SIC - Concepto-15164750

Bogotá D.C., 10

Asunto: Radicación: 15-164750- -1-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con los interrogantes de su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares. Primer interrogante "1.- ¿Pueden los bancos y/o las centrales de riesgo tener en cuenta los embargos cautelares para fines de desmejorar el perfil de riesgo del embargado?” Respuesta: Reiteramos que esta Oficina Asesora Jurídica no puede resolver situaciones particulares Ahora bien, el artículo 10 de la Ley 1266 de 2008 dispone lo siguiente: "Principio de favorecimiento a una actividad de interés público. La actividad de administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países está directamente relacionada y favorece una actividad de interés público, como lo es la actividad financiera propiamente, por cuanto ayuda a la democratización del crédito, promueve el desarrollo de la actividad de crédito, la protección de la confianza pública en el sistema financiero y la estabilidad del mismo, y genera otros beneficios

para la economía nacional y en especial para la actividad financiera, crediticia, comercial y de servicios del país. Parágrafo 1o. La administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, por parte de fuentes, usuarios y operadores deberá realizarse de forma que permita favorecer los fines de expansión y democratización del crédito. Los usuarios de este tipo de información deberán valorar este tipo de información en forma concurrente con otros factores o elementos de juicio que técnicamente inciden en el estudio de riesgo y e| análisis crediticio, y no podrán basarse exclusivamente en la información relativa al incumplimiento de obligaciones suministrada por los operadores para adoptar decisiones frente a solicitudes de crédito. La Superintendencia Financiera de Colombia podrá imponer las sanciones previstas en la presente ley a los usuarios de la información que nieguen una solicitud de crédito basados exclusivamente en el reporte de información negativa del solicitante. Parágrafo 2°. La consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario. En consecuencia, la administración de la información de contenido comercial, crediticio, financiero, de servicios y la proveniente de terceros países tiene como finalidad favorecer el interés público representado en la actividad financiera que ayudan a la democratización y desarrollo del crédito, la protección de la estabilidad y la confianza pública en el sistema financiero. Ahora bien, respecto a la forma como debe realzarse la administración de información de contenido comercial, crediticio, financiero, de servicios y la proveniente de terceros países, la Corte Constitucional al realizar el estudio de

constitucionalidad de la Ley 1266 de 2008 en la Sentencia C-1011 de 2008 señaló lo siguiente: “(…) E]l parágrafo 1o del artículo 10 dispone que las labores de administración de Información personal de contenido crediticio y financiero, adelantadas por fuentes, usuarios y operadores, deberán realizarse de modo tal que permitan favorecer los fines de expansión y democratización del crédito. Ello obliga, en los términos del precepto, a que los usuarios de ese tipo de información (i) deberán valorarla de forma concurrente con otros factores o elementos de juicio que técnicamente incidan en el estudio de riesgo y el análisis crediticio; (ii) no puedan basarse exclusivamente en la información relativa al incumplimiento de obligaciones suministrada por los operadores para adoptar decisiones frente a solicitudes de crédito. Finalmente, el precepto le otorga a la Superintendencia Financiera de Colombia la potestad de imponer las sanciones previstas en la ley a los usuarios de la información que nieguen una solicitud de crédito bajo el incumplimiento del segundo de los citados deberes. A través de la disposición en comento el legislador estatutario otorga herramientas concretas para el perfeccionamiento del deber de responsabilidad social en la administración de datos personales. Como se indicó en apartado anterior de esta providencia, la legitimidad constitucional de la administración de datos personales de contenido comercial y crediticio depende, entre otros factores, de la utilización razonable de la información por parte de las entidades que ejercen actividades de intermediación financiera. La razonabilidad del uso del dato personal implica que el reporte que ofrecen las centrales de información no puede convertirse en un factor único y

totalizante para la determinación del cumplimiento en el pago de una obligación crediticia futura. En cambio, el uso responsable implica que las citadas entidades y, de una manera más amplia, todos aquellos usuarios que se sirven de la información personal financiera como parámetro para la toma de decisiones sobre la suscripción de contratos con clientes potenciales, deban realizar un estudio juicioso y amplio de los diversos factores que resultan pertinentes para la determinación del riesgo crediticio. Ello en tanto una evaluación descuidada y simplista del cumplimiento en el pago de las obligaciones, fundada exclusivamente en el contenido del reporte que emiten las centrales de riesgo, no sólo es del todo insuficiente, conforme a los parámetros técnicos que regulan la materia, sino que desconoce el mandato constitucional de democratización del crédito (Art. 335 C.P.). En efecto, las reglas técnicas sobre la gestión del riesgo establecen que la evaluación de la capacidad de pago esperada del deudor o proyecto a financiar es definitiva para determinar las posibilidades de incumplimiento. Sin embargo, este es un proceso complejo en que los reportes otorgados por las centrales de información son apenas uno de los elementos de juicio a tener en cuenta para el cálculo del riesgo. Así, dentro de los criterios mínimos que las reglas mencionadas prevén para una determinación suficiente del riesgo están: (i) los flujos de ingresos y egresos, así como el flujo de caja del deudor Y/o del proyecto financiado o a financiar; (ii) la solvencia del deudor, a través de variables como el nivel de endeudamiento y la calidad y composición de los activos, pasivos, patrimonio y contingencias del deudor y/o del proyecto;

(iii) la información sobre el cumplimiento actual y pasado de las obligaciones del deudor. La atención oportuna de todas las cuotas o instalamentos, entendiéndose como tales cualquier pago derivado de una operación activa de crédito, que deba efectuar el deudor en una fecha determinada, independientemente de los conceptos que comprenda (capital, intereses, o cualquier otro). Adicionalmente, la historia financiera y crediticia, proveniente de centrales de riesgo, calificadoras de riesgo, del deudor o de cualquier otra fuente que resulte relevante; (iv) el número de veces que el crédito ha sido reestructurado y las características de las respectivas reestructuraciones. Para este efecto, se entenderá que entre más operaciones reestructuradas tenga un mismo deudor, mayor será el riesgo de no pago de la obligación; (v) para el caso particular en que el deudor o el proyecto a financiar esté a cargo de una entidad pública territorial, deberá verificarse el cumplimiento de las condiciones establecidas en las leyes 358 de 1997, 550 de 1999 y 617 de 2000, y de las demás normas que las reglamenten o modifiquen; y (vi) los posibles efectos de los riesgos financieros a los que está expuesto el flujo de caja del deudor y/o del proyecto a financiar, considerando distintos escenarios en función de variables económicas (tasas de interés, tasas de cambio, crecimiento de los mercados, etc.) que puedan afectar el negocio o la capacidad de pago del deudor, según el caso. Igualmente, se debe examinar la calidad de los flujos de caja teniendo en cuenta la volatilidad de los mismos. Para las disposiciones técnicas, dentro de estos riesgos deben

analizarse, en tanto sean relevantes, datos relacionados con posibles "descalces" de monedas, plazos y tasas de interés, escenarios de evolución de cuotas en los casos de créditos con tasa de interés variable o indexado a la UVR u otro índice, el riesgo de mercado derivado de la volatilidad de la tasa de cambio en el caso de los créditos denominados en moneda extranjera, al igual que los riesgos de contagio, legales, operacionales y estratégicos a los que puede estar expuesta la capacidad de pago del deudor o el proyecto a financiar.1 [151] Bajo esta perspectiva, la Corte advierte que el cumplimiento de la función constitucionalmente legítima del cálculo del riesgo crediticio, consistente en contar con información para la adecuada distribución de los recursos de crédito y la subsecuente garantía de la estabilidad financiera y la protección del ahorro público, se cumple de manera suficiente y razonable cuando cada una de estas variables sean tenidas en cuenta por las entidades 1 Acerca de las reglas sobre la determinación del riesgo crediticio, Cfr. Superintendencia Financiera de Colombia. Circular 100 de 1995 - Básica Contable y Financiera. Capítulo II, sección 1.3.2.3.1., literal c. Correspondientes como paso previo para la suscripción de contratos de crédito. En caso contrario, un análisis apenas parcial, no sólo es incompatible con las exigencias técnicas antes enunciadas, sino que desnaturaliza la finalidad misma del reporte crediticio, pues lo convierte en un instrumento destinado a servir de barrera para la democratización de los recursos de crédito, en contraposición de las obligaciones que se derivan del deber de

responsabilidad social en la administración de datos personales. La norma analizada, a su vez, establece la posibilidad de imposición de sanciones a las entidades financieras que nieguen una solicitud de crédito por el solo hecho de la presencia de un reporte negativo. La previsión estatutaria, conforme a los argumentos expuestos, se encuentra del todo justificada, en tanto el cálculo incompleto del riesgo financiero viola el deber de responsabilidad social antes aludido, al igual que contrae el incumplimiento de las obligaciones predicables de dichos establecimientos respecto de la adopción de decisiones informadas sobre el otorgamiento de créditos, que no amenacen el ahorro público y la estabilidad del sistema en su conjunto. Finalmente, una disposición de esta naturaleza previene el abuso de la posición dominante de las entidades financieras, pues establece desestímulos para prácticas que, amparadas en una visión maximalista del reporte que ofrecen las centrales de información, restringen injustificadamente el acceso de los ciudadanos a los productos de crédito. Con base en lo expuesto, la Corte concluye que el parágrafo 1o del artículo 10 de la normatividad estatutaria es una herramienta adecuada para el cumplimiento de las finalidades constitucionalmente legítimas de la administración de datos personales de contenido financiero, comercial, crediticio, de servicios y proveniente de otros países. Por lo tanto, será declarado exequible. En consecuencia, la administración de información de contenido comercial, crediticio, financiero, de servicios y la proveniente de terceros países por los usuarios por ejemplo, que utilizan dicha información financiera como parámetro para la toma de decisiones sobre la suscripción de contratos con clientes

potenciales deberá realizarse con un estudio juicioso y amplio de los diversos factores que resultan pertinentes para la determinación del riesgo crediticio y no solo en el contenido del reporte que emiten los operadores de información. Por lo anterior, es necesario tener en cuenta las reglas técnicas sobre la gestión y determinación del riesgo en donde se establecen como criterios los siguientes: (i) los flujos de ingresos y egresos, así como el flujo de caja del deudor y/o del proyecto financiado o a financiar; (ii) la solvencia del deudor, a través de variables como el nivel de endeudamiento y la calidad y composición de los activos, pasivos, patrimonio y contingencias del deudor y/o del proyecto; (iii) la información Sobre el cumplimiento actual y pasado de las obligaciones del deudor. La atención oportuna de todas las cuotas o instalamentos, entendiéndose como tales cualquier pago derivado de una operación activa de crédito, que deba efectuar el deudor en una fecha determinada, independientemente de los conceptos que comprenda (capital, intereses, o cualquier otro). Adicionalmente, la historia financiera y crediticia, proveniente de centrales de riesgo, calificadoras de riesgo, del deudor o de cualquier otra fuente que resulte relevante; (iv) el número de veces que el crédito ha sido reestructurado y las características de las respectivas reestructuraciones. Para este efecto, se entenderá que entre más operaciones reestructuradas tenga un mismo deudor, mayor será el riesgo de no pago de la obligación; (v) para el caso particular en que el deudor o el proyecto a financiar

esté a cargo de una entidad pública territorial, deberá verificarse el cumplimiento de las condiciones establecidas en las leyes 358 de 1997, 550 de 1999 y 617 de 2000, y de las demás normas que las reglamenten o modifiquen; y (vi) los posibles efectos de los riesgos financieros a los que está expuesto el flujo de caja del deudor y/o del proyecto a financiar, considerando distintos escenarios en función de variables económicas (tasas de interés, tasas de cambio, crecimiento de los mercados, etc.) que puedan afectar el negocio o la capacidad de pago del deudor, según el caso. Segundo interrogante "2.-¿Cómo se puede obtener de estas entidades una constancia de calificación del riesgo afectada por los embargos preventivos?” Respuesta: Reiteramos que esta Oficina Asesora Jurídica no puede resolver situaciones particulares. Ahora bien, el artículo 16 de la Ley 1266 de 2008 establece un procedimiento para la presentación de consultas de la siguiente manera:

I. Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular.

La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere

Posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada. Por su parte, el numeral 1.7 del Capítulo Primero, del Título V de la Circular Única de esta Superintendencia señala lo siguiente: "1.7 Peticiones, consultas y reclamos En el procedimiento para atender las peticiones, consultas y reclamos, los operadores y las fuentes de información deberán atender las siguientes instrucciones: a. Los operadores de información deben contar en sus sedes con un área de servicios para la atención de peticiones, consultas y reclamos e implementar mecanismos adicionales, como líneas de atención telefónica o medios virtuales, que garanticen la recepción de las peticiones, consultas y reclamos, de modo ágil y eficaz. b. Las peticiones, consultas y reclamos presentados ante los operadores y/o las fuentes deben ser resueltas de fondo. La respuesta correspondiente debe ser clara, precisa y congruente con lo solicitado. c. Las respuestas a las peticiones, consultas y reclamos presentados ante los operadores y/o las fuentes deben ser comunicadas al titular de la información, dentro del término establecido en la ley. Tales respuestas deben ser remitidas a la dirección señalada por el titular en el momento de presentar su solicitud y, en el caso de que no la haya especificado, a la última dirección

registrada. En caso de que las peticiones o los reclamos se presenten por medios electrónicos o verbalmente, podrán resolverse por el mismo medio, para lo cual se debe conservar copia de la respuesta o la grabación respectiva. De acuerdo con lo señalado en el literal b) del numeral 1.5 del Capítulo de esta Circular, las consultas podrán atenderse por canales electrónicos, siempre y cuando sea posible verificar la identidad del titular y garantizar la seguridad de la información. La remisión de las peticiones, consultas y reclamos por parte de los operadores a las fuentes de información no exime a los operadores del deber de responder al titular todas y cada una de las cuestiones planteadas dentro Del término señalado en la ley. En tal sentido, los operadores deben informar al titular todo lo manifestado por la fuente expresamente.

PARÁGRAFO PRIMERO: Para garantizar el ejercicio del derecho de los titulares a solicitar rectificaciones, actualizaciones o eliminaciones de sus datos contenidos en las bases de datos, los operadores y fuentes de información deben implementar un sistema para presentar reclamos utilizando diferentes medios informáticos, como internet o correo electrónico y crear formularios claros y sencillos para dicha presentación. En este sistema, además, deberá generarse un número de radicación y una confirmación automática de recepción del reclamo presentado para que el ciudadano pueda hacer seguimiento a su solicitud. (…)" Por lo anterior, los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea del sector público o privado y el operador de información deberá suministrar a estos, debidamente identificados, toda la información contenida en

el registro individual o que esté vinculada con la identificación del titular, dentro de los términos señalados en la ley. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos