SIC - Concepto-13162159

Bogotá D.C., 10

Asunto: Radicación: 13-162159--4-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el artículo 1 del Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así:

60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera.

61. Impartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y señalar los procedimientos para su cabal aplicación.

A continuación nos permitimos resolver sus interrogantes en los siguientes términos en relación con el tema de la consulta, con el fin de brindarle mayores

elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta Oficina Asesora Jurídica mediante un concepto no puede solucionar situaciones particulares. Primer Cuestionamiento Para los efectos de la caducidad y la prescripción; de acuerdo con el numeral 3o del artículo 58 de la Ley 1480 de 2011 y el numeral segundo de la resolución (sic) 11048 del 09 de mayo de 2013; para el caso que nos ocupa, ¿está ya opero o no?

Respuesta: Reiteramos que esta Oficina Asesora Jurídica mediante un concepto no puede resolver situaciones particulares.

Ahora bien, la prescripción debe ser alegada por vía de excepción en el marco de un proceso y es al juez al que le corresponde declararla dentro del mismo. Segundo cuestionamiento "Con ocasión a la queja, ¿existe alguna limitante legal para que la señora (...), en su legitimo derecho procede (sic) a reportar a los morosos a las centrales de riesgo?" Respuesta: Sea lo primero señalar que el artículo 15 de la Constitución Política, establece: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. "En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución". Respecto de la disposición transcrita la Corte Constitucional, en Sentencia T-060 de 2003, Magistrado Ponente, Doctor Eduardo Montealegre Lynnet, ha señalado:

"El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los "derechos fundamentales", no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. "(...) "De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. "La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (...)". De igual modo la honorable Corte Constitucional en Sentencia C-981 de 2000, magistrado ponente Dra. Clara Inés Vargas Hernández, ha considerado que "hace parte del habeas data la previa autorización expresa y voluntaria que debe dar el interesado para que un tercero pueda disponer de su información personal, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarlos

o actualizarlos". Como se advierte, el artículo 15 de la Constitución Política establece que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa autorizan que la información que sobre ellos se recaude o circule pueda ser incluida en un banco de datos. La ausencia de dicha autorización implica necesariamente que los datos personales asociados al titular no podrán ser reportados por la fuente a un operador de información. Por su parte, la Ley 1266 de 2008 de Habeas Data en su artículo 3 consagra las siguientes definiciones: "a) Titular de la información. Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley; b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. (...) c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. (...) (...) g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en

general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley." El artículo 12 de la mencionada ley señala el procedimiento para el reporte de información negativa en los siguientes términos: (...) El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta. En consecuencia la fuente de información es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole puede realizar el reporte negativo de una persona que se encuentra en mora, siempre y cuando

cuente con la autorización del titular de la información y previo al reporte debe enviarle una comunicación por lo menos con veinte (20) días calendarios anteriores al reporte, con el fin de que el titular pueda demostrar o efectuar el pago de la obligación, o controvertir aspectos como la obligación, la cuota o la fecha de exigibilidad de la misma Tercer cuestionamiento "En caso de que los deudores sean reportados a las centrales de riesgo y, por ello, en retaliación procedan a presentar una demanda ante la SuperComercio, ¿existen consecuencias más gravosas para la propietaria del establecimiento de comercio?" Respuesta: El incumplimiento de las normas consagradas en la Ley 1266 de 2008 respecto al reporte de información negativa genera sanciones por parte de la Dirección de Investigaciones de Protección de Datos Personales de esta Superintendencia en los términos señalados en el artículo 18 de la mencionada ley que señala lo siguiente: SANCIONES. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la Reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser

sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones. Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos. Cuarto Cuestionamiento "¿ Deben los denunciantes o demandantes cumplir con las obligaciones contraídas, mientras se surte el trámite procesal correspondiente?" Respuesta: El artículo 1602 del Código Civil colombiano señala lo siguiente: LOS CONTRATOS SON LEY PARA LAS PARTES. Todo contrato legalmente celebrado es una ley para los contratantes, y no puede ser invalidado sino por su consentimiento mutuo o por causas legales. Por lo anterior, las obligaciones contraídas por la celebración de un contrato no pueden cesar sino por el mutuo consentimiento de los contratantes o por causas legales con intervención de la autoridad judicial quien deberá en la sentencia declarar si procede la resolución, rescisión, nulidad o simulación del contrato según sea el caso. Quinto Cuestionamiento "¿Se suspenden para los consumidores el pago de las obligaciones, con

ocasión de una queja o una demanda ante la Superintendencia de Industria y Comercio?" Respuesta: Nos remitimos a la respuesta anterior Sexto cuestionamiento "¿Será necesario esperar a que se surta todo el trámite procesal correspondiente, para que en caso de mora, pueda ser reportado a las centrales de riesgo?

Respuesta: Como se indicó en la respuesta del primer interrogante ante el incumplimiento de las obligaciones por parte de un titular de la información de una relación comercial o de servicio o de cualquier otra índole, la fuente de información puede realizar el reporte negativo siempre y cuando cuente con la autorización del titular de la información y se realice el procedimiento señalado en la Ley 1266 de 2008.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos