SIC - Concepto-13201967

Bogotá D.C., 10

Asunto: Radicación: 13-201967- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 5

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada para la protección

de datos personales así:

60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera. 61. lmpartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y

señalar los procedimientos para su cabal aplicación. A continuación resolveremos sus interrogantes, respecto al trámite de consultas en la Ley 1266 de 2008, en los siguientes términos: Primer cuestionamiento \"¿Con relación a la consulta de información por el titular de la información a un banco de datos, para el caso una central de riesgos (ejemplo: DATACredito (sic), CIFIN), que se entiende por \"debidamente identificados\" según lo expresado en el artículo 16 de la Ley 1266 de 2008 (...)?\" Respuesta: El literal a) del artículo 3 de la Ley 1266 de 2008 define titular de la información en los siguientes términos: \"a) Titular de la información. Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley; Por su parte, el artículo 5 de la precitada ley señala lo siguiente: Circulación de información. La información personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposición de las siguientes personas y en los siguientes términos: a) A los titulares, a las personas debidamente autorizadas por estos y a sus causahabientes mediante el procedimiento de consulta previsto en la presente ley. (...) En concordancia con lo anterior, el artículo 1.1.1., del Capítulo primero, del Título V de la Circular Única de esta Superintendencia señala lo siguiente: 1.1.1. Entrega de la información a los titulares, a las personas autorizadas por éstos

y a sus causahabientes De conformidad con lo establecido en el literal a) del artículo 5 de la Ley 1266 de 2008, las Entidades que administren bases de datos deben tomar todas las medidas de seguridad razonables para garantizar que la información personal contenida en ellas, sea suministrada, únicamente, a los titulares, a las personas debidamente autorizadas por éstos o a sus causahabientes. Para tal efecto y como mínimo, los operadores deben tener en cuenta las siguientes reglas al momento de atender las peticiones o consultas que aquellos presenten: a) Verificar la calidad de titular de quien formula verbalmente una petición o consulta, así: (i) Si la petición o consulta se realiza personalmente, deberá dejarse constancia de la exhibición de cualquier documento idóneo que permita su identificación. (ii) Si la petición o consulta se realiza telefónicamente, siempre que el operador de información tenga habilitada esta opción, deberá validarse una información del titular que permita su identificación y conservarse un registro de la conversación. b) Verificar que las peticiones o consultas escritas estén debidamente suscritas por el titular, quien debe acreditar su calidad así: i) Mediante la exhibición de cualquier documento idóneo que permita su identificación; o, ii) A través de la presentación de documento que se encuentre debidamente autenticado mediante diligencia notarial de reconocimiento de contenido y firma (presentación personal); o iii) Por cualquier otro medio que permita su identificación. Ahora bien, el inciso primero del artículo 16 de mencionada ley dispone: Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos,

debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. Por lo anterior, los operadores de la información tienen la obligación de suministrar al titular o sus causahabientes la información contenida en el registro individual o la que se encuentre vinculada al titular. Para el cumplimiento de este deber el operador debe contar la certeza de que quien solicita la información es el titular, es decir, la persona natural o jurídica a quien se refiere la información que reposa en su banco de datos y no otra, con el fin de garantizarle el ejercicio de su derecho fundamental de hábeas data y prevenir el acceso no autorizado a personas distintas del titular o sus causahabientes. Segundo cuestionamiento \"¿Qué información o requisitos mínimos y máximos puede exigir una central de riesgo al titular de la información para dar respuesta a una solicitud de información realizada por escrito del titular de la información?\" Respuesta: El artículo 16 de la Ley 1266 de 2008 señala lo siguiente respecto al trámite de consultas: \"I. Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles

contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Parágrafo. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada. En concordancia con lo anterior, el numeral 1 del mencionado artículo en el acápite de trámite de reclamos señala lo siguiente respecto a las peticiones escritas: \"La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. Por lo anterior, las consultas sobre la información personal que reposa en un banco de datos podrán ser formuladas, por el titular o sus causahabientes, a través de cualquier medio (verbal o escrito), con la condición de que se mantenga un registro técnico de las mismas que permitan evidenciar su presentación. Cuando la consulta se presente por escrito deberá contener: (i) la identificación del titular y (ii) la dirección. Tercer cuestionamiento \"¿Una central de riesgos puede exigir firma autenticada ante notario para entregar información al titular de la información que la solicita por escrito, teniendo en cuenta que la ley (sic) 1266 de 2008 no contempla este tipo de requisitos para entregar información al titular de la misma por parte de un banco de datos y que la Ley 962 de 2008 en au artículo 4 indica la presunción

de validez de las firmas?\" Respuesta: Como se mencionó en la respuesta del primer cuestionamiento, los operadores deben garantizar que quien solicita la información sea el titular de la misma y, para ello, pueden exigir que las consultas escritas cuenten con la presentación del documento que se encuentre debidamente autenticado mediante diligencia notarial de reconocimiento de contenido y firma (presentación personal). Cabe mencionar que a los operadores de información, no les es aplicable la normativa sobre racionalización de trámites y procedimientos administrativos de los organismos y entidades del Estado y de los particulares que ejercen funciones públicas o prestan servicios públicos, como lo es la Ley 962 de 2005. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos