SIC - Concepto-13205873

Bogotá D.C., 10

Asunto: Radicación: 13-205873- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 11

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula la siguiente consulta: "(...) trabajo en auditoría, me van a cambiar el contrato, entonces gestión humana me envía un formato para consultaren las centrales de riesgo (...) cual es el fundamento jurídico para que las empresas puedan solicitar un reporte (...) para ejercer un cargo (...)".

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de habeas data, tiene entre otras las siguientes facultades:  Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales de acuerdo con la Ley 1266 de 2008.  Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su cabal aplicación.

Nos permitimos advertirle que en virtud del principio y garantía constitucional del

debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares, ni pronunciarnos sobre la legalidad de una conducta. Sin embargo, dentro del ámbito de las referidas competencias, a continuación, le brindamos información sobre el derecho de habeas data, la finalidad de la información crediticia, comercial de servicios y la forma de presentar un reclamo. 2.1 El derecho al habeas data. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.(...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2)

Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada"(3) Así mismo, la Corte Constitucional ha considerado que el núcleo esencial de dicho derecho está conformado así: "De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. "La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (...)".(4) Para analizar de manera adecuada las normas de habeas data se debe tener en consideración las definiciones contenidas en el artículo 3 de la Ley 1266 de 2008, entre ellas se encuentran:  Titular de la información: "Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;" (5)  Fuente de información:"Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de

información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos,"(6)  Operador de información:"Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;" (7) Así mismo, el artículo 3 de la Ley 1266 de 2008 define las diferentes clases de datos:  Dato personal: "Es cualquier pieza de información vinculada a una o varías personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos

personales pueden ser públicos, semiprivados o privados; "(8)  Dato público: "Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;" (9)  Dato semiprivado: "Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.'X 10)  Dato privado:"Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular. (11) En relación con las clases de datos la Corte Constitucional consideró: "En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por esos procesos,

especialmente el derecho al hábeas data financiero. En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales." (12) 2.2 La finalidad de la información crediticia, financiera y de servicios. El artículo 10 de la Ley 1266 de 2008 establece cuál es la finalidad de la información crediticia y financiera: "PRINCIPIO DE FAVORECIMIENTO A UNA ACTIVIDAD DE INTERÉS PÚBLICO. La actividad de administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países está directamente relacionada y favorece una actividad de interés público, como lo es la actividad financiera propiamente, por cuanto ayuda a la democratización del crédito, promueve el desarrollo de la actividad de crédito, la protección de la confianza pública en el sistema financiero y la estabilidad del mismo, y genera otros beneficios para la economía nacional y en especial para la actividad financiera,

crediticia, comercial y de servicios del país. PARÁGRAFO 1o. La administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, por parte de fuentes, usuarios y operadores deberá realizarse de forma que permita favorecer los fines de expansión y democratización del crédito. Los usuarios de este tipo de información deberán valorar este tipo de información en forma concurrente con otros factores o elementos de juicio que técnicamente inciden en el estudio de riesgo y el análisis crediticio, y no podrán basarse exclusivamente en la información relativa al incumplimiento de obligaciones suministrada por los operadores para adoptar decisiones frente a solicitudes de crédito. La Superintendencia Financiera de Colombia podrá imponer las sanciones previstas en la presente ley a los usuarios de la información que nieguen una solicitud de crédito basados exclusivamente en el reporte de información negativa del solicitante. (...)" (13) De acuerdo con lo cual la Ley ha previsto que el tratamiento de información de carácter financiero, comercial y de servicios favorezca a la economía y en especial promueva los siguientes fines: la democratización del crédito, desarrollo de la actividad crediticia y la protección de la confianza pública en la estabilidad del sistema financiero. Para adoptar decisiones sobre solicitudes de crédito se deba valorar la información consignada en los bancos de datos junto con otros elementos de juicio y que no se basen exclusivamente en la información sobre el incumplimiento de obligaciones. Es de resaltar que cuando se trate de entidades vigiladas por la Superintendencia Financiera, como lo son por ejemplo las entidades bancarias, es posible que dicha Entidad imponga sanciones a quienes niegan una solicitud de crédito basados exclusivamente en el reporte de información negativa.

El literal b del artículo 4 de la Ley 1266 de 2008 establece la finalidad como uno de los principios que rigen la administración de datos: "Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto," (14) De acuerdo con lo anterior se puede concluir que el uso que se debe dar a la información financiera, comercial o de servicios debe ser acorde a la finalidad legalmente establecida so pena de incurrir en una violación a la Ley 1266 de 2008. Por su parte el artículo 15 de la Ley 1266 de 2008 determinar para qué finalidades se le puede dar acceso a usuarios a dicha información: "Acceso a la información por parte de los usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente. Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información." (15)

En este sentido, los usuarios podrán acceder a la información contenida en bancos de datos, entre otros, para analizar si mantiene una relación contractual de cualquier naturaleza. 2.3 Consulta de los titulares de los datos que reposan en bancos de datos. El numeral 1.1 del artículo 6 de la Ley 1266 de 2008 consagra a favor de los titulares de datos el derecho de consultar la información que sobre ellos reposa en los bancos de datos: "7.7 Ejercer el derecho fundamental al hábeas data en los términos de la presente ley, mediante la utilización de los procedimientos de consultas o reclamos, sin perjuicio de los demás mecanismos constitucionales y legales." (16) Así mismo, en el numeral 1 del artículo 7 de la Ley 1266 de 2008 se establece el deber para los operadores de bancos de datos de garantizar a los titulares de datos el poder consultar en los bancos de datos. "Garantizar; en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley."(17) De acuerdo con lo cual, es deber de los operadores de los bancos de datos el garantizar que los titulares de los datos puedan realizar consultas y presentar consultas en relación con la información que reposa en los bancos de datos. Por su parte, el parágrafo 2 del artículo 10 de la Ley 1266 de 2008 determina que al menos una vez al mes se podrá efectuar dicha consulta de manera gratuita:

"La consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario." (18) 2.3.1 Trámite de consultas. El trámite de las consultas en los bancos de datos está previsto en el artículo 16-1 de la Ley 1266 de 2008: "Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada." (19) La petición para consultar la información de las bases de datos se puede formular de distintas maneras:  Verbalmente  Por escrito  A través de otros canales de comunicación siempre y cuando quede evidencia

de la solicitud. El operador tiene un plazo máximo de 10 días para dar respuesta a la solicitud de fondo y entregar la totalidad de la información solicitada, sin embargo, cuando no sea posible dar respuesta en ese plazo, así se informará al peticionario y se le indicará la fecha en que se dará respuesta, que no puede ser más de 5 días después de dicha comunicación. 2.4 Trámite de reclamos. El artículo 16-11 de la Ley 1266 de 2008 fija el procedimiento para la presentación y trámite de quejas en materia de habeas data: "Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.

Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.

2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga "reclamo en trámite" y la naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la

información que se suministra a los usuarios.

3. El término máximo para atenderla petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga "reclamo en trámite" y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente.

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según

sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular.

6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida. La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga "información en discusión judicial" y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito." (20) En este sentido, la reclamación cuenta con las siguientes características:  Debe ser formulada por el titular de la información o sus causahabientes.  Se debe dirigir por escrito al operador del banco de datos.  Cuando haga referencia a una fuente de información será el operador del banco de datos quien dará traslado de la reclamación a dicha fuente.

 Por regla general se debe dar respuesta dentro de los 15 días hábiles siguientes, plazo que se puede prorrogar por 8 días más. En caso de que la consulta o reclamo no sean atendidas o le sean resueltas de manera desfavorable por el operador de la información, el titular puede acudir ante la Entidad competente, así:  Cuando la fuente, usuario u operador de información es una entidad vigilada por la Superintendencia Financiera de Colombia, esa será la entidad competente.  En los demás casos será competente la Superintendencia de Industria y Comercio. De acuerdo con lo anterior, los titulares de los datos personales pueden consultar sus datos en cualquier banco de información, así mismo pueden formular reclamos, y en caso de que no sean atendidas sus solicitudes o sean atendidas de manera desfavorable pueden acudir a esta Superintendencia o ante la Superintendencia Financiera según la naturaleza de la fuente, usuario u operador. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado Ponente: Jaime Córdoba

Triviño. (3) Ibídem. (4) Corte Constitucional, Sentencia T-060 de 2003, Magistrado Ponente: Eduardo Montealegre Lynnet.

(5) Literal a artículo 3 Ley 1266 de 2008. (6) Literal b artículo 3 Ley 1266 de 2008. (7) Literal c artículo 3 Ley 1266 de 2008. (8) Literal e artículo 3 Ley 1266 de 2008. (9) Literal f artículo 3 Ley 1266 de 2008. (10) Literal g artículo 3 Ley 1266 de 2008. (11) Literal h artículo 3 Ley 1266 de 2008. (12) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008, Magistrado ponente: Jaime Córdoba Triviño. (13) Artículo 10 Ley 1266 de 2008. (14) Literal b artículo 4 Ley 1266 de 2008. (15) Artículo 15 Ley 1266 de 2008. (16) Numeral 1.1 del artículo 6 de la Ley 1266 de 2008. (17) Numeral 1 del artículo 7 de la Ley 1266 de 2008. (18) Parágrafo 2 del artículo 10 de la Ley 1266 de 2008. (19) Artículo 16-1 Ley 1266 de 2008. (20) Artículo 16-11 Ley 1266 de 2008.