SIC - Resolución 15717 de 2025

Página 1 de 17

RESOLUCIÓN NÚMERO 15717 DE 2025

(27 de marzo de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 22-156841

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución No. 7695 del 7 de marzo de 2024, este Despacho decidió iniciar una investigación administrativa y formular cargos en contra de la sociedad GOBANK INVERSIONES S.A.S. (Ahora GOBANK INVERSIONES S.A.S. - EN TOMA DE POSESIÓN ), identificada con el NIT. 901.287.979-5, por la presunta infracción a lo dispuesto en:

• El numeral 4 del artículo 9 de la Ley 1266 de 2008, en concordancia con los numerales 2 y 6 del artículo 17, de la citada ley; y

• El numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la citada ley.

SEGUNDO: Que, la Resolución No. 7695 del 7 de marzo de 2024 le fue notificada a la sociedad investigada mediante aviso No. 2802 del 18 de marzo de 2024, según consta en la certificación expedida por la Secretaría General de esta

SEGUNDO: Que, la Resolución No. 7695 del 7 de marzo de 2024 le fue notificada a la sociedad investigada mediante aviso No. 2802 del 18 de marzo de 2024, según consta en la certificación expedida por la Secretaría General de esta Superintendencia el 20 de marzo de 2024, radicada bajo el número 22-15684125.

En virtud de lo anterior, esta Entidad le concedió un término de quince (15) días hábiles a la sociedad investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

Igualmente, dicho acto administrativo se le comunicó al denunciante.

TERCERO: Que, la sociedad investigada se abstuvo de presentar escrito de descargos.

CUARTO: Que, mediante Resolución No. 53889 del 18 de septiembre del 2024, esta Dirección incorporó las pruebas obrantes en el expediente de la referencia, con el valor legal que les corresponda, decla ró agotada la etapa probatoria y corrió traslado a la sociedad investigada para que rindiera los alegatos de conclusión respectivos.

QUINTO: Que, la Resolución No. 53889 del 18 de septiembre del 2024 le fue comunicada a la sociedad investigada el 18 de septiembre de 2024, según consta en la certificación expedida por la Secretaría General de esta Superintendencia el 20 de septiembre de 2024, radicada bajo el número 22-156841-29.

SEXTO: Que, la sociedad investigada se abstuvo de presentar alegatos de conclusión.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 15717 DE 2025

SEXTO: Que, la sociedad investigada se abstuvo de presentar alegatos de conclusión.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 17

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio frente a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

OCTAVO: Análisis del caso

8.1. Adecuación típica

La Corte Constitucional mediante sentencia C -1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…)

De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el

sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber:

(i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción;

Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

(…)”1.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

1. El artículo 9 de la Ley 1266 de 2008 señala los deberes que le asisten a los usuarios de información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio.

1. El incumplimiento del señalado deber dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de

2008.

De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta

sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo dispuesto en:

1 Corte Constitucional. Sentencia C -1011 de 2008. Octubre 16 de 2008. Expediente PE -029. M.P. Jaime Córdoba Triviño.RESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 17

• El numeral 4 del artículo 9 de la Ley 1266 de 2008, en concordancia con los numerales 2 y 6 del artículo 17, de la citada ley; y

• El numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la citada ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como el conjunto de pruebas allegadas al expediente.

8.2. Valoración probatoria y conclusiones

8.2.1. Del deber de cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la Ley 1266 de 2008

El artículo 9 de la Ley 1266 de 2008 establece los deberes de los Usuarios de la Información, estatuyendo en su numeral 4 lo siguiente:

autoridad de control en relación con el cumplimiento de la Ley 1266 de 2008

El artículo 9 de la Ley 1266 de 2008 establece los deberes de los Usuarios de la Información, estatuyendo en su numeral 4 lo siguiente:

“Artículo 9. Deberes de los usuarios . Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán:

(…)

4. Cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la presente ley.”

A su turno, los numerales 2 y 6 del artículo 17 del cuerpo normativo en cita disponen lo siguiente:

“Artículo 17. función de vigilancia. La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley.

(…)

2. Velar por el cumplimiento de las disposiciones de la presente ley, de las normas que la reglamenten y de las instrucciones impartidas por la respectiva Superintendencia.

(…)

6. Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe resp onsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten

incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.”

Ahora bien, en relación al primer cargo formulado, es menester realizar las siguientes precisiones:

La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 2. Esta potestad

2 Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de ac uerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dichaRESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 17

sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 3, 4 4 y 6 5 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo6.

La Corte Constitucional señaló sobre este asunto:

constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo6.

La Corte Constitucional señaló sobre este asunto:

"La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso. (…)”7 (Negrita fuera del texto original)

El referido artículo 29 de la Constitución Política de 1991 incorpora el principio de legalidad, entre otros elementos del derecho al debido proceso, al señalar que:

“Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio”.

En la Sentencia C-394 de 2019, la Corte Constitucional presentó un breve marco constitucional del principio de legalidad y recordó los tres elementos esenciales de dicha institución fijados por la jurisprudencia:

(i) La ley previa, que “exige que la conducta y la sanción antecedan en el tiempo a la comisión de la infracción, es decir, que estén previamente señaladas” (ii) La ley escrita, según la cual “los aspectos esenciales de la conducta y de la sanción [deben estar contenidos] en la ley” (iii) La ley cierta, que “alude a que tanto la conducta como la sanción deben ser determinadas de forma que no haya ambigüedades”.

de la sanción [deben estar contenidos] en la ley” (iii) La ley cierta, que “alude a que tanto la conducta como la sanción deben ser determinadas de forma que no haya ambigüedades”.

Lo anterior quiere decir que ese principio de legalidad exige que, dentro del procedimiento administrativo sancionatorio, la falta o la conducta reprochable se encuentre tipificada en la norma.

Respecto del Principio de Tipicidad en el derecho administrativo sancionador, la doctrina8 ha indicado que la motivación del acto sancionatorio debe comprender una descripción, precisa y clara de cada uno de los supuestos de hecho

Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones. Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” 3 Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar

3 Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida) 4 Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades .” (Negrita añadida) 5 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) 6 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 7 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. 8 Laverde Álvarez Juan Manuel. Manual de Procedimiento Administrativo Sancionatorio, Segunda Edición. Legis. 2018.RESOLUCIÓN NÚMERO 15717 DE 2025

Considerando 5.5.2. 8 Laverde Álvarez Juan Manuel. Manual de Procedimiento Administrativo Sancionatorio, Segunda Edición. Legis. 2018.RESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 17

a partir de los cuales la entidad adelanta el proceso de adecuación típica, que viene predeterminada desde la imputación formulada en el pliego de cargos. Tal congruencia facilita el adecuado ejercicio de los derechos de contradicción y de defensa en la actuación administrativa.

De lo anterior se colige que el alcance y el contenido de cada uno de los componentes de la infracción deben ser definidos por la Administración como parte de ese proceso de razonamiento lógico – jurídico que caracteriza la adecuación típica de la conducta atribuida al investigado en la norma que la describe. Por tanto, cada uno de los componentes que integra tal descripción requiere una interpretación razonada y razonable que debe ser explicitica en el acto, de manera que una vez se fijen el contenido y el alcance de los componentes normativos, el funcionario debe examinar el material probatorio recaudado en cada caso particular, para determinar punto por punto si la conducta encaja en los presupuestos normativos que definen el tipo infractor9.

La Corte Constitucional mediante sentencia C -1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…)

De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y

sancionatorio:

“(…)

De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y precisa por la norma creadora de las inf racciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber:

(i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción;

Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

(…)”10.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso bajo estudio se tiene que:

• Mediante oficios radicados bajo los números 2 2-156841-5 del 3 de noviembre de 2022 y 22-156841-17 del 27 de febrero de 2023, esta

bajo estudio se tiene que:

• Mediante oficios radicados bajo los números 2 2-156841-5 del 3 de noviembre de 2022 y 22-156841-17 del 27 de febrero de 2023, esta Superintendencia requirió a la sociedad GOBANK INVERSIONES S.A.S.

(Ahora GOBANK INVERSIONES S.A.S. - EN TOMA DE POSESIÓN ) para que aportara una información en relación a los hechos denunciados por el Titular de los datos.

• El numeral 4 del artículo 9 de la Ley 1266 de 2008 señala el deber de los Usuarios en cumplir con las instrucciones que imparta la autoridad de control.

9 Consejo de Estado, Sala Plena de lo Contencioso Administrativo, Sentencia 11001-03-02-000-2014-0036000 (IJ) de 15 de noviembre de 2017 10 Corte Constitucional. Sentencia C -1011 de 2008. Octubre 16 de 2008. Expediente PE -029. M.P. Jaime Córdoba Triviño.RESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 17

• El incumplimiento del señalado deber da lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de

2008.

De lo anterior se colige que, la conducta desplegada por la investigada y que fue objeto de reproche en la Resolución No. 7695 del 7 de marzo de 2024 no está descrita como sancionable en el ordenamiento jurídico aplicable, esto es, la Ley 1266 de 2008.

Ello es así porque, al verificar el contenido de los requerimientos a los que se ha

descrita como sancionable en el ordenamiento jurídico aplicable, esto es, la Ley 1266 de 2008.

Ello es así porque, al verificar el contenido de los requerimientos a los que se ha hecho referencia, este Despacho no impartió ninguna instrucción; por lo que, conforme a los preceptos del principio de tipicidad, el hecho de no haber dado respuesta a un r equerimiento dentro de una actuación administrativa, de ninguna manera constituye una vulneración al deber de cumplir con las instrucciones que imparta la autoridad de control.

Entonces, en aplicación al referido principio de tipicidad, este Despacho considera pertinente desestimar el primer cargo formulado en contra de la sociedad investigada y, en consecuencia, proceder con su archivo.

8.2.2. Del deber de guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos y utilizar la información únicamente para los fines para los que fue entregada

El ámbito de aplicación de la Ley 1266 de 2008 se circunscribe a las bases de datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos11.

Esta clase de información ha sido clasificada por la Corte Constitucional como semiprivada, puesto que su conocimiento y circulación son de interés para un grupo de personas o la sociedad en general; por ejemplo, para empresas que, aunque no pertenezcan al sector financiero, requieren acceder a estos datos para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente12. En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente:

“(…)

para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente12. En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente:

“(…)

La información semiprivada es aquel dato personal o impersonal que, al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los fines propios de sus funciones, o a través del cumplimiento de los principios de administración de datos personales (Negrilla fuera del texto original).

(…)”.

La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de los titulares, gozan del principio de circulación restringida, lo cual indica que, si se permitiera un acceso libre, esto derivaría, en principio, en la violación a su derecho de Habeas Data; es por esto que el artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación

11 Ídem. 12 La Corte Constitucional argumentó en la sentencia C-1011 de 2008 que el tratamiento de datos de carácter comercial, crediticio y financiero se justifica por un motivo de interés público que consiste en “(…) la protección de los recursos de intermediación y, por ende, del sistema financiero en su conjunto” . Empero, esta justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos

justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos supuestos, habrá que conclui r que los datos son semiprivados porque también interesan a un grupo de personas. Ídem.RESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 17

restringida y de seguridad. Así mismo, debe tenerse presente que las entidades que administran bases de datos deben igualmente garantizar que los datos de las personas únicamente sean suministrados a su legítimo titular, razón por la cual se les han impuesto una serie de deberes encaminados a dicho fin, esto es, la restricción de la libre circulación del dato personal con la implementación de las medidas técnicas necesarias para garantizar la seguridad de la información evitando su adulteración, pérdida, consulta o uso no autorizado.

Conforme a lo anterior es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio, aun cuando di cha consulta se utilice para establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así:

“(…)

Bajo ese marco, encuentra la Corte que la norma examinada se orienta a

establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así:

“(…)

Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal. En ese orden de ideas, las finalidades previstas en los inc isos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes”. (Negrilla fuera de texto original)

“Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulac ión restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos. Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas

analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo creditico.”. (Negrilla fuera del texto original)

Aunado a lo anterior, se tiene que el artículo 15 del cuerpo normativo en cita señala las finalidades por las cuales los usuarios pueden acceder a la información de la siguiente manera:

“Artículo 15. Acceso a La Información Por Parte De Los Usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas.

Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente.RESOLUCIÓN NÚMERO 15717 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 17

Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” (Negrilla fuera del texto original)

No obstante, la Corte expresó el límite que tienen los usuarios para acceder a la información contemplada en la Ley 1266 de 2008, indicando que “(…) para el

(Negrilla fuera del texto original)

No obstante, la Corte expresó el límite que tienen los usuarios para acceder a la información contemplada en la Ley 1266 de 2008, indicando que “(…) para el caso de los usuarios, la posibilidad de acceder al dato estará restringida tanto por la finalidad de acopio de la información autorizada por el titular del dato, como por el cumplimiento del principio de confidencialidad previsto en el artículo 4 de la norma estatutaria ” (Negrilla fuera del texto original).

En ese orden de ideas, queda claro que el acceso a los datos financieros de un titular por parte de los usuarios se limita únicamente a: i) establecer y mantener una relación contractual, siempre y cuando, el titular de los datos lo hubiere solicitado, o ii) evaluar los riesgos de una relación contractual vigente, pues de no ser así, se requerirá contar con el consentimiento previo, expreso e informado del sujeto concernido.

Ahora bien, a la luz de lo previsto en el literal d) 13 del artículo 3 de la Ley Estatutaria 1266 de 2008, la sociedad GOBANK INVERSIONES S.A.S. - EN TOMA D