SIC - Concepto-13152334

Bogotá D.C., 10

Asunto: Radicación: 13-152334--1-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación remitida por la Superintendencia Financiera de Colombia y radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el artículo 1 del Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así:

60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la

Superintendencia Financiera.

61. Impartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y señalar los procedimientos para su cabal aplicación.

A continuación resolveremos los interrogantes 3, 5 y 13 de su consulta en los

siguientes términos: Primer Cuestionamiento "3. Quienes tienen dinero (sic) a tenerla información del Habeas data?” Respuesta: La Ley 1266 de 2008 de Habeas Data en su artículo 3 consagra las siguientes definiciones: "a) Titular de la información. Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley; b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. (...) c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. (...) d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el

usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y Responsabilidades de ambos; (...) g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley." De lo anterior se colige que cualquier persona natural o jurídica puede ser un usuario facultado para acceder a la información de datos personales semiprivados como el financiero y crediticio, que permite ser conocido o divulgado por cierto sector o grupo de personas interesadas en él, siempre y cuando medie la autorización legal o expresa, previo y suficiente del titular de la información. Así mismo, la Corte Constitucional, mediante Sentencia C-1011 de 2008, la cual efectuó el proceso de revisión del proyecto de Ley Estatutaria No. 27/06 Senado221/07 Cámara (Acum. 05/06 Senado) "Por la cual se dictan disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países", en unos de sus apartes, señaló: "En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se

acerquen a las prerrogativas propias del derecho a la intimidad.(i). De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos, especialmente el derecho al hábeas data financiero. "En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos, precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte Respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales." En tal virtud, al tratarse de la categoría de "datos semiprivados" para efectos de accesar a dicha información, se debe respetar los derechos fundamentales en todas las etapas de recolección, tratamiento y circulación de la los datos personales. Ahora bien, la misma ley en el artículo 9 establece los deberes de los usuarios en el tratamiento de la información personal así: DEBERES DE LOS USUARIOS. Sin perjuicio del cumplimiento de las

disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán:

1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley.

2. Informar a los titulares, a su solicitud, sobre la utilización que le está dando a la información.

3. Conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento.

4. Cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la presente ley.

5. Los demás que se deriven de la Constitución o de la presente ley.

Por lo anterior, los usuarios de la información financiera y crediticia tienen la obligación de guardar la suficiente diligencia y seguridad en el tratamiento de los datos que le fueron suministrados; por lo tanto su incumplimiento permite que el titular de la información ejerza el derecho de habeas data a través de la utilización de los mecanismos para la protección de peticiones, consultas y reclamos. El artículo 15 de la mencionada Ley establece lo siguiente: ACCESO A LA INFORMACIÓN POR PARTE DE LOS USUARIOS. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación Contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información. Lo anterior quiere decir, que dando aplicación al principio de finalidad de la administración de los datos personales de carácter financiero y crediticio, el usuario de la información se obliga a que las actividades de recolección de datos personales obedezcan a una finalidad legítima de acuerdo con la Constitución y la ley, y establece que la misma deberá comunicársele al titular de la información previa o concomitante con el otorgamiento del titular de la autorización, cuando ella sea necesaria o, en general, siempre que el titular solicite información al respecto ya que éste, puede en todo momento y lugar conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación de la misma. Los usuarios de la información que requieran los datos personales de carácter crediticio, financiera de una persona, podrán acceder a ella cuando la finalidad sea: (i) elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza; (ii) para la evaluación de los riesgos derivados de una relación contractual vigente; (iii) como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas; (iv) para cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente; (v) cualquier otra finalidad, diferente de

las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información. Los usuarios de la información deben cumplir con la obligación de guardar la suficiente diligencia y seguridad en el tratamiento de los datos que le fueron suministrados, con el fin de evitar su pérdida, adulteración, deterioro, uso no autorizado o fraudulento. Así mismo, deben utilizar la información solo para las finalidades autorizadas por el titular. Cabe resaltar que la finalidad para consultar la información comercial, financiera, crediticia o de servicios es para estudiar el riesgo y el análisis crediticio, por ello dicha información deberá ser valorada en forma concurrente con otros factores o elementos de juicio que técnicamente inciden en la mencionada finalidad, y los usuarios no podrán basarse exclusivamente en la información relativa al incumplimiento de obligaciones suministrada por los operadores para adoptar decisiones. Segundo cuestionamiento "5. Deseo saber porqué (sic) Datacredito (sic) en su página web cobra por conocer la historia crediticia" Respuesta: El artículo 10 de la Ley 1266 de 2008 establece lo siguiente: "PRINCIPIO DE FAVORECIMIENTO A UNA ACTIVIDAD DE INTERÉS PÚBLICO. La actividad de administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países está directamente relacionada y favorece una actividad de interés público, como lo es la actividad financiera propiamente, por cuanto ayuda a la democratización del crédito, promueve el desarrollo de la actividad de crédito, la protección de la confianza pública en el sistema financiero y la estabilidad del mismo, y genera otros beneficios para la economía nacional y en especial para la actividad

financiera, crediticia, comercial y de servicios del país. (...) PARÁGRAFO 2o. La consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario." Respecto al precitado parágrafo 2, la Corte Constitucional mediante sentencia C1011 de 2008 señaló lo siguiente: “[N]o obstante, encuentra la Corte que en contra de la anterior conclusión puede argumentarse que lo previsto por el legislador estatutario no se contrapone a la Constitución, en tanto está permitido el acceso gratuito del titular, sólo que se establece el cobro para el caso de la segunda consulta mensual; ello con el ánimo de otorgar un grado de racionalización al acceso por parte del sujeto concernido y, de esta manera, desestimular un uso Desaforado de la facultad de consulta prevista por la Constitución. A juicio de la Sala, debe partirse de considerar que lo que proscriben las reglas anteriormente analizadas es que el acceso a la información personal esté supeditado al pago de un costo o tarifa, lo que no es incompatible con que el legislador establezca la posibilidad de cobro, siempre y cuando el mismo no constituya requisito ineludible para el acceso a los datos personales por parte de su titular. En ese sentido, la norma analizada no se opone a la Constitución, en la medida en que permite que el titular acceda gratuitamente a sus datos, al menos una vez al mes calendario, facultad que permite hacer efectivo el derecho de acceso a la información personal, en los términos anteriormente expuestos. En ese sentido, encuentra la Corte que la

restricción mensual a la gratuidad de acceso al dato personal no se muestra desproporcionada ni irrazonable. En efecto, (i) existe la posibilidad que el titular acceda gratuitamente a su información personal, cada mes; y (ii) la práctica comercial demuestra que las obligaciones financieras y crediticias son pactadas con vencimientos de pago igualmente mensuales, razón por la cual resulta materialmente posible que se efectúen reportes sobre cumplimiento en el pago de obligaciones por lapsos más cortos. Por ende, la medida de racionalización en la consulta que prevé el legislador estatutario no afecta la facultad constitucional que tiene el titular de conocer, actualizar y rectificar sus datos personales concernidos en archivos o bancos de datos. Sin embargo, la Corte debe resaltar que, en todo caso, la facultad que tienen los operadores de exigir un cobro por el acceso, por parte del titular, a partir de la segunda consulta mensual, no puede convertirse en una barrera para el ejercicio de las competencias de conocimiento, actualización y rectificación que la Carta Política le adscribe. Finalmente, la Sala considera importante destacar que la norma, en el evento que fuera aplicada para el caso de un operador de información constituido como persona jurídica de derecho público - posibilidad que la norma estatutaria no descarta - constituiría una tasa cobrada por la prestación de un servicio por parte del Estado. En este escenario, la aplicación de la tarifa deberá estar supeditada a que el legislador, conforme a las reglas previstas en la Constitución, regule previamente dicho ingreso fiscal". Por lo anterior, y de acuerdo a la finalidad de interés público de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países,

la ley consagró la posibilidad de consultar dicha información de manera gratuita al menos una vez cada mes calendario y los operadores de información pueden Hacer el cobro a partir de la segunda consulta mensual pero no puede convertirse en una barrera para el ejercicio del derecho de hábeas data. Tercer cuestionamiento "13. Cuanto (sic) es lo máximo que se puede sancionar DATACREDITO a una persona natural y cuál es la norma" Respuesta: El artículo 13 de la Ley 1266 de 2008, establece lo siguiente: PERMANENCIA DE LA INFORMACIÓN. La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información. Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera, y en general, aquellos datos referentes a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será de cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida. El mencionado artículo fue declarado condicionalmente exequible por la Corte Constitucional mediante Sentencia C-1011 de 16 de octubre de 2008, en el entendido que la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora, y que el término de permanencia de cuatro años también se contará a partir del momento en que se extinga la obligación por cualquier modo.

Por lo anterior, el dato negativo permanecerá en los bancos de datos por el tiempo que cada caso concreto lo amerite, si es una mora inferior a dos años el dato negativo no podrá exceder del doble de la mora y si la mora es mayor de dos años la permanencia será de cuatro (4) años contados a partir de la fecha de pago de la respectiva obligación. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos