SIC - Concepto-13148230

Bogotá D.C., 10

Asunto: Radicación: 13-148230- -2-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula las siguientes preguntas: 1. "Que (sic) procedimiento tiene que efectuar la fuente antes de dar un reporte negativo al operador de datos?" 2. "Favor comunicar por escrito como (sic) es el procedimiento para hacer llegar el dato negativo por parte de la fuente de la información, a los operadores de datos o centrales de riesgo, favor explicar en qué forma:

a. Reporte Telefónico b. Reporte por medio electrónico o Sistemático c. Reporte por medio Físico" 3. "Por favor aclarar cuál de los 3 medios es el permitido por la Ley y como (sic) se pueden verificar ya que está (sic) prohibido los reportes mentirosos y sin bases, que (sic) procedimiento tiene que efectuar el operador de datos y/o centrales de riesgos, antes de dar el informe negativo (...)" 4. "Aparte de exigir el operador de datos a la fuente de la información, y autorización de parte del titular de la información para el reporte, ¿que (sic) otros documentos tiene que verificar el operador de datos, pará (sic) saber que se respetaron todos los derechos del titular de la información, antes de

dar el reporte negativo y que la información es veraz?" 5. "Ya que cuando el operador recibe la información de parte de la fuente de la información, se hace responsable de la información que divulgue según lo normado en la Ley 1266 de 2008. ¿Si la fuente violo (sic) los derechos del titular y da esta información al operador de datos, y este de su parte no verifica los datos antes de dar el reporte esto lo hace responsable también? por (sic) favor dar respuesta con las explicaciones de Ley." 6. "Si la fuente violo (sic) los derechos del titular de la información y el operador de datos los trasmitió ¿son responsables las fuentes de la información y el operador de datos de violarlos derechos del titular de la información?"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de habeas data, tiene, entre otras, las siguientes facultades: • Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales de acuerdo con la Ley 1266 de 2008. • Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su cabal aplicación.

Dentro del ámbito de las referidas competencias a continuación damos respuesta a sus preguntas. 2.1 El derecho al habeas data. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al

buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.(...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada"(3) Así mismo, la Corte Constitucional ha considerado que el núcleo esencial de dicho derecho está conformado así: "De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en

general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. "La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (...)". (4) Para analizar de manera adecuada las normas de habeas data se debe tener en consideración las definiciones contenidas en el artículo 3 de la Ley 1266 de 2008, entre ellas se encuentran: • Titular de la información: "Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;" (5) • Fuente de información: "Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón deautorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los

derechos del titular de los datos "(6) • Operador de información: "Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;" (7) Así mismo, el artículo 3 de la Ley 1266 de 2008 define las diferentes clases de datos: • Dato personal: "Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen De protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;"(8) • Dato público: "Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;" (9)

• Dato semiprivado: "Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley."( 10) • Dato privado: "Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.”(11) En relación con las clases de datos la Corte Constitucional consideró: "En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero.

En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el

nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales." (12) 2.2 Primera pregunta. 2.2.1 Autorización previa. El numeral 5 del artículo 8 de la Ley 1266 de 2008 establece como uno de los deberes de las fuentes de información el obtener autorización previa de los titulares de la información: "5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley." (13) En este sentido, el parágrafo del numeral 1 del artículo 6 de la norma en comento determina cuándo se debe obtener dicha autorización y cuándo no resulta necesaria: "La administración de información pública no requiere autorización del titular de los datos, pero se sujeta al cumplimiento de los principios de la administración de datos personales y a las demás disposiciones de la presente ley. La administración de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los datos, salvo en el caso del dato financiero, crediticio, comercial, de servicios y el proveniente de terceros países el cual no requiere autorización del titular. En todo caso, la administración de datos semiprivados y privados se sujeta al cumplimiento de

los principios de la administración de datos personales y a las demás disposiciones de la presente ley."(14) En relación con esta norma, la Corte Constitucional al evaluar la constitucionalidad de la Ley 1266 de 2008 consideró: "3.2.2.1. En primer término, la disposición establece que la administración de la información pública no requiere autorización del titular de los datos. Empero, condiciona esa actividad a los principios de administración de datos personales y a las demás disposiciones de la norma estatutaria. La constitucionalidad de esta disposición no plantea mayores inconvenientes, habida cuenta que el libre acceso es una de las características esenciales de la información pública, de modo tal que la supresión del requisito de consentimiento del titular para la inclusión en bases de datos es apenas un Corolario lógico de la necesidad de garantizar la plena disposición de datos de esta naturaleza. En ese sentido, debe insistirse en que el acceso sin limitaciones a los datos públicos es un componente propio del ejercicio del derecho a recibir información, en los términos del artículo 20 C.P., razón por la cual lo dispuesto en este apartado por el legislador estatutario garantiza el ejercicio adecuado de ese derecho. (...) 3.2.2.2 En segundo lugar, el parágrafo indica que la administración de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los mismos. Esta regla es en todo consonante con el principio de libertad previsto en el artículo 15 C.P., de acuerdo con el cual la legitimidad constitucional de los procesos de acopio, tratamiento y divulgación de datos personales se sustenta, entre otros aspectos, en que el sujeto concernido

preste su autorización libre, previa y expresa. 3.2.2.3 En tercer término, el parágrafo objeto de estudio establece que la regla general de exigencia del consentimiento antes planteada no es aplicable para el caso del dato financiero, crediticio, comercial y de servicios y el proveniente de terceros países, el cual no requiere autorización del titular. En relación con este preciso apartado, el Procurador General y varios de los intervinientes formularon distintos argumentos para defender e impugnar la constitucionalidad del precepto, razones relacionadas con la exigibilidad del consentimiento del titular, consideraciones que ya fueron sintetizadas por la Corte a propósito del estudio de constitucionalidad del literal f) del artículo 5°. En suma, el problema jurídico planteado por los intervinientes consiste en determinar si la posibilidad prevista por el legislador estatutario, referida a permitir la administración de datos personales de contenido financiero, crediticio, comercial, de servicios y proveniente de terceros países sin consentimiento del titular, viola el principio de libertad y la autodeterminación informática, predicables ambos de los procesos de recolección, tratamiento y divulgación de información personal. Para la Corte, el análisis de constitucionalidad del precepto depende, en buena medida, de la identificación concreta de su contenido y alcance, la cual se obtiene no sólo a partir del análisis aislado de la disposición, sino también de su comprensión sistemática a partir del contexto normativo en que se inscribe. Bajo este supuesto, se tiene que el parágrafo del numeral 1.4. (i) hace referencia a las condiciones predicables de la administración de datos semiprivados y privados que efectúa los operadores de información; y (ii)

pertenece al numeral primero del artículo 6o del Proyecto de Ley, que versa sobre los derechos de los titulares de la información frente a los operadores de los bancos de datos. (...) Si ello es así, entonces la exclusión de responsabilidad de obtención de consentimiento del titular para la administración a cargo de los operadores, es enteramente compatible con el deber que tienen las fuentes de información de obtener el consentimiento libre, previo, expreso y suficiente del titular del dato personal para suministrar su información personal, de acuerdo con la obligación prevista en el artículo 8o, numeral 5, del Proyecto de Ley Estatutaria. En otras palabras, la administración de datos personales a cargo del operador es un acto posterior a la transmisión de la información por la fuente, quien tiene el deber ineludible de contar con la autorización del sujeto concernido, en tanto expresión concreta de la eficacia del principio de libertad, según se tuvo oportunidad de explicar in extenso en el análisis de constitucionalidad del literal f) del artículo 5o del Proyecto de Ley Estatutaria. Basándose en los argumentos anteriores, la Corte concluye que el legislador estatuario ha previsto una modalidad particular de consentimiento en lo que respecta a la administración de datos personales. La primera, que puede denominarse como de autorización doble, relacionada con los datos privados y semiprivados distintos a los comerciales y financieros, caso en el cual deberá contarse con el consentimiento del titular del dato, expresado tanto a la fuente (artículo 8°-5 del Proyecto), como al operador de información (parágrafo del numeral 1.4. del artículo 6o del Proyecto). El segundo, relativo a la administración de datos personales financieros, crediticios, comerciales, de

servicios y provenientes de terceros países; evento en el que la eficacia del principio de libertad se logra con el consentimiento libre, previo y suficiente que el titular exprese ante la fuente de información, como requisito previo e ineludible para que ésta transmita los datos al operador." (15) De acuerdo con lo anterior se puede concluir que la regla general cuando se trate de datos semiprivados o privados se requiere autorización previa del titular de los mismos. En este sentido, el numeral 1.3 del artículo 6 de la Ley 1266 de 2008 consagra el derecho de los titulares a obtener certificación de la autorización previa: "1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario." (16) 2.2.2 Comunicación previa a reporte sobre incumplimiento de obligaciones. El artículo 12 de la Ley 1266 de 2008 fija los requisitos que deben cumplir las Fuentes para reportar sobre el incumplimiento de obligaciones: "Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha

comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta." (17) De acuerdo con dicha norma, cuando una fuente pretenda efectuar un reporte de información negativa en relación con el incumplimiento de obligaciones debe seguir las siguientes reglas: • Previo al reporte debe enviar una comunicación al titular de la información, la cual se puede incluir en los extractos que periódicamente se envían al titular. • Durante los 20 días posteriores al envío de dicha comunicación el titular de la información puede demostrar el pago, pagar o controvertir aspectos de la obligación. • Una vez trascurrido el término de 20 días desde el envío de la comunicación podrá realizarse el reporte, sin embargo, en caso de que se haya presentado solicitud de rectificación o actualización que esté pendiente de ser resuelta, se debe indicar que la información está en discusión. 2.3 Segunda pregunta. La ley no regula de manera específica el procedimiento a través del cual se lleva a cabo la transmisión de la información de la fuente al operador de datos, sin embargo, en el literal f del artículo 5 de la Ley 1266 de 2008 se establece:

"Circulación de información. La información personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposición de las siguientes personas y en los siguientes términos: (...) f) A otros operadores de datos, cuando se cuente con autorización del titular, o cuando sin ser necesaria la autorización del titular el banco de datos de destino tenga la misma finalidad o una finalidad que comprenda la que tiene el operador que entrega los datos. Si el receptor de la información fuere un banco de datos extranjero, la entrega sin autorización del titular sólo podrá realizarse dejando constancia escrita de la entrega de la información y previa verificación por parte del operador de que las leyes del país respectivo o el receptor otorgan garantías suficientes para la protección de los derechos del titular." (18) En principio, de acuerdo con la norma transcrita, se podría hacer uso de las dos modalidades, esto es de manera verbal o por escrito, sin embargo, dicha posibilidad se encuentra limitada a que la herramienta a usar permita garantizar los principios del tratamiento de datos, entre ellos contar con las medidas de seguridad adecuadas, de acuerdo con el numeral 5 del artículo 7 de la Ley 1266 de 2008: "Deberes de los operadores de los bancos de datos. Sin perjuicio del cumplimiento de las demás disposiciones contenidas en la presente ley y otras que rijan su actividad, los operadores de los bancos de datos están obligados a:

5. Conservar con las debidas seguridades los registros almacenados para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento."

(19) En relación con el uso de mensajes de datos se debe tener en cuenta la definición contenida en el literal a del artículo 2 de la Ley 527 de 1999: "a) Mensaje de datos. La información generada, enviada, recibida, Almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax;" (20) Así mismo el artículo 5 de la Ley 527 de 1999 establece en relación con los efectos jurídicos de los mensajes de datos: "RECONOCIMIENTO JURIDICO DE LOS MENSAJES DE DATOS. No se negarán efectos jurídicos, validez o fuerza obligatoria a todo tipo de información por la sola razón de que esté en forma de mensaje de datos." (21) Finalmente se debe tener en consideración lo dispuesto en los artículos 8 y 9 de la Ley 527 de 1999 sobre los originales y la integridad de los mensajes de datos: "ORIGINAL. Cuando cualquier norma requiera que la información sea presentada y conservada en su forma original, ese requisito quedará satisfecho con un mensaje de datos, si: a. Existe alguna garantía confiable de que se ha conservado la integridad de la información, a partir del momento en que se generó por primera vez en su forma definitiva, como mensaje de datos o en alguna otra forma; b. De requerirse que la información sea presentada, si dicha información puede ser mostrada a la persona que se deba presentar. Lo dispuesto en este artículo se aplicará tanto si el requisito establecido en cualquier norma constituye una obligación, como si las normas simplemente

prevén consecuencias en el caso de que la información no sea presentada o conservada en su forma original. INTEGRIDAD DE UN MENSAJE DE DATOS. Para efectos del artículo anterior, se considerará que la información consignada en un mensaje de datos es íntegra, si ésta ha permanecido completa e inalterada, salvo la adición de algún endoso o de algún cambio que sea inherente al proceso de comunicación, archivo o presentación. El grado de confiabilidad requerido, será determinado a la luz de los fines para los que se generó la información y de todas las circunstancias relevantes del caso." (22) De acuerdo con lo anterior, la transferencia se podría llevar a cabo a través de los mensajes de datos, siempre y cuando se observen los requisitos previstos en las citadas normas. 2.4 Tercera pregunta. La manera en que los operadores de datos deben dar la información está regulada en el artículo 5 de la Ley 1266 de 2008: "Circulación de información. La información personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposición de las siguientes personas y en los siguientes términos: a. los titulares, a las personas debidamente autorizadas por estos y a sus causahabientes mediante el procedimiento de consulta previsto en la presente ley. b. A los usuarios de la información, dentro de los parámetros de la presente ley. c. A cualquier autoridad judicial, previa orden judicial. d. A las entidades públicas del poder ejecutivo, cuando el conocimiento de dicha información corresponda directamente al cumplimiento de alguna de

sus funciones. e. A los órganos de control y demás dependencias de investigación disciplinaria, fiscal, o administrativa, cuando la información sea necesaria para el desarrollo de una investigación en curso. f. A otros operadores de datos, cuando se cuente con autorización del titular, o cuando sin ser necesaria la autorización del titular el banco de datos de destino tenga la misma finalidad o una finalidad que comprenda la que tiene el operador que entrega los datos. Si el receptor de la información fuere un banco de datos extranjero, la entrega sin autorización del titular sólo podrá realizarse dejando constancia escrita de la entrega de la información y previa verificación por parte del operador de que las leyes del país respectivo o el receptor otorgan garantías suficientes para la protección de los derechos del titular. g. A otras personas autorizadas por la ley." (23) En este sentido, existe la posibilidad de que se suministre la información de manera verbal o escrita, y adicionalmente también resultan aplicables las consideraciones efectuadas en relación con el uso de mensajes de datos Realizadas en el numeral inmediatamente anterior. En relación con las obligaciones de los operadores de la información respecto del manejo de la misma los numerales 2, 7 y 9 del artículo 7 de la Ley 1266 de 2011 establecen: "2. Garantizar, que en la recolección, tratamiento y circulación de datos, se respetarán los demás derechos consagrados en la ley. (...)

7. Realizar periódica y oportunamente la actualización y rectificación de los datos, cada vez que le reporten novedades las fuentes, en los términos de la presente ley. (...)

9. Indicar en el respectivo registro individual que determinada información se

encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma y no haya finalizado dicho trámite, en la forma en que se regula en la presente ley. (...)" (24) Por su parte en el Numeral 1.1 del capítulo primero del Título quinto de la Circular Única de la Superintendencia de Industria y Comercio se establece el procedimiento cuando se trate de brindar información por parte de los operadores: "1.1 Circulación de la información 1.1.1. Entrega de la información a los titulares, a las personas autorizadas por éstos y a sus causahabientes. De conformidad con lo establecido en el literal a) del artículo 5 de la Ley 1266 de 2008, las Entidades que administren bases de datos deben tomar todas las medidas de seguridad razonables para garantizar que la información personal contenida en ellas, sea suministrada, únicamente, a los titulares, a las personas debidamente autorizadas por éstos o a sus causahabientes. Para tal efecto y como mínimo, los operadores deben tener en cuenta las siguientes reglas al momento de atender las peticiones o consultas que aquellos presenten: a. Verificar la calidad de titular de quien formula verbalmente una petición o consulta, así: (i) Si la petición o consulta se realiza personalmente, deberá dejarse constancia de la exhibición de cualquier documento idóneo que permita su identificación. (ii) Si la petición o consulta se realiza telefónicamente, siempre que el operador de información tenga habilitada esta opción, deberá validarse una información del titular que permita su identificación y conservarse un registro de la conversación. b) Verificar que las peticiones o consultas escritas estén debidamente

suscritas por el titular, quien debe acreditar su calidad así: (i) Mediante la exhibición de cualquier documento idóneo que permita su identificación; o, (ii) A través de la presentación de documento que se encuentre debidamente autenticado mediante diligencia notarial de reconocimiento de contenido y firma (presentación personal); o (iii) Por cualquier otro medio que permita su identificación. c. Verificar que se allegue el respectivo poder, otorgado con las formalidades de ley, cuando la petición o consulta se presente por escrito, a través de mandatario, apoderado o persona autorizada. d. Verificar la calidad de causahabiente del titular de la información cuando la petición se presente por escrito por éstos. e. Verificar que las peticiones o consultas relacionadas con las personas jurídicas se encuentren debidamente suscritas por su representante legal, quien deberá probar su condición con el respectivo documento que acredite la existencia y representación legal de la misma y la exhibición de cualquier documento idóneo que permita su identificación. No será ne