SIC - Concepto-13104839

Bogotá D.C., 10

Asunto: Radicación: 13-104839- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Estimado(a) Señor: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula las siguientes preguntas: 1. “Solicito que se me informe si la ley 1266 de 2008 ha sido reglamentada y por que (sic) normas. (Ley 1266 de 2008)” 2. “Solciito (sic) que se me informe que (sic) requisitos legales debe cumplir un banco de datos para su creación. (Ley 1266 de 2008)” 3. “Solicito que se me informe que (sic) requisitos legales o reglamentarios debe cumplir un operador de información para su constitución y funcionamiento. (Ley 1266 de 2008)” 4. “Solicito que se me informe que (sic) requisitos legales o reglamentarios debe cumplir una agenca (sic) de información comercial para su constitucion (sic) y funcionamiento. (Ley 1266 de 2008)” 5. “Solicito que se infique (sic) la diferencia legal entgre (sic) operador de información y agencia de información comercial según la ley 1266. (Ley 1266 de 2008)” 6. “Solicito que se me idniquen (sic) los requisitos tecnológicos para constituir un

operador de información o una agencia de información comercial. (Ley 1266 de 2008)” 7. “Solciito (sic) que se me indiquen los bancos de datos, operadores de información y agencias de información comercial existentes en colombia (sic) (Ley 1266 de 2008)”

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de habeas data, tiene, entre otras, las siguientes facultades: • Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales de acuerdo con la Ley 1266 de 2008. • Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su cabal aplicación.

Dentro del ámbito de las referidas competencias a continuación damos respuesta a sus preguntas. 2.1 El derecho al habeas data. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de

entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.(…)” (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008 – Habeas datay 1581 de 2012 –Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: “el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero” (2) Por otra parte, el habeas data genérico ha sido definido como: “el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada”(3) Así mismo, la Corte Constitucional ha considerado que el núcleo esencial de dicho derecho está conformado así: “De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. “La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las

regulaciones legales. (…)”.(4) Para analizar de manera adecuada las normas de habeas data se debe tener en consideración las definiciones contenidas en el artículo 3 de la Ley 1266 de 2008, entre ellas se encuentran: • Titular de la información: “Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;” (5) • Fuente de información:“Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos;”(6) • Operador de información:“Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta

al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;” (7) Así mismo, el artículo 3 de la Ley 1266 de 2008 define las diferentes clases de datos: • Dato personal: “Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;”(8) • Dato público:“Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;” (9) • Dato semiprivado:“Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.”(10) • Dato privado:“Es el dato que por su naturaleza íntima o reservada sólo es relevante para el

titular.(11) En relación con las clases de datos la Corte Constitucional consideró: “En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero. En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales.” (12) 2.2 Primera pregunta. Decretos Reglamentarios. La Ley 1266 de 2008 cuenta con dos decretos reglamentarios:

• Decreto 1727 de 2009: Por el cual se determina la forma en la cual los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países deben presentar la información a los titulares. • Decreto 2952 de 2010: Por el cual se reglamentan los artículos 12 y 13 de la Ley 1266 de 2008. 2.3 Segunda pregunta. Bancos de datos.

Dado que los bancos de datos no se encuentran definidos en la Ley 1266 de 2008 debemos acudir a la definición que de las bases de datos realiza el literal b del artículo 3 de la Ley 1581 de 2012: “Conjunto organizado de datos personales que sea objeto de Tratamiento” (13) Con el fin de determinar los requisitos que deben cumplir los bancos de datos se debe evaluar qué clase de datos personales se encuentran contenidos en dicho banco, en este sentido, en caso de que se trate de información financiera, crediticia, comercial y de servicios deberá cumplir con los requisitos previstos en la Ley 1266 de 2008 para los operadores de información. Por otra parte, cuando dichos bancos de datos contengan información de otro tipo se debe regir por los principios consagrados en la Ley 1581 de 2012. 2.4 Tercera pregunta. Operadores de información. Los operadores de información se encuentran definidos en los siguientes términos en el literal c del artículo 3 de la Ley 1266 de 2008: “Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto

tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;” (14) Así mismo, el artículo 11 de la Ley 1266 de 2008 ha fijado una serie de requisitos para los operadores de información: “Requisitos especiales para los operadores. Los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países que funcionen como entes independientes a las fuentes de la información, deberán cumplir con los siguientes requisitos especiales de funcionamiento:

1. Deberán constituirse como sociedades comerciales, entidades sin ánimo de lucro, o entidades cooperativas.

2. Deberán contar con un área de servicio al titular de la información, para la atención de peticiones, consultas y reclamos.

3. Deberán contar con un sistema de seguridad y con las demás condiciones técnicas suficientes para garantizar la seguridad y actualización de los registros, evitando su adulteración, pérdida, consulta o uso no autorizado conforme lo previsto en la presente ley.

4. Deberán actualizar la información reportada por las fuentes con una periodicidad no superior a diez (10) días calendario contados a partir del recibo de la misma.” (15) Por lo cual al momento de su constitución los operadores de información deben cumplir con el requisito de adecuarse a alguna de las formas de asociación previstas en el numeral 1 del citado artículo 11 de la Ley 1266 de 2008, esto es:

• Sociedad comercial • Entidad sin ánimo de lucro • Cooperativa. Adicionalmente, en su funcionamiento deben tener en cuenta las obligaciones previstas en los citados numerales 2 al 3 del artículo 11 de la Ley 1266 de 2008: • Contar con un área de Servicio al Titular de la información, en la cual dé trámite a las peticiones, consultas y reclamos que les formulen. • Implementar un sistema de seguridad y condiciones técnicas que permitan garantizar la seguridad y actualización de los registros. • Actualizar la información reportada a las fuentes al menos 10 días calendario después de su recepción. 2.5 Cuarta pregunta. Agencias de información.

Las agencias de información se encuentran definidas en el literal i del artículo 3 de la Ley 1266 de 2008, así: “Agencia de Información Comercial. Es toda empresa legalmente constituida que tenga como actividad principal la recolección, validación y procesamiento de información comercial sobre las empresas y comerciantes específicamente solicitadas por sus clientes, entendiéndose por información comercial aquella información histórica y actual relativa a la situación financiera, patrimonial, de mercado, administrativa, operativa, sobre el cumplimiento de obligaciones y demás información relevante para analizar la situación integral de una empresa. Para los efectos de la presente ley, las agencias de información comercial son operadores de información y fuentes de información.

Parágrafo: A las agencias de información comercial, así como a sus fuentes o usuarios, según sea el caso, no se aplicarán las siguientes disposiciones de la presente ley: numerales 2 y 6 del artículo 8°, artículo 12, y artículo 14.” (16) Dado que, según se indica la norma en comento, las agencias de información tienen el

carácter de operadores de información y fuentes, deben cumplir con los requisitos legales para ambos, excepto aquellos de cuya aplicación la ley expresamente los ha excluido en el citado parágrafo del literal i del artículo 3 de la Ley 1266 de 2008. 2.6 Quinta pregunta. La Corte Constitucional al evaluar la constitucionalidad del proyecto de ley que dio origen a la Ley 1266 de 2008 consideró en relación con la definición de las agencias de información comercial: “Seguidamente, la norma establece que a las agencias de información comercial, así como a sus fuentes y usuarios, no se les aplicarán las disposiciones previstas en los numerales 2º y 6º del artículo 8, el artículo 12 y el artículo 14. (…) Sobre esta disposición, la Corte advierte que el legislador estatutario distingue entre los operadores de información que tienen como propósito recolectar datos personales pertinentes para el cálculo del riesgo crediticio del sujeto concernido, de las agencias de información comercial que no tienen ese propósito particular, sino que se dedican a realizar estudios de mercado y, en general, obtener a través de varias vías datos relevantes sobre la situación patrimonial y técnica de las empresas y comerciantes participantes en el mercado, a fin de suministrar dicha información a esos mismos participantes, a cambio de un pago. Las agencias de información comercial, bajo esta lógica, no tienen como función específica la generación de reportes sobre el cumplimiento de obligaciones de dichos comerciantes y empresas, sino que centran su objeto en entregar datos valiosos para la adopción de decisiones que tienen que ver con el tráfico mercantil. En cuanto las agencias de información comercial participan en procesos de acopio,

recolección y tratamiento de datos personales, les es exigible el cumplimiento de las prerrogativas propias del derecho al hábeas data, y es por ello que el legislador estatutario las ha identificado como uno de los sujetos a los que se les aplica la normatividad objeto de examen. (…) Como se indicó en apartado precedente, esta modalidad de administración de datos difiere de la actividad que realizan las agencias de información comercial, las cuales, se insiste, llevan a cabo estudios económicos sobre las empresas y comerciantes, diferenciables de la gestión de información personal sobre cumplimiento en el pago de obligaciones. Por este motivo, resulta razonable que el legislador estatutario haya incorporado una exclusión de responsabilidad de tal naturaleza. (…)” (17) De lo anterior se puede concluir que agencias de información difieren de los operadores principalmente en las actividades que desarrollan, ya que, las primeras tienen como finalidad la realización de estudios de mercado y obtener información patrimonial y técnica de empresas. Por su parte, los operadores de información tienen como propósito recolectar datos personales para el cálculo del riesgo crediticio. Otra diferencia existente entre éstos es que las agencias de información tienen el doble carácter de operadores de información y fuentes de información, en cambio los operadores solamente cuentan con dicha naturaleza. 2.7 Sexta pregunta. Los requisitos tecnológicos con los que deben cumplir los operadores de información están previstos en el numeral 3 del artículo 11 de la Ley 1266 de 2008: “3. Deberán contar con un sistema de seguridad y con las demás condiciones técnicas suficientes para garantizar la seguridad y actualización de los registros,

Evitando su adulteración, pérdida, consulta o uso no autorizado conforme lo previsto en la presente ley.” (18) 2.8 Séptima pregunta. Dado que la Ley 1266 de 2008 no estableció la obligación para los bancos de datos, operadores de información y agencias de información de registrarse, esta Entidad no cuenta con un registro de las mismas. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co.

Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado

Ponente: Jaime Córdoba Triviño.

(3) Ibídem. (4) Corte Constitucional, Sentencia T-060 de 2003, Magistrado Ponente: Eduardo Montealegre Lynnet. (5) Literal a artículo 3 Ley 1266 de 2008. (6) Literal b artículo 3 Ley 1266 de 2008. (7) Literal c artículo 3 Ley 1266 de 2008. (8) Literal e artículo 3 Ley 1266 de 2008. (9) Literal f artículo 3 Ley 1266 de 2008. (10) Literal g artículo 3 Ley 1266 de 2008. (11) Literal h artículo 3 Ley 1266 de 2008. (12) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008, Magistrado ponente: Jaime Córdoba Triviño. (13) Literal b artículo 3 Ley 1581 de 2012. (14) Literal c artículo 3 Ley 1266 de 2008.

(15) Articulo 11 Ley 1266 de 2008. (16) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008, Magistrado ponente: Jaime Córdoba Triviño. (17) Ibídem. (18) Numeral 3 artículo 11 Ley 1266 de 2008.

Elaboró: Mariana Naranjo Arango

Revisó y aprobó: William Burgos Durango

Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

Jefe Oficina Asesora Jurídica