SIC - Concepto-12086597

Bogotá D.C 10

Asunto: Radicación: 12-086597--00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Estimado(á) Señora: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 25 del Código Contencioso Administrativo, damos respuesta a su comunicación remitida por la Superintendencia Financiera de Colombia y radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: 1 Objeto de la Consulta Manifiesta en su escrito lo siguiente: \"( . ) quisiera saber en que (sic) parte del Nuevo Estatuto del Consumidor, Ley 1480 del 12 de octubre de 2011, habla sobre el manejo que se le debe dar a la información contemplada en las bases de datos de clientes. O en donde encuentro información sobre el tema. \" A continuación nos permitimos suministrarle información relevante en relación con el tema de la ponsulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares. 2 Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas en el Decreto 4886 de 2011, la Superintendencia de Industria^ Comercio está facultada para la protección de datos personales así: 60 Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los

términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera. 61 Impartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y señalar los procedimientos para su cabal aplicación. 2.1. Habeas data El artículo 15 de la Constitución Política, establece: \"Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. "En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución". Respecto de; la disposición transcrita la Corte Constitucional, en Sentencia T-060 de 2003, Magistrado Ponente, Doctor Eduardo Montealegre Lynnet, ha señalado: "El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los "derechos fundamentales", no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el

constituyente indicó adicionalmente que en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. “(…) "De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. "La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (...)". (Subrayado fuera de texto). De igual modo; la honorable Corte Constitucional en Sentencia C-981 de 2000, magistrado ponente Dra. Clara Inés Vargas Hernández, ha considerado que "hace parte del habeas data la previa autorización expresa y voluntaria que debe dar el interesado para que un tercero pueda disponer de su información personal, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarlos o actualizarlos". El artículo 15 de la Constitución Política de Colombia consagra el derecho a la intimidad, por la cual se entiende, como la parte de la vida de una persona que no ha de ser observada desde el exterior, y afecta sólo a ella misma. Al respecto la Corte Constitucional en sentencia C640 de 2010 (1) ha manifestado lo siguiente: Desde 1992, la Corte Constitucional reconoció el derecho a la intimidad como un

derecho fundamental que permite a las personas manejar su propia existencia como a bien lo tengan con el mínimo de injerencias exteriores. Se dijo en ese entonces que se trataba de un derecho "general, absoluto, extra patrimonial, inalienable e imprescriptible y que se pueda hacer valer Verga omnes\", vale decir, tanto frente al Estado como a los particulares. En consecuencia, toda persona, por el hecho de serlo, es titular a priori de este derecho y el único legitimado para permitir la divulgación de datos concernientes a su vida privada. (...) Se afirmó también que la intimidad es "el espacio intangible, inmune a las intromisiones externas, del que se deduce un derecho a no ser forzado a escuchar o a ser lo que no desea escuchar o ver, así como un derecho a no ser escuchado o visto cuando no se desea ser escuchado o visto." En 1995, se reiteró esta visión del derecho a la intimidad, cuando se afirmó que "..este derecho, que se deduce de la dignidad humana y de la natural tendencia de toda persona a la libertad, a la autonomía y a la autoconservación, protege el ámbito privado del individuo y de su familia como el núcleo humano más próximo. Uno y otra están en posición de reclamar una mínima consideración particular y pública a su interioridad, actitud que se traduce en abstención de conocimiento e injerencia en la esfera reservada que les corresponde y que está compuesta por asuntos, problemas, situaciones y circunstancias de su exclusivo interés. Esta no hace parte del dominio público y, por tanto, no debe ser materia de información suministrada a terceros, ni de la intervención o análisis de grupos humanos ajenos, ni de divulgaciones o publicaciones (...)

(…) El derecho a la intimidad, junto con otros derechos como el del libre desarrollo de la personalidad y la libertad de conciencia, están concebidos para permitir a las personas fortalecer y desarrollar su condición de seres libres y autónomos, que es el presupuesto esencial del estado democrático. (...) Son cinco los principios que sustentan la protección del derecho a la intimidad, y sin los cuales, se perdería la correspondiente intangibilidad del contenido garantista de la inmunidad del individuo frente a la innecesaria injerencia de los demás. Ellos se clasifican y explican en los siguientes términos: El principio de libertad, según el cual, los datos personales de un individuo, sólo pueden ser registrados o divulgados con el consentimiento libre, previo, expreso o tácito del titular, a menos que el ordenamiento jurídico le imponga la obligación de relevar dicha información, en aras de cumplir un objetivo constitucionalmente legítimo. En este contexto, la obtención y divulgación de datos personales, sin la previa autorización del titular o en ausencia de un claro y preciso mandato legal, se consideran ilícitas. El principio de finalidad, el cual se expresa en la exigencia de someter la recopilación y divulgación de datos, a la realización de una finalidad constitucionalmente legítima, lo que impide obligar a los ciudadanos a relievar datos íntimos su vida personal, sin un soporte en el Texto Constitucional que, por ejemplo, legitime la cesión de parte de su interioridad en beneficio de la comunidad. De conformidad con el principio de necesidad, la información personal que deba ser objeto de divulgación, se limita estrechamente a

aquella que guarda relación de conexidad con la finalidad pretendida mediante su revelación. Así, queda prohibido el registro y la divulgación de datos que excedan el fin constitucionalmente legítimo. Adicionalmente, el principio de veracidad, exige que los datos personales que se puedan divulgar correspondan a situaciones reales y, por lo mismo, se encuentra prohibida la divulgación de datos falsos o erróneos. Por último, el principio de integridad, según el cual, la información que sea objeto de divulgación debe suministrarse de manera completa, impidiendo que se registre y divulgue datos parciales, incompletos o fraccionados. El conjunto integrado de los citados principios, permite no solo garantizar el acceso legítimo a la información personal, sino también la neutralidad en su divulgación y, por ende, asegurar un debido proceso de comunicación. Como se advierte, el artículo 15 de la Constitución Política establece que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa autorizan que la información que sobre ellos se recaude o circule pueda ser incluida en un banco de datos. La ausencia de dicha autorización implica necesariamente que los datos personales asociados al titular no podrán ser registrados o divulgados y debe cumplir con una finalidad constitucionalmente legitima. 2.2. Ley 1206 de 2008 La Ley 1266 de 2008 de Habeas Data \"por la cual se dictan las disposiciones generales del hábeas data regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países\", en su artículo 3 consagra las siguientes definiciones:

\"a) Titular de la información. Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley; b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra ésos datos a un operador de información, el que a su vez los entregará al usuario final. (...) c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información! los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. (...) (...) g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. \" El artículo 7 de la Ley 1266 de 2008, señala los siguientes deberes de los bancos de datos: 1 Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los

mecanismos de consultas o reclamos, conforme lo previsto en la presente ley. 2 Garantizar, que, en la recolección, tratamiento y circulación de datos, se respetarán los demás derechos consagrados en la ley. 3 Permitir el acceso a la información únicamente a las personas que, de conformidad con lo previsto en esta ley, pueden tener acceso a ella. 4 Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los titulares. 5 Solicitar la Certificación a la fuente de la existencia de la autorización otorgada por el titular, cuando dicha autorización sea necesaria, conforme lo previsto en la presente ley. 6 Conservar con las debidas seguridades los registros almacenados para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento. 7 Realizar periódica y oportunamente la actualización y rectificación de los datos, cada vez que le reporten novedades las fuentes, en los términos de la presente ley. 8 Tramitar las peticiones, consultas y los reclamos formulados por los titulares de la información, en los términos señalados en la presente ley. 9 Indicar en el respectivo registro individual que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma y no haya finalizado dicho trámite, en la forma en que se regula en la presente ley. 10 Circular la información a los usuarios dentro de los parámetros de la presente ley. 11 Cumplir las instrucciones y requerimientos que la autoridad de vigilancia imparta en relación con el cumplimiento de la presente ley.

12 Los demás que se deriven de la Constitución o de la presente ley. Por su parte, el artículo 8 de la precitada Ley, establece los siguientes deberes de las fuentes de información así: 1 Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable. 2 Reportar, de forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada. 3 Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores. 4 Diseñar e implementar mecanismos eficaces para reportar oportunamente la información al operador. 5 Solicitar; cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley. 6 Certificar, semestralmente al operador, que la información suministrada cuenta con la autorización de conformidad con lo previsto en la presente ley. 7 Resolverlos reclamos y peticiones del titular en la forma en que se regula en la presente ley. 8 Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite.

9 Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley. 10 Los demás que se deriven de la Constitución o de la presente ley. Por lo anterior, la fuente deberá garantizar al titular de la información que sus datos personales suministrados al operador con veraces, completos, exactos y comprobables, así mismo debe tomar las medidas necesarias para que dicha información esté permanentemente actualizada y rectificarla cuando sea incorrecta.

3. Conclusión El nuevo estatuto del consumidor (Ley 1480 de 2011), no hace referencia al manejo que le debe dar a la información en las bases de datos de clientes. Sin embargo, el manejo de los datos personales de las personas tiene fundamento constitucional al habeas data y se desarrolla en la Ley 1266 de 2008 al regular el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co

Elaboró: Carolina García

Revisó y Aprobó: William Burgos

_________ MP: Mauricio Cuervo, Referencia: D-7999 Atentamente, WILLIAN ANTONIO BURGOS DURANGO Jefe asesor de la oficina jurídica