SIC - Concepto-13256012

Bogotá D.C., 10

Asunto: Radicación: 13-256012- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Estimado(a) Señora: Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el artículo 1 del Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada

para la protección de datos personales así:

60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera. 61. lmpartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y señalar los procedimientos para su cabal aplicación.

La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos

personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se

afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos sus interrogantes en los siguientes términos: \"1. ¿Donde (sic) funciona la Delegatura para la protección de Datos personales?\" Respuesta: La Delegatura de Protección de Datos Personales se creó con el Decreto 4886 de 2011 \"Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones\", en su artículo 2 señala lo siguiente: Estructura. La Superintendencia de Industria y Comercio tendrá la siguiente estructura:

5. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES 5.1 Dirección de Investigación de Protección de Datos Personales La Delegatura de Protección de Datos Personales se encuentra ubicada en la

Carrera 13 No. 27 - 00, Piso 7. \"2. ¿Cual (sic) normatividad estan (sic) aplicando en este momento?” Respuesta: En materia de hábeas data se encuentran vigentes las siguientes normas: Información de contenido financiero, crediticio, comercial, de servicios y la proveniente de terceros países - Ley 1266 de 2008 \"Por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones\". - Decreto 1727 de 2009 \"por el cual se determina la forma en la cual los operadores de

los bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, deben presentar la información de los titulares de la información\" - Decreto 2952 de 2010 \"Por el cual se reglamentan los artículos 12 y 13 de la Ley 1266 de 2008\" - Decreto 4886 de 2011 \"Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones\" Protección de datos personales - Ley 1581 de 2012 \"Por el cual se dictan disposiciones generales para la protección de datos personales\" - Decreto 1377 de 2013 \" Por el cual se reglamenta parcialmente la Ley 1581 de 2012\" \"3. ¿Como (sic) se manejan las delgaturas (sic)?” Respuesta: El artículo 2 del Decreto 4886 de 2011 señala la estructura de esta Superintendencia y sus Delegaturas así: Estructura. La Superintendencia de Industria y Comercio tendrá la siguiente estructura:

1. DESPACHO DEL SUPERINTENDENTE

(…) 2. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA

PROTECCIÓN DE LA COMPETENCIA 2.1. Dirección de Cámaras de Comercio

3. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DEL CONSUMIDOR 3.1. Dirección de Investigaciones de Protección al Consumidor 3.2. Dirección de Investigaciones de Protección de Usuarios de Servicios de

Comunicaciones

4. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA. EL CONTROL

Y VERIFICACIÓN DE REGLAMENTOS TÉCNICOS Y METROLOGIA LEGAL

4.1. Dirección de Investigaciones para el Control y Verificación de Reglamentos Técnicos y Metrología Legal.

5. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES 5.1 Dirección de Investigación de Protección de Datos Personales

6. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROPIEDAD

INDUSTRIAL

6.1. Dirección de Signos Distintivos 6.2. Dirección de Nuevas Creaciones

7. DESPACHO DEL SUPERINTENDENTE DELEGADO PARA ASUNTOS JURISDICCIONALES Cada una de las Delegaturas y sus respectivas Direcciones cumplen unas funciones especificas que puede consultar en el mencionado decreto. \"4. ¿Cuánto (sic) tiempo dura un reporte negativo?\" Respuesta: El artículo 13 de la Ley 1266 de 2008, establece lo siguiente: PERMANENCIA DE LA INFORMACIÓN. La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información.

Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera, y en general, aquellos datos referentes a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será de cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida. El mencionado artículo fue declarado condicionalmente exequible por la Corte

Constitucional mediante Sentencia C-1011 de 16 de octubre de 2008, en el entendido que la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora, y que el término de permanencia de cuatro años también se contará a partir del momento en que se extinga la obligación por cualquier modo. Lo anterior, con base en los planteamientos jurisprudenciales respecto a la caducidad de la información personal de contenido financiero y crediticio de manera negativa y con el fin de preservar los derechos constitucionales a la intimidad y al buen nombre bajo la aplicación del derecho al olvido señalado por la Corte Constitucional así: \"Derecho al olvido“, es decir; el principio según el cual determinados datos deben ser eliminados de los archivos transcurrido un espacio de tiempo establecido desde el instante en que se presentó el hecho referido, esto con el fin que el individuo no quede “ prisionero de su pasado“. En Consecuencia, dependiendo de la finalidad del almacenamiento del dato, el principio de oportunidad y el transcurso del tiempo; la tensión existente entre los dos derechos puede resultar benéfica para uno (derecho a la información, según los límites establecidos por la sentencia SU082 de 1995) o para los otros, si la información es obsoleta, antigua, así sea un dato verdadero. Es decir, “el uso y difusión de un dato verdadero puede ser violatorio de la intimidad y reserva del individuo, cuando éste tiene cierta antigüedad\" (...) el término no puede ser el mismo, para aquel deudor que cancela en relación a aquel deudor que no ha cancelado, esta corporación, ante la evidencia del vació

legal ya mencionado, el juez debe llenarlo acudiendo al razonamiento analógico; que enseña que donde existe la misma razón debe aplicarse la misma disposición, en este caso, la regla general de la prescripción de la acción ordinaria civil y debe señalar que el término de almacenamiento de datos de individuos que no hayan cancelado sus obligaciones financieras será de diez ( 10 ) años; término similar al establecido por el Código Civil para la prescripción de la Acción Ordinaria. Ahora bien, este término comenzará a correr desde el momento que la obligación sea exigible. En otras palabras, una obligación “ pura y simple “ será exigible cuando para su cumplimiento no es necesario aguardar el transcurso del tiempo o el acaecimiento de determinada circunstancia. (...) En resumen, el término de almacenamiento de datos de individuos que no hayan cancelado sus obligaciones financieras será de diez (10) años. Por consiguiente, la oportunidad jurídica de reportar en una base de datos un deudor incumplido, comenzará a correr desde el día siguiente a aquel en el cual se hizo exigible la obligación. En concordancia con lo anterior, la Corte Constitucional en Sentencia C-1011 de 2008 señaló lo siguiente: (...) la Sala advierte que, conforme a la doctrina expuesta, resulta totalmente injustificado que se mantengan en las bases de datos reportes basados en obligaciones que han sido excluidas del tráfico jurídico, amén de la imposibilidad de ser exigibles judicialmente. Si el ordenamiento legal vigente ha establecido que luego de transcurridos diez años opera la extinción de las obligaciones dinerarias, no existe razón alguna que sustente que a pesar que ha operado este fenómeno,

el reporte financiero que tiene origen en la deuda insoluta subsista. Por ende, la permanencia del dato más allá del término de prescripción configura un ejercicio abusivo del poder informático, que en el caso concreto se abrogaría una potestad más amplia que la del Estado para derivar consecuencias jurídicas de la falta de pago de obligaciones. Según lo expresado, la medida adoptada por el legislador estatutario faculta a los operadores de información para mantener datos financieros negativos, derivados de obligaciones insolutas, de forma indefinida. Esta posibilidad impone una carga desproporcionada al sujeto concernido, puesto que el juicio de desvalor generado por el reporte negativo tendría consecuencias en el tiempo más amplias que las que el ordenamiento jurídico ha dispuesto como predicables de las obligaciones dinerarias. Conforme lo anterior, mientras que para el Derecho la obligación no resulta exigible, puesto que se considera extinta en razón del paso del tiempo; esta mantiene sus efectos restrictivos para el acceso al mercado comercial y de crédito y, en consecuencia, el ejercicio pleno de los derechos constitucionales, en tanto permanece en los bancos de datos indefinidamente. Así mismo, la Corte Constitucional en Sentencia T-164 de 2010, señaló lo siguiente: Así las cosas, de acuerdo con la jurisprudencia vigente de la Corte Constitucional, el término de caducidad del dato financiero negativo, tratándose de la extinción de la obligación por cualquier modo diferente al pago (incluyendo la prescripción liberatoria), es de cuatro años, contados a partir del momento de ocurrencia del

fenómeno extintivo. (...) La ley civil establece que la prescripción de la acción ordinaria (el mecanismo procesal que le permite a un acreedor obtener una declaración judicial respecto de la existencia de una obligación) ocurre en el término de 10 años, contado a partir de su exigibilidad. Así, no es posible entender que una obligación se extinga en periodo inferior a aquel y mucho menos, que el término de caducidad del dato financiero negativo se complete antes de dicho periodo. Por el contrario, el límite temporal de dicha información, tratándose de aquellas hipótesis en las cuales el deudor nunca paga, se extiende – a manera de sanción – por un período de 4 años contado a partir del momento en que la obligación prescribe. Caducidad del dato negativo en Hábeas Data La Corte Constitucional en sentencia C-164 de 2010 señaló lo siguiente: Esta Sala considera que si bien el juez de tutela carece de la facultad de decretar la prescripción de una obligación, ya que dicha prerrogativa corresponde a los jueces civiles, no necesita de una efectiva declaración judicial de prescripción para poder proteger el derecho fundamental al hábeas data. En efecto, aunque resulta innegable que el cómputo del término de caducidad del dato financiero negativo cuando no hay pago de la obligación depende necesariamente de la verificación del fenómeno que dio lugar a su extinción, es deber del juez de tutela, en aras de garantizar la protección efectiva a dicho derecho, emplear todas las facultades probatorias con las que dispone para determinar (i) el momento de exigibilidad de la obligación incumplida objeto del reporte negativo, y desde ahí (ii) examinar si ha efectivamente transcurrido el

plazo señalado por la ley para la extinción de la obligación por el fenómeno de la prescripción liberatoria. Así, luego de encontrar que dicho término haya efectivamente transcurrido, deberá verificar que hayan pasado más de 4 años desde aquel momento, para poder conceder la protección al derecho al hábeas data a deudores que se hayan sustraído de manera permanente de sus obligaciones crediticias. En consecuencia, una entidad vulnera el derecho fundamental al hábeas data de una persona cuando mantiene un reporte negativo de ella por un término superior a 4 años, contado a partir del momento de extinción de la obligación por prescripción liberatoria. No sobra advertir que la verificación de la caducidad del dato financiero no implica, de ninguna manera, declaratoria judicial alguna sobre la prescripción de la obligación. En concordancia con lo anterior la Corte Constitucional mediante Sentencia T-964 de 2010 indicó lo siguiente: \"(...) la Corporación reconoció que no era necesaria la declaración judicial de prescripción de la obligación para contabilizar el término. De tal forma que el juez constitucional se encuentra facultado para contabilizar el término de diez años desde el momento en el que la obligación se hace exigible sin necesidad de la declaración judicial, para luego aplicar los cuatro años adicionales, a manera de sanción consagrada en la ley, con lo cual se cumple la caducidad del dato. Dicha observación se entiende ajustada a derecho, si se tiene en cuenta que el actor depende de que el acreedor ejerza la acción de cobro para que pueda alegar la prescripción extintiva como excepción. De forma tal que, si se exigiera declaración judicial de prescripción respecto de una obligación frente a la cual el

acreedor no adelante acción de cobro, el deudor no tendría oportunidad de excepcionar la prescripción, y en consecuencia no podría hacerse efectiva la caducidad del dato. Por lo tanto, en aras de proteger el derecho al olvido y al habeas data del deudor, el juez Constitucional tiene la potestad de contabilizar el término de diez años desde el momento en el que la obligación es exigible. Con base en los preceptos jurisprudenciales estudiados con anterioridad, es claro que la información de datos personales de carácter negativo, debe estar supedita a que sean útiles y pertinentes para el cálculo del riesgo financiero, y por ello, no se concibe que duren indefinidamente en el tiempo cuando pierden su funcionalidad. Por lo anterior, la aplicación analógica de la prescripción de la acción ordinaria (el mecanismo procesal que le permite a un acreedor obtener una declaración judicial respecto de la existencia de una obligación), conlleva a que se tome el término de 10 años contados a partir de su exigibilidad, en los casos en que el titular de la información no haya procedido al pago de su obligación. Por su parte, el término de permanencia del dato negativo de la información consagrado en el artículo 13 de la Ley 1266 de 2008, es de 4 años a partir de la extinción de la obligación por cualquier modo. \"5. ¿Cuanto (sic) tiempo dura un reporte negativo que expide un banco?\" Respuesta: Nos remitimos a la respuesta anterior Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos