SIC - Concepto-13048952

Bogotá D.C., 10

Asunto: Radicación: 13-048952- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 11

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Consulta El peticionario formula la siguiente consulta: "No entiendo porqué (sic), como ciudadano, debo pagar $6000 cada vez que deseo saber como (sic) es mi historial crediticio (...) nunca me solicitaron autorización para manejar mi información... quienes solicitar son las entidades comerciales y SOLO (sic) para CONSULTAR (...) me obligan a pagar $6000 por hacerlo y sigue estando restringido a una consulta por mes (...) Por favor oriéntenme., si (sic) estoy equivocado., me (sic) resignaré .. peri (sic) díganme bajo que normatividad, y por favor citar tipo (resolución, decreto, ley, etc.) entidad que expide (SIC, ministerio, etc.) numero (sic) y fecha, que les permite hacer este cobro y sobretodo (sic) asignar el valor del servicio. (...)".

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de habeas data, tiene entre otras las siguientes facultades:

 Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales de acuerdo con la Ley 1266 de 2008.  Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su cabal aplicación. Nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, a continuación, le brindamos información sobre el derecho de habeas data, la regulación sobre la consulta de la información financiera, crediticia, comercial y de servicios y la forma de presentar un reclamo. 2.1 El derecho al habeas data. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Así mismo, la Corte Constitucional ha considerado que el núcleo esencial de dicho derecho está conformado así: "De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. "La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (...)". (4) Para analizar de manera adecuada las normas de habeas data se debe tener en consideración las definiciones contenidas en el artículo 3 de la Ley 1266 de 2008, entre ellas se encuentran:

 Titular de la información: "Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;" (5)  Fuente de información: "Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición dé fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos;" (6)  Operador de información: "Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea

la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;" (7) Así mismo, el artículo 3 de la Ley 1266 de 2008 define las diferentes clases de datos:  Dato personal: "Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;" (8)  Dato público: "Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;" (9)  Dato semiprivado: "Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley." (10)  Dato privado: "Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular. (11)

En relación con las clases de datos la Corte Constitucional consideró: "En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero. En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales\” (12) 2.2 Consulta de los titulares de los datos que reposan en bancos de datos. El numeral 1.1 del artículo 6 de la Ley 1266 de 2008 consagra a favor de los titulares

de datos el derecho de consultar la información que sobre ellos reposa en los bancos de datos: "1.1 Ejercer el derecho fundamental al hábeas data en los términos de la presente ley, mediante la utilización de los procedimientos de consultas o reclamos, sin perjuicio de los demás mecanismos constitucionales y legales." (13) Así mismo, en el numeral 1 del artículo 7 de la Ley 1266 de 2008 se establece el deber para los operadores de bancos de datos de garantizar a los titulares de datos el poder consultar en los bancos de datos. "Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley." (14) Por su parte, el parágrafo 2 del artículo 10 de la Ley 1266 de 2008 determina que al menos una vez al mes se podrá efectuar dicha consulta de manera gratuita: "La consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario." (15) En relación con dicho parágrafo la Corte Constitucional consideró: "El parágrafo 2o del artículo 10 del Proyecto de Ley establece que la consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de otros países por parte del titular será gratuita, al menos una vez cada mes calendario. Sobre esta disposición, varios de los intervinientes, al igual que el

Ministerio Público, solicitan a la Corte que sea declarada inexequible. Argumentan que el cobro de una tarifa para el acceso a la información constituye una carga desproporcionada e irrazonable para la eficacia del derecho al hábeas data. Agregan que esta obligación sujeta el ejercicio del citado derecho fundamental a la capacidad económica, lo que implica que aquellas personas de menores ingresos, por ese sólo hecho, vean desestimulada o restringida la facultad de conocer la información personal contenida en las bases de datos. Para evaluar la constitucionalidad de este precepto, la Corte parte de advertir que la previsión del legislador estatutario faculta a los operadores para que, desde la segunda consulta mensual, puedan imponer al sujeto concernido el pago de una tarifa para el acceso a su información personal. La norma establece, en ese sentido, una posibilidad genérica de cobro, no sujeta a modalidad o diferenciación alguna, la cual, en los términos del Proyecto de Ley, queda sometida a la definición en su monto, hechos generadores y demás aspectos, a la potestad del administrador del dato personal. Es claro que la imposición de la tarifa establece una restricción al ejercicio del derecho fundamental al hábeas data, específicamente en lo que respecta al derecho que el artículo 15 de la Carta Política otorga al sujeto concernido de conocer las informaciones que se hayan recogido sobre él en bancos de datos y en archivos de entidades públicas y privadas. (...) No obstante, encuentra la Corte que en contra de la anterior conclusión puede argumentarse que lo previsto por el legislador estatutario no se contrapone a la

Constitución, en tanto está permitido el acceso gratuito del titular, sólo que se establece el cobro para el caso de la segunda consulta mensual; ello con el ánimo de otorgar un grado de racionalización al acceso por parte del sujeto concernido y, de esta manera, desestimular un uso desaforado de la facultad de consulta prevista por la Constitución. A juicio de la Sala, debe partirse de considerar que lo que proscriben las reglas anteriormente analizadas es que el acceso a la información personal esté supeditado al pago de un costo o tarifa, lo que no es incompatible con que el legislador establezca la posibilidad de cobro, siempre y cuando el mismo no constituya requisito ineludible para el acceso a los datos personales por parte de su titular. En ese sentido, la norma analizada no se opone a la Constitución, en la medida en que permite que el titular acceda gratuitamente a sus datos, al menos una vez al mes calendario, facultad que permite hacer efectivo el derecho de acceso a la información personal, en los términos anteriormente expuestos. En ese sentido, encuentra la Corte que la restricción mensual a la gratuidad de acceso al dato personal no se muestra desproporcionada ni irrazonable. En efecto, (i) existe la posibilidad que el titular acceda gratuitamente a su información personal, cada mes; y (ii) la práctica comercial demuestra que las obligaciones financieras y crediticias son pactadas con vencimientos de pago igualmente mensuales, razón por la cual resulta materialmente posible que se efectúen reportes sobre cumplimiento en el pago de obligaciones por lapsos más cortos. Por ende, la medida de racionalización en la consulta que prevé el legislador estatutario no afecta la facultad constitucional que tiene el titular de conocer, actualizar y rectificar sus datos

personales concernidos en archivos o bancos de datos. Sin embargo, la Corte debe resaltar que, en todo caso, la facultad que tienen los operadores de exigir un cobro por el acceso, por parte del titular, a partir de la segunda consulta mensual, no puede convertirse en una barrera para el ejercicio de las competencias de conocimiento, actualización y rectificación que la Carta Política le adscribe. Finalmente, la Sala considera importante destacar que la norma, en el evento que fuera aplicada para el caso de un operador de información constituido como persona jurídica de derecho público - posibilidad que la norma estatutaria no descarta - constituiría una tasa cobrada por la prestación de un servicio por parte del Estado. En este escenario, la aplicación de la tarifa deberá estar supeditada a que el legislador, conforme a las reglas previstas en la Constitución, regule previamente dicho ingreso fiscal." (16) (Subraya fuera del texto) Por lo cual, pese a que el cobro de una tarifa por la consulta en los bancos de información cuando se lleve a cabo más de una vez al mes constituye una limitación al derecho al habeas data, la misma no es irrazonable ni desproporcionada, y tiene como finalidad el evitar que se haga un uso desmedido del derecho de consultar en los bancos de datos. En relación con quién fija la tarifa, tal y como lo manifestó la Corte Constitucional en la sentencia en comento, corresponde al administrador del dato personal, pero sujeto la condición de que la tarifa no se convierta en una barrera para el ejercicio de los derechos de los titulares de la información. Cuando se trate de un administrador de datos de naturaleza pública dicho cobro tendrá

la calidad de tasa y sus elementos deberán ser establecidos por la ley, de acuerdo con la regulación tributaria. 2.2.1 Trámite de consultas. El trámite de las consultas en los bancos de datos está previsto en el artículo 16-1 de la Ley 1266 de 2008: "Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada." (17) La petición para consultar la información de las bases de datos se puede formular de distintas maneras:  Verbalmente  Por escrito  A través de otros canales de comunicación siempre y cuando quede evidencia de la solicitud. El operador tiene un plazo máximo de 10 días para dar respuesta a la solicitud de

fondo y entregar la totalidad de la información solicitada, sin embargo, cuando no sea posible dar respuesta en ese plazo, así se informará al peticionario y se le indicará la fecha en que se dará respuesta, que no puede ser más de 5 días después de dicha comunicación. 2.3 Trámite de reclamos. El artículo 16-11 de la Ley 1266 de 2008 fija el procedimiento para la presentación y trámite de quejas en materia de habeas data: "Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.

Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.

2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga "reclamo en trámite" y la naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios.

3. El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga "reclamo en trámite" y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente.

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según

sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular.

6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida. La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga "información en discusión judicial" y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito." En caso de que la consulta o reclamo no sean atendidas o le sean resueltas de manera desfavorable por el operador de la información, el titular puede acudir ante la Entidad competente, así:  Cuando la fuente, usuario u operador de información es una entidad vigilada por la Superintendencia Financiera de Colombia, esa será la entidad competente.  En los demás casos será competente la Superintendencia de Industria y

Comercio. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia.

(2) Corte Constitucional, Sentencia C-1011 del Ponente: Jaime Córdoba Triviño. (3) Ibídem. (4) Corte Constitucional, Sentencia T-060 de Montealegre Lynnet. (5) Literal a artículo 3 Ley 1266 de 2008. (6) Literal b artículo 3 Ley 1266 de 2008. (7) Literal c artículo 3 Ley 1266 de 2008. (8) Literal e artículo 3 Ley 1266 de 2008. (9) Literal f artículo 3 Ley 1266 de 2008. (10) Literal g artículo 3 Ley 1266 de 2008. (11) Literal h artículo 3 Ley 1266 de 2008. (12) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008, Magistrado ponente: Jaime Córdoba Triviño. (13) Numeral 1.1 del artículo 6 de la Ley 1266 de 2008. (14) Numeral 1 del artículo 7 de la Ley 1266 de 2008. (15) Parágrafo 2 del artículo 10 de la Ley 1266 de 2008. (16) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008, Magistrado ponente: Jaime Córdoba Triviño. (17) Artículo 16-1 Ley 1266 de 2008.