, distribución, organización, conservación, recuperación y consulta oportuna de los documentos de archivo que manejen. En tal sentido, esta Superintendencia expidió el pasado 19 de febrero de 2014, la Resolución 8934 de 2014, a efectos de que las entidades sobre las cuales ejerce funciones de vigilancia y control cumplan con la normativa archivística nacional y adecúen sus archivos conforme lo prevé la mencionada resolución, para lo cual cuentan con un término de (1) un año contado a partir de la publicación en el Diario Oficial. Esta resolución fue publicada en el Diario Oficial No. 49.070 del 20 de febrero de 2014. La Resolución 8934 de 2014 en los artículos 3 y 4 señala: "ARTÍCULO 3o. Los vigilados que estén bajo la inspección, control y vigilancia de la Superintendencia de Industria y Comercio, deberán elaborar, adoptar e implementar los siguientes instrumentos archivísticos para asegurar la organización de sus archivos, así: "a) Programa de gestión documental; "b) Tablas de retención documental; "c) Cuadro de clasificación documental; "d) Tablas de valoración documental y "e) Reglamento interno de archivo. "ARTÍCULO 4o. La organización de los archivos deberá realizarse a partir del cuadro de clasificación documental y de las tablas de retención documental, mediante la conformación de expedientes agrupados en series y sub series documentales, atendiendo el principio de procedencia, el orden original y el ciclo vital de los documentos, independientemente del soporte en el cual se encuentren, tal como lo señala la Ley 594 de 2000."

En consecuencia, las disposiciones transcritas señalan los requerimientos mínimos que deben cumplir las entidades vigiladas por esta Superintendencia para dar cumplimiento a la Resolución 8934 de 2014, conforme a los lineamientos y políticas que para el efecto señale el Archivo General de la Nación. Igualmente, tenga en cuenta que en caso de una eventual investigación es importante que se cuente con las pruebas que, eventualmente, le puedan servir para ejercer la correspondiente defensa y evitar la imposición de sanciones o la pérdida de una demanda jurisdiccional como consecuencia de ausencia o deficiencia de medios probatorios idóneos. La conservación de la documentación corresponderá a las necesidades de empresa y se manejará consecuentemente por quienes realicen esta labor. De otra parte, a modo de información, le manifestamos que la Superintendencia de Sociedades, entidad competente a este respecto ha expresado: "Así las cosas, resulta claro para esta oficina que, tal como se expuso en el mencionado oficio (a cuyo texto me remito en aras de no repetir la trascripción de normas y consideraciones allí expuestas), el artículo 28 de la mencionada Ley 962, en concordancia con el artículo 86 ídem, en aras de simplificar trámites y erradicar procedimientos que al parecer de dicha ley se traducían en "exigencias injustificadas a los administrados", derogaron expresamente y en su integridad los artículos 60 del Código de Comercio y 134 del Decreto 2649 de 1993, que, como usted conoce, se referían a términos y procedimientos para la destrucción de los libros y documentos sociales. Esto equivale a decir que, hoy día, solamente existe la obligación

de conservar los libros y documentos sociales, por medio escrito o cualquier medio técnico, magnético o electrónico, por un periodo de diez (10) años contados a partir de la fecha del último asiento, documento o comprobante, luego de lo cual, podrán ser destruidos sin que para tal efecto deba mediar la intervención de la cámara de comercio." Concepto 220-008920 del 21 de Febrero de 2007 Por último, en relación con los documentos que das soporte a las operaciones con financiación, el Decreto 1074 de 2015, señala como obligación especial del proveedor o productor lo siguiente: “Artículo 2.2.2.35.9. Obligaciones especiales del productor o proveedor. Las empresas que ofrezcan financiación al consumidor, en los términos descritos en el artículo 2.2.2.35.2. del presente Decreto deberán conservar a disposición de la Superintendencia de Industria y Comercio la historia de cada crédito que se haya otorgado, por un término mínimo de tres (3) años, contados a partir de la fecha de vencimiento del último pago. La obligación de conservación se podrá cumplir con medios tecnológicos siempre y cuando se observe lo dispuesto en la Ley 527 de 1999 y demás normas que la sustituyan o modifiquen. Lo anterior, sin perjuicio de lo consignado en las disposiciones legales vigentes sobre conservación y archivo de documentos. “Parágrafo. El micro y pequeñas empresas, definidas por la Ley 590 de 2000, deberán conservar la historia del crédito por un término de un (1) año, a partir de la fecha de vencimiento del último pago.”

6. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PRESENTADA.

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, y jurisprudencial, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: Sea lo primero reiterar que esta Oficina profiere conceptos de carácter general y abstracto sobre las materias de su competencia, sin que le sea posible pronunciarse sobre situaciones particulares y es en este sentido que procederá a dar respuesta a la solicitud objeto de consulta. En lectura detallada de su consulta, encontramos que los interrogantes allí contenidos están encaminados a establecer la temporalidad requerida para la guarda por parte de las fuentes de documentos que sirven de soporte para el reporte de que trata la Ley 1266 de 2008. A este respecto, debemos señalar que la norma en cita no ha establecido un término, sin embargo, existen otras normas que regulan el tema de la conservación documental, conforme se ha expuesto. En lo atinente con la reconstrucción de documentos privados, el Código General del Proceso ha establecido en su artículo 398 la forma como se efectúa la cancelación, reposición y reivindicación de títulos valores. En relación con otros documentos privados, por fuera de expedientes judiciales o administrativos, no se ha establecido procedimiento. Frente a la problemática expuesta es preciso poner de presente que una de las obligaciones en cabeza de las fuentes de información es la de garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable, tal y como lo

establece el artículo 8 de la Ley 1266 de 2008. Esto significa que, independiente de cualquier consideración, toda la información suministren las fuentes de información debe cumplir, entre otros requisitos, el de ser comprobable, esto es, que se tengan las evidencias documentales que le sirvan de soporte, so pena de las sanciones legales y de las eventuales demandas. Es importante recalcar en el objeto de la Ley 1266 de 2008, que consiste en “desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales a que se refiere el artículo 15 de la Constitución Política, es decir, proteger a los titulares de la información y establecer obligaciones a quienes tienen la calidad de fuentes, entre otros”. No es objeto de la norma establecer procedimientos que sirvan a las fuentes solventar eventuales fallos que tengan en la información que suministran, más aun, si tenemos en cuenta que esto iría en beneficio de titular. Concluyendo, corresponde a las fuentes de la información garantizar al titular que su información sea veraz, completa, exacta y comprobable, asi mismo debe tomar las medidas necesarias para que dicha información esté permanentemente actualizada y rectificarla cuando sea incorrecta, para ello, el titular podrá ejercer su derecho de presentar consultas y reclamos con el fin de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos si a ello hubiera lugar.y cualquier consideración por fuera de estas

obligaciones escapan de la órbita de nuestras atribuciones legales. La violación de las obligaciones contenidas en la Ley 1266 de 2008 podrá dar lugar a la imposición por parte de esta Superintendencia, de las sanciones contenidas en el artículo 18 de esta ley. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: José González

Revisó: Rocío Soacha

Aprobó: Rocío Soacha