SIC - Concepto-12156198

Bogotá D.C 10

Asunto: Radicación: 12-156198- -1-0

Trámite: 113

Evento: 00

Actuación: 440

Folios: 07

Apreciados Señores: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta La peticionaria manifiesta que mediante Resolución número 61842 del 31 de octubre de 2011 la Superintendencia de Industria y Comercio les impuso una multa con ocasión de una queja presentada por una consumidora relacionada con un curso de inglés.

En relación con dicha situación formula las siguientes preguntas: 1. “Si el contrato que dio lugar a la queja interpuesta ante la SIC se encuentra vigente o si se entiende finalizado a pesar de que la Resolución no lo mencione;” 2. “Es posible ejecutar el cobro del dinero que adeuda el usuario en virtud del contrato celebrado con la sociedad sancionada?” 3. “Es posible reportar al usuario a Datacrédito por la mora en el dinero adeudado;” 4. “Se debe expedir un paz y salvo al usuario a pesar de que existan saldos pendientes de pago y la Resolución sanción no hubiese anulado expresamente el Contrato de compraventa ni hubiese ordenado la devolución de los dineros entregados por el usuario o consumidor?”

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, según lo disponen los artículos 22 al 31,

42 al 46 y 61 al 66 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de protección al consumidor, tiene entre otras las siguientes facultades:  Velar por la observancia de las disposiciones sobre protección al consumidor.  Adelantar procedimientos por violación al régimen de protección del consumidor, en ejercicio de funciones administrativas y jurisdiccionales.  Imponer sanciones por violación al régimen de protección al consumidor, una vez surtida una investigación.  Impartir instrucciones en materia de protección al consumidor con el fin de establecer criterios y procedimientos que faciliten el cumplimiento de las normas. Por otra parte, en relación con la protección de datos personales en virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, la Superintendencia de Industria y Comercio cuenta con las siguientes facultades:  Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales.  lmpartir instrucciones en materia de administración de datos personales y en fijar criterios que faciliten el cumplimiento de la normativa y señalar los procedimientos para su cabal aplicación. Al respecto, en primer lugar, le advertimos que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares, como la que usted expone en su comunicación. Sin embargo, y dentro del ámbito de las referidas competencias, nos permitimos dar

respuesta de manera general a sus preguntas. 2.1 Pregunta número uno La Resolución número 61.842 del 31 de octubre de 2011 a través de la cual se impuso una multa a la sociedad peticionaria no hace referencia alguna a la validez ni vigencia del contrato que dio lugar a la queja y respectiva investigación que concluyó con la referida resolución. Lo anterior debido a que dicho procedimiento administrativo se limitó al estudio de una supuesta infracción a lo dispuesto en el derecho del consumidor sobre la información a suministrar a los consumidores. Teniendo en cuenta que la vigencia del referido contrato es un asunto de carácter particular, no es posible para esta Entidad a través de un concepto pronunciarse sobre dicha situación. 2.2 Preguntas número dos y cuatro Corresponde a cada proveedor o productor determinar si un consumidor le adeuda dinero y si es posible promover una acción para obtener su pago, por lo cual no corresponde a esta Entidad conceptuar al respecto, en este sentido, tampoco es posible para esta Superintendencia determinar si corresponde o no expedir un paz y salvo en un caso particular a través de un concepto. 2.3 Pregunta número tres Así mismo, la decisión de generar un reporte de un consumidor a un Operador de Información dependerá del productor o proveedor, sin embargo, para ello debe tener en cuenta la normativa que regula el manejo de datos personales. En relación con esta materia el artículo 15 de la Constitución Política establece: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido

sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. (1) Respecto del citado artículo 15 de la Constitución Política la Corte Constitucional señaló: “El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los “derechos fundamentales”, no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (…) De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (…)”. (2)

Así mismo la Corte Constitucional consideró que “hace parte del habeas data la previa autorización expresa y voluntaria que debe dar el interesado para que un tercero pueda disponer de su información personal, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarlos o actualizarlos”. (3) Como se advierte, el artículo 15 de la Constitución Política establece que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes expresamente autorizan que la información que sobre ellos se recaude o circule y pueda ser incluida en un banco de datos. La ausencia de dicha autorización implica necesariamente que los datos personales asociados al titular no podrán ser reportados por la fuente a un operador de información. Por su parte el artículo 3 de la Ley 1266 de 2008 de Habeas Data establece las siguientes definiciones: "a) Titular de la información. Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley; b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. (...) c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los

usuarios bajo los parámetros de la presente ley. (...) g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley." (4) Así mismo, la Corte Constitucional, consideró en relación con los datos financieros comerciales y crediticios: “En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero. "En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos

concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales." (5) En efecto, al tratarse de la categoría de "datos semiprivados" se deben respetar los derechos fundamentales en todas las etapas de recolección, tratamiento y circulación de los datos personales. El artículo 8 de la Ley 1266 de 2008, establece entre otros los siguientes deberes de las fuentes de información así: “1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable.

2. Reportar, de forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.

3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores. (…)

5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley. (...)

7. Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley.

8. Informar al operador que determinada información se encuentra en discusión por

parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite. (…)” (6) Por lo anterior, la fuente deberá garantizar al titular de la información que sus datos personales suministrados al operador son veraces, completos, exactos y comprobables, asi mismo debe tomar las medidas necesarias para que dicha información esté permanentemente actualizada y rectificarla cuando sea incorrecta. El artículo 12 de la mencionada ley consagra un requisito especial para las fuentes de información: “El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya

presentado solicitud de rectificación o actualización y está aún no haya sido resuelta.” (7) En concordancia con lo anterior, el artículo 2 del Decreto 2952 de 2010 establece: “Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible. Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente. En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial.” (8) La mora en el cumplimiento del titular de la información en sus obligaciones permite a la fuente de información reportar esta información negativa en las bases de datos de los operadores, para lo cual, se debe enviar una comunicación al titular de la información por lo menos con veinte (20) días calendario de antelación al reporte, con el fin de que el titular en este lapso de tiempo pueda demostrar o efectuar el pago de la obligación, o controvertir aspectos como la obligación, la cuota o la fecha de exigibilidad de la misma.

La mencionada comunicación podrá enviarse sin la exigencia que sea por correo certificado, a través de los extractos periódicos que las fuentes envíen a sus clientes o por cualquier medio pactado con los usuarios para ello, como mensajes de datos, siempre y cuando pueda ser objeto de consulta posteriormente y se ajuste a lo dispuesto en la Ley 527 de 1999 y/o sus decretos reglamentarios.

3. Conclusiones 3.1 No resulta posible para esta Entidad a través de un concepto pronunciarse sobre situaciones particulares como lo son la vigencia de un contrato, la posibilidad de promover acciones para cobrar sumas adeudadas ni la expedición de paz y salvos 3.2 La decisión de generar un reporte de un consumidor a un Operador de Información dependerá del productor o proveedor, sin embargo, para ello debe tener en cuenta la normativa que regula el manejo de datos personales, tal y como se estudia en el numeral 2.3 del presente concepto.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co.

Notas de referencia: (1) Artículo 15 de la Constitución Política.

(2) Corte Constitucional, Sentencia número T-060 de 2003, Magistrado Ponente: Eduardo Montealegre Lynnet. (3) Corte Constitucional, Sentencia C-981 de 2000, Magistrada Ponente: Clara Inés Vargas Hernández. (4) Artículo 3 de la Ley 1266 de 2008 (5) Sentencia número C-1011 de 2008, Magistrado Ponente: Jaime Córdoba Triviño. (6) Artículo 8 de la Ley 1266 de 2008.

(7) Artículo 12 de la Ley 1266 de 2008. (8) Artículo 2 del Decreto 2952 de 2010. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos