SIC - Concepto-13259254

Bogotá D.C 10

Asunto: Radicación: 13-259254- -3-0 113

Trámite: 113

Evento: Actuación: 440

Folios: 8

Apreciado Señor: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas por la Ley 1266 de 2008 y el artículo 1 def Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada

para la protección de datos personales así:

60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera.

61. Impartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las

demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y señalar los procedimientos para su cabal aplicación. A continuación resolveremos sus interrogantes en los siguientes términos: "1.1. ¿la comunicación informando del reporte se puede hacer con anterioridad al incumplimiento en una leyenda como la siguiente? (...)" Respuesta: Sea lo primero señalar que esta Oficinas Asesora Jurídica no es competente para pronunciarse sobre asuntos particulares, por lo que no nos referiremos a la validez del formato de comunicación enviado por usted. El artículo 12 de la mencionada ley establece un requisito especial para las fuentes de la siguiente manera: “REQUISITOS ESPECIALES PARA FUENTES. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado

que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y está aún no haya sido resuelta.” Al respecto, la Corte Constitucional mediante Sentencia C-1011 de 20081 señaló lo siguiente: “[L]a facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador. Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5o del artículo 8o del Proyecto de Ley.” En concordancia con lo anterior, el artículo 2 del Decreto 2952 de 2010 establece lo siguiente: “Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los

extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible. Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente. 1

Sentencia C-1011 de 2008 de 16 de Octubre de 2008, Referencia: Expediente PE - 029, Magistrado Ponente: Jaime Córdoba Triviño. "Aquí debe insistirse en que los derechos fundamentales a la intimidad, el buen nombre y al hábeas data tienen naturaleza independiente y cada uno de ellos ofrece un grupo de garantías específicas. Aunque en una etapa temprana de la jurisprudencia constitucional, el contenido de estos derechos era confundido, especialmente en la vertiente de considerar al hábeas data como una garantía propia del derecho a la intimidad, esta confusión está actualmente superada, de manera tal que al derecho al hábeas data se le confiere carácter autónomo y con espectro amplio, que ampara todos los procesos de administración de datos personales (...)".

En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial.” En consecuencia, la Ley 1266 de 2008 señala que debe existir un incumplimiento de las obligaciones del titular que le permite a la fuente de información reportar

esta información negativa en las bases de datos de los operadores, para lo cual, de debe enviar comunicación al titular de la información por lo menos con veinte (20) días calendario anteriores al reporte, con el fin de que el titular en este lapso de tiempo pueda demostrar o efectuar el pago de la obligación, o controvertir aspectos como la obligación, la cuota o la fecha de exigibilidad de la misma. La mencionada comunicación podrá enviarse sin la exigencia que sea por correo certificado, a través de los extractos periódicos que las fuentes envíen a sus clientes. "1.2. ¿la comunicación debe hacerse (ya sea mediante mensaje de datos o documento escrito) por medios certificados con el objeto de que preste pleno mérito probatorio frente a posibles futuras contingencias en un eventual proceso, o se puede hacer sin necesidad de certificación? ¿todo en orden al principio de equivalencia funcional que prescribe la ley 527 de 1999?" Respuesta: El numeral 1.3.6., del Capítulo Primero, del Título V de la Circular Única de esta Superintendencia señala lo siguiente respecto a la prueba que se requiere de la comunicación enviada al titular de la información para el reporte negativo: “1.3.6. Deber de comunicar al titular de la información previamente al reporte En caso de que la Superintendencia de Industria y Comercio requiera a la fuente para que allegue la prueba del envío de la comunicación previa a que hace referencia el artículo 12 de la Ley 1266 de 2008, ésta debe aportar lo siguiente: a) Copia de la comunicación escrita enviada al titular de la información con la certificación de haber sido remitida a la última dirección registrada ante la

fuente y la fecha de envío, o copia del extracto o de la factura enviada al titular de la información, en el cual se incluyó la comunicación previa al reporte, con la certificación de haber sido remitido a la última dirección registrada ante la fuente y la fecha de envío. En este último evento, cuando la comunicación previa se incluya en el extracto o en la factura, el texto de la misma debe ser claro, legible, fácilmente comprensible y ubicarse en un lugar visible del documento. b) En los casos en que se utilicen otros mecanismos de remisión de la comunicación, se debe allegar la prueba que acredite que la fuente acordó previamente con el titular un mecanismo diferente para informar sobre el eventual reporte negativo a efectuar. c) En los casos en los que las fuentes de información hayan adquirido la obligación objeto de reporte mediante compraventa, subrogación, cesión de derechos o cualquier otra forma de transferencia del derecho de dominio, se tendrá como válida la comunicación previa remitida por el cedente u originador del crédito, siempre que la información haya continuado en el tiempo y el vendedor de la obligación no la haya eliminado del historial crediticio. En los casos en los cuales el reporte efectuado por el cedente u originador del crédito haya sido realizado antes de la entrada en vigencia de la Ley 1266 de 2008, no se les exigirá dicha comunicación previa. Cuando la Superintendencia de Industria y Comercio profiera una orden de eliminación de un reporte, como resultado de una actuación administrativa o de una investigación en la que no se haya acreditado la remisión al titular de la comunicación previa, la fuente deberá informar al operador que no

cumplió con este requisito y eliminar el reporte negativo hasta tanto se cumpla con él. Cuando la eliminación del reporte tenga como causa el incumplimiento del deber de remitir la comunicación previa, la fuente no podrá reportar esa obligación con información positiva y, en consecuencia, las casillas o vectores correspondientes deberán aparecer sin información.” Por lo anterior, la fuente de información debe demostrar que envió la comunicación escrita, el extracto o factura al titular de la información con la certificación de haber sido remitida a la última dirección registrada en su base de datos y su fecha en envió. Cuando la comunicación se incluya en el extracto o en la factura, el texto de la misma debe ser claro, legible, fácilmente comprensible y ubicarse en un lugar visible del documento. En el evento, en que se pacte otro mecanismo de comunicación entre el titular y la fuente de información se deberá acreditar dicho acuerdo y permitir su consulta de envío al titular. "1.3. Si existe pacto y aceptación de que esta comunicación se realice por medio de un mensaje de datos, ¿puede pensarse en utilizar como medio un mensaje de texto SMS, vía celular?" Respuesta: El artículo 2 de la Ley 527 de 1999 define los mensajes de datos así: "Mensaje de datos. La información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax" Por su parte la Resolución CRC 3501 de 2011 define los mensajes de texto cortos así; "SMS (Short Message Service) o mensaje corto de texto: Mensaje corto de

texto de hasta 140 octetos, que es enviado desde y/o hacia un terminal móvil." Los mensajes cortos de texto -SMS-, son mensajes de datos que permiten el envío y recepción de información hacia el equipo terminal del titular de la información y es válida la comunicación para el reporte de la información negativa, siempre y cuando este medio sea pactado con el titular de la información, pueda ser objeto de consulta y se ajuste a lo dispuesto en la Ley 527 de 1999 y/o sus decretos reglamentarios. "1.4. Si el decreto menciona que dicho documento se debe hacer en los extractos periódicos ¿si existe aceptación en el envío de los extractos por medio electrónico (email), se puede entender que existe también aceptación en que esa comunicación sea enviada por el mismo medio?" Respuesta: Teniendo en cuenta que la Ley 1266 de 2008 y el Decreto 2952 de 2010 señalan que la comunicación previa al reporte negativo puede realizarse a través de los extractos periódicos que las fuentes de información envíen a sus clientes, estos pueden ser enviados por correo electrónico previamente aceptado por el titular y deberán ajustarse a lo dispuesto en Ley 527 de 1999 y sus decretos reglamentarios por tratarse de un mensaje de datos. "1.5. ¿Cuáles son las estadísticas actuales de las multas impuestas por su entidad, a fuentes de información que ha incumplido con dicha comunicación? ¿dentro de los hasta 1500 salarios mínimos legales mensuales vigentes que contempla la norma (ley 1266 de 2008) cual es el promedio de las multas?" Respuesta: Esta Oficina Asesora Jurídica solicitó la información por usted

requerida y el 11 de Diciembre de 2013 el Director de Investigación de Protección de Datos Personales, respondió lo siguiente: "En respuesta a su solicitud, con respecto al deber de comunicar previamente al titular el reporte negativo ante las centrales de riesgo a la fecha se han impuesto 72 sanciones con un promedio por sanción de catorce millones ciento setenta y seis mil novecientos noventa y dos pesos ($14.176.992)." "1.6. ¿Cuáles son los conceptos que ustedes con anterioridad ya han emitido sobre los artículos mencionados? Si es posible adjuntar la copia de aquellos en los cuales se fijen expresamente los lineamientos para hacer la comunicación previa exige el Art 12 de la ley 1266" Respuesta: Los conceptos que se han emitido hasta el 30 de Noviembre de 2013 por esta Oficina Asesora Jurídica, respecto al artículo 12 de la Ley 1266 de 2008 son los siguientes: Año No. De Radicación 1 2009 39253 2 2009 38870 3 2009 39261 4 2009 72551 5 2009 79574 6 2009 55739 7 2010 147397 8 2010 14646 9 2011 41315 10 2011 112328 11 2011 5538 12 2011 5263 13 2011 4712 14 2011 4061 15 2011 1611 16 2011 46866 17 2011 64641 18 2011 66579 19 2011 146953 20 2011 166643 21 2012 10031 22 2012 160178 23 2012 167881

24 2012 173344 25 2012 209001 26 2012 112475 27 2012 179390 28 2012 22214 29 2012 58335 30 2012 102642 31 2012 104038 32 2012 136932 33 2012 136571 34 2012 146709 35 2012 151899 36 2012 156667 37 2012 211004 38 2012 193575 39 2012 226077 40 2013 162761 41 2013 162159 42 2013 228438 43 2013 9990 Los mencionados conceptos los puede consultar en nuestra página web www.sic.gov.co, ingresando al icono "información de trámites y servicios por temas" que se encuentra al lado superior izquierdo, en el recuadro que se genera debe escoger "De carácter general" y allí selecciona "Consulta de Trámites (Seguimiento a solicitudes)", y en el recuadro que dice "pasos a seguir" da click en "sitio web", y allí ingresa el año y radicado que se relaciona en el cuadro anexo y allí encuentra la "Respuesta" a la consulta en formato PDF. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.qov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos