SIC - Concepto-15256402

Bogotá D.C., 10

Asunto: Radicación: 15-256402- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Objeto de la consulta Manifiesta en su escrito lo siguiente: “(…) quiero que me colaboren con el el (sic) tema de suplantación de identidad ya que en estos momentos estoy reportado al data crédito (sic), por causas que no son mias (sic) y dicho reporte me esta (sic) perjudicando en todas las entidades donde me he dirigido a solicitar créditos (sic) y se me niegan por esa causa”.

A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

2. Habeas data Sea lo primero señalar que el artículo 15 de la Constitución Política, establece: \"Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades

públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Respecto de la disposición transcrita la Corte Constitucional, en Sentencia T-060 de 2003, Magistrado Ponente, Doctor Eduardo Montealegre Lynnet, ha señalado: “El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los “derechos fundamentales”, no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. “(…) “De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. “La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (…)”.

De igual modo la honorable Corte Constitucional en Sentencia C-981 de 2005, magistrado ponente Dra. Clara Inés Vargas Hernández, ha considerado que “hace parte del habeas data la previa autorización expresa y voluntaria que debe dar el interesado para que un tercero pueda disponer de su información personal, Asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarlos o actualizarlos”. Como se advierte, el artículo 15 de la Constitución Política establece que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa autorizan que la información que sobre ellos se recaude o circule pueda ser incluida en un banco de datos. La ausencia de dicha autorización implica necesariamente que los datos personales asociados al titular no podrán ser reportados por la fuente a un operador de información. Ahora bien, la Ley 1266 de 2008 de Habeas Data en su artículo 3 consagra las siguientes definiciones: \"a) Titular de la información. Es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley; b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. (...) c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales

sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. (...) (...) g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.\" Así mismo, la Corte Constitucional, mediante Sentencia C-1011 de 2008, la cual efectuó el proceso de revisión del proyecto de Ley Estatutaria No. 27/06 Senado221/07 Cámara (Acum. 05/06 Senado) \"Por la cual se dictan disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países\", en unos de sus apartes, señaló: “En contrario, los datos semiprivados y privados, habida cuenta la naturaleza de la información que contienen, se les adscriben restricciones progresivas en su legítima posibilidad de divulgación, que se aumentan en tanto más se acerquen a las prerrogativas propias del derecho a la intimidad. De esta forma, el dato financiero, comercial y crediticio, si bien no es público ni tampoco íntimo, puede ser accedido legítimamente previa orden judicial o administrativa o a través de procedimientos de gestión de datos personales, en todo caso respetuosos de los derechos fundamentales interferidos por

esos procesos, especialmente el derecho al hábeas data financiero. En este escenario, como lo ha reconocido esta Corporación en oportunidades anteriores, el acceso a la información es un acto compatible por la Constitución, amén de la necesidad de ponderar el ejercicio del derecho al hábeas data del titular de la información semiprivada, para el caso objeto de análisis de contenido comercial y crediticio, y la protección del derecho a la información que tiene los sujetos que concurren al mercado económico y que, por ende, están interesados en obtener datos que les permitan determinar el nivel de riesgo crediticio de los sujetos concernidos. precisamente, el objeto general del Proyecto de Ley es establecer las reglas que permitan que la utilización de esa información semiprivada resulte respetuosa de los derechos y libertades predicables de los procesos de recolección, tratamiento y circulación de datos personales.\" En tal virtud, al tratarse de la categoría de \"datos semiprivados\" para efectos de accesar a dicha información, se debe respetar los derechos fundamentales en todas las etapas de recolección, tratamiento y circulación de los datos personales.

3. Deberes de las fuentes y operadores de información El artículo 7 de la Ley 1266 de 2008 señala, entre otros, los siguientes deberes de

los operadores de información: \"DEBERES DE LOS OPERADORES DE LOS BANCOS DE DATOS. Sin perjuicio del cumplimiento de las demás disposiciones contenidas en la presente ley y otras que rijan su actividad, los operadores de los bancos de datos están obligados a:

1. Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de

conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por Conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley. (…)

3. Permitir el acceso a la información únicamente a las personas que, de conformidad con lo previsto en esta ley, pueden tener acceso a ella.

4. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los titulares.

(….)

7. Realizar periódica y oportunamente la actualización y rectificación de los datos, cada vez que le reporten novedades las fuentes, en los términos de la presente ley.

8. Tramitar las peticiones, consultas y los reclamos formulados por los titulares de la información, en los términos señalados en la presente ley.

9. Indicar en el respectivo registro individual que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma y no haya finalizado dicho trámite, en la forma en que se regula en la presente ley.\" Por su parte, el artículo 8 de la Ley 1266 de 2008 establece, entre otros, los siguientes deberes de las fuentes de información así: \"1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable.

2. Reportar, de forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las

demás medidas necesarias para que la información suministrada a este se mantenga actualizada.

3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores.

(…)

7. Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley.

8. Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de Rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite. (…)\" Por lo anterior, las fuentes y operadores de la información deberán garantizar al titular que su información sea veraz, completa, exacta y comprobable, asi mismo debe tomar las medidas necesarias para que dicha información esté permanentemente actualizada y rectificarla cuando sea incorrecta, para ello, el titular podrá ejercer su derecho de presentar consultas y reclamos con el fin de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos si a ello hubiera lugar.

4. Procedimiento para el reporte negativo El artículo 12 de la mencionada ley establece un requisito especial para las fuentes

de la siguiente manera: “(…) El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha

comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y está aún no haya sido resuelta.” Al respecto, la Corte Constitucional mediante Sentencia C-1011 de 2008 señaló lo siguiente: “[L]a facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador. Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5º del artículo 8º del Proyecto

de Ley”. En concordancia con lo anterior, el artículo 2.2.2.28.2., del Decreto 1074 de 2015 establece lo siguiente: “Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible. Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente. En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial.”

5. Trámite de peticiones, consultas y reclamos El artículo 16 de la precitada Ley establece un procedimiento para la presentación de consultas y reclamos de la siguiente manera: “I. Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá Suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular.

La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada.

II. Trámite de reclamos. Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las

siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.

Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.

2. Una vez recibido la petición o reclamo completo el operador incluirá en el

registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios.

3. El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del Operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza

del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente.

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular.

6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida. La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito.\" Por lo anterior, los titulares de la información y sus causahabientes tienen derecho a presentar reclamaciones ante los operadores de información, e incluso directamente ante las fuentes, con el fin de ejercer su derecho de corrección y

actualización de la información reportada. Respecto a la inscripción de la leyenda “reclamo en trámite”, la Corte Constitucional mediante sentencia C-1011 de 2008 señaló lo siguiente: “[E]n lo relativo al segundo aspecto, la Sala considera oportuno estipular que la posibilidad que confiere al titular el numeral 2.2. del artículo 6º, consistente en solicitar a la fuente la actualización o rectificación, no es incompatible con que el dato personal pueda divulgarse mientras se surten dichos procedimientos. Esto a condición que, en los términos del numeral 2 del acápite II del artículo 16 de la normatividad estatutaria, una vez recibida la petición o reclamo, el operador incluya en el registro individual una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. En los términos de la misma disposición, esa indicación (i) deberá mantenerse hasta que el reclamo sea resuelto; y (ii) deberá incorporarse en la información que se suministra a los usuarios. Debe resaltarse que la circulación del dato personal objeto de reclamación es compatible con el derecho al hábeas data, en especial con el principio de veracidad y, a su vez, no constituye una afectación desproporcionada o irrazonable de las prerrogativas constitucionales del sujeto concernido. La divulgación del dato bajo la advertencia de que existe un proceso de reclamación en trámite, es un instrumento que logra el equilibrio entre el derecho a la información que tienen los usuarios y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información. Así, se mantendrá el dato incorporado

en los archivos y registros, lo que permitirá que los usuarios conozcan el comportamiento crediticio del deudor. Empero, a éste también se le otorga la prerrogativa que, en caso de no estar de acuerdo con el reporte sobre incumplimiento, pueda reclamar a ese respecto, acción que también será comunicada a los usuarios, a fin que valoren adecuadamente el dato personal, el cual tendrá en una incidencia menor en la determinación del riesgo crediticio, habida cuenta que su validez ha sido cuestionada. Finalmente, en caso que el reclamo resulte fundado, el dato deberá eliminarse, a fin de cumplir con el principio de veracidad que se predica de la información personal.” La inscripción de la leyenda “reclamo en trámite”, tiene como finalidad proteger el derecho de Hábeas Data del titular, toda vez que exige a la fuente que informe al operador cuando se presenta una reclamación respecto a los datos reportados para que registre la mencionada leyenda mientras se adelanta el trámite de rectificación o actualización de la información, y una vez, el reclamo resulte fundado el dato negativo deberá eliminarse de conformidad con el principio de veracidad. Así pues, la leyenda “Reclamo en trámite y/o en discusión judicial”, cumple una finalidad específica, que no es otra que indicar que el titular de la información se encuentra discutiendo la existencia o la validez de la obligación reportada, de tal suerte que, al inscribir la leyenda, la fuente lo que hace, es precisamente satisfacer la necesidad de señalar que el titular del dato se encuentra controvirtiendo una Determinada información reportada y deberá mantenerse hasta que el reclamo sea resuelto por la autoridad competente.

6. Conclusiones 6.1. Las fuentes y operadores de información deberán garantizar al titular de la información que sus datos personales suministrados al operador sean veraces, completos, exactos y comprobables, y tomar las medidas necesarias para que dicha información esté permanentemente actualizada y rectificarla cuando sea incorrecta. 6.2. Teniendo en cuenta que la fuente de información es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole, puede realizar el reporte negativo de una persona que se encuentra en mora en el cumplimiento de sus obligaciones, siempre y cuando cuente con la autorización del titular de la información. 6.3. La fuente de información debe enviar una comunicación al titular de la información por lo menos con veinte (20) días calendario anteriores al reporte, con el fin de que el titular en este lapso de tiempo pueda demostrar o efectuar el pago de la obligación, o controvertir aspectos como la obligación, la cuota o la fecha de exigibilidad de la misma. La mencionada comunicación podrá enviarse sin la exigencia que sea por correo certificado, a través de los extractos periódicos que las fuentes envíen a sus clientes, o mediante mensajes de datos, de conformidad con la Ley 527 de 1999. 6.4. Los titulares de la información tienen derecho a presentar reclamaciones ante el operador o a la fuente directamente con el fin de solicitar la corrección y actualización de la información reportada y los operadores deberán incluir la leyenda que diga \"reclamo en trámite\" y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles

siguientes a haber recibido la información de la fuente. 6.5. Finalmente, si usted considera que se configura alguna conducta punible por la suplantación de identidad debe dirigirse a la Fiscalía General de la Nación para presentar la respectiva denuncia. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos