SIC - Concepto-17026260

Bogotá D.C., 10 Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012]

Asunto: Radicación: 17-26260

Trámite: 113

Evento: 0

Actuación: 440

Folios: 9

Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, por la cual se sustituye el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a su comunicación radicada en esta Entidad el 1 de febrero de 2017, la cual corresponde una copia de la solicitud realizada ante un operador de comunicaciones con el fin de que se elimine el reporte negativo ante la central de riesgos teniendo en cuenta que canceló su obligación, señalando: ”Teniendo en cuenta las anteriores consideraciones, haciendo uso de lo establecido en los fundamentos de ley y una vez cancelada dicha obligación de manera voluntaria, solicito muy respetuosamente a ustedes como fuente de información solicitar a (…) la eliminación o modificación de dicho reporte para recuperar mi buen nombre, poder realizar un crédito con (…) y de esta manera aprovechar todos los beneficios que las diferentes entidades crediticias y el gobierno nacional ofrecen.

Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA

Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE HABEAS DATA En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así: “60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera.

61. lmpartir instrucciones en materia de protección al consumidor, protección de la competencia, propiedad industrial, administración de datos personales y en las demás áreas propias de sus funciones, fijar criterios que faciliten su cumplimiento y señalar los procedimientos para su cabal aplicación.”

4. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE USUARIOS DE SERVICIOS DE COMUNICACIONES La Superintendencia de Industria y Comercio, según lo disponen los numerales 32 al 36 del artículo 1 del Decreto 4886 de 2011, en materia de protección al consumidor de servicios de comunicación, tiene entre otras las siguientes facultades:  Velar por la observancia de las disposiciones sobre protección a los consumidores y usuarios de los servicios de comunicaciones.  Tramitar las quejas que se presenten por violación a las disposiciones sobre protección a los consumidores y usuarios de los servicios de comunicaciones.  Ordenar modificaciones a los contratos entre proveedores y comercializadores o entre los comercializadores y los usuarios cuando sean contrarios al régimen de comunicaciones.  Imponer sanciones, previa investigación, por violación a las normas sobre protección a los consumidores y usuarios de los servicios de comunicaciones.

En ese orden de ideas, se procederá en primer lugar al desarrollo constitucional, legal, doctrinal y jurisprudencial que corresponda realizar en torno al objeto de la petición como eje central.

5. Habeas Data El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos:

“Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (…)” Respecto de la disposición transcrita la Corte Constitucional, en Sentencia T-060 de 2003, Magistrado Ponente, Doctor Eduardo Montealegre Lynnet, ha señalado: “El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. La ubicación de la precitada norma en el capítulo Primero del Libro Segundo de la Carta, correspondiente a los “derechos fundamentales”, no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. “(…) “De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o

que no haya sido autorizada por la persona concernida o por la ley. “La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales. (…)”. De igual modo la honorable Corte Constitucional en Sentencia C-981 de 2005, magistrado ponente Dra. Clara Inés Vargas Hernández, ha considerado que “hace parte del habeas data la previa autorización expresa y voluntaria que debe dar el interesado para que un tercero pueda disponer de su información personal, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarlos o actualizarlos”. Como se advierte, el artículo 15 de la Constitución Política establece que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa autorizan que la información que sobre ellos se recaude o circule pueda ser incluida en un banco de datos. 5.1 Reporte de datos personales en comunicaciones En materia de comunicaciones, el artículo 21 de la Resolución 3066 de 2011 de la Comisión de Regulación de Comunicaciones establece: “REPORTE DE INFORMACIÓN ANTE ENTIDADES QUE MANEJAN Y/0 ADMINISTRAN BANCOS DE DATOS. Los proveedores de servicios de comunicaciones pueden remitir a entidades que manejan y/o administran bancos de datos, la información sobre la existencia de deudas a cargo del usuario y a favor del proveedor o información positiva del usuario, así como solicitar información sobre el comportamiento del usuario en sus relaciones comerciales, previa autorización expresa para este fin. El proveedor de servicios de comunicaciones debe garantizar que la información que se reporta a las entidades que manejan y/o administran bancos de datos sea veraz, completa,

exacta, actualizada y comprobable. El reporte por parte del proveedor a entidades que manejan y/o administran bancos de datos podrá realizarse, siempre y cuando, el usuario haya otorgado su consentimiento expreso. La mencionada autorización podrá otorgarse al momento de la celebración del contrato, sin que dicha autorización del usuario se constituya en modo alguno en requisito para la celebración del contrato. En todo caso, el proveedor deberá conservar copia o evidencia de la respectiva autorización del usuario. El reporte negativo a entidades que manejan y/o administran bancos de datos debe ser previamente informado al usuario, quien es el titular de la información, con señalamiento expreso de la obligación en mora que lo ha generado, el monto y el fundamento de la misma. Dicha comunicación debe efectuarse con una antelación de por lo menos veinte (20) días calendarios a la fecha en que se produzca el reporte. Lo anterior tiene por objeto que el usuario pueda demostrar o efectuar el pago de la obligación o controvertir aspectos tales como el monto, la cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en la factura que el proveedor envía al usuario, siempre y cuando se respete el término indicado. Si dentro del término de veinte (20) días calendarios, es decir, antes de generarse el reporte, el usuario paga las sumas debidas, el proveedor deberá abstenerse de efectuar el reporte. En caso de que la negación de la relación contractual o la solicitud de rectificación o actualización de la información por parte del usuario se produzca con posterioridad al reporte, el proveedor solicitará en un término máximo de dos (2) días hábiles, a la entidad

que maneja y/o administra bancos de datos para que ésta indique que la información reportada se encuentra en discusión por parte de su titular, la cual será retirada una vez se haya resuelto dicho trámite por parte de las autoridades competentes en forma definitiva. Tanto el usuario afectado por un reporte como el proveedor, deberán adelantar todas las acciones pertinentes para determinar la veracidad de sus afirmaciones o en su defecto, estarse a la decisión definitiva de las autoridades competentes. El reporte a la entidad que maneja y/o administra bancos de datos podrá realizarse sobre reclamaciones pendientes que tenga el usuario, con señalamiento expreso de que la situación se encuentra en discusión por parte de su titular, mientras esta situación sea resuelta de manera definitiva. Cuando el usuario haya sido reportado por mora en el pago, y haya eliminado la causa que dio origen al reporte, el proveedor debe actualizar dicha información ante la entidad que maneja y/o administra bancos de datos a más tardar dentro del mes siguiente, contado a partir del momento en que cese la mora. En cualquier caso, el proveedor de servicios de comunicaciones deberá garantizar la confidencialidad de la información que le sea entregada por el usuario y utilizarla sólo para los fines para los cuales le fue entregada. (…)” De acuerdo con dicha norma, para que un operador de servicios de comunicación pueda dar un reporte negativo de un usuario deberá cumplir con los siguientes requisitos:  Haber obtenido autorización expresa para ello, la cual se puede haber dado en el contrato de prestación de servicios de comunicación.  Garantizar que la información a reportar sea veraz, completa, exacta y comprobable.  Se debe informar al titular antes de llevar a cabo el reporte, dicha comunicación

se debe hacer a más tardar dentro de los 20 días previos al reporte.  No se puede llevar a cabo el reporte si el usuario efectúa el pago dentro de dicho término de 20 días.  Cuando se trate de un reporte relacionado con reclamaciones pendientes, en el reporte se debe indicar que se encuentra en discusión por parte del titular. 5.2 Permanencia de la información. En relación con la permanencia de la información en los bancos de datos el artículo 13 de la Ley 1266 de 2008 dispone: “Permanencia de la información. La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información. Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera, y en general, aquellos datos referentes a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será de cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida.” Al analizar la constitucionalidad de dicho articulado la Corte Constitucional consideró: “Vistas así las cosas, la Corte considera imprescindible mantener el término de caducidad de la información financiera sobre incumplimiento, previsto por el legislador estatutario, pues en sí mismo considerado se muestra razonable y, en esa medida, compatible con la protección de los derechos fundamentales del sujeto concernido. No obstante, tales

conclusiones no son predicables de los casos extremos a los que se ha hecho reiterada alusión en ese apartado. Así, ante (i) la necesidad de conservar la fórmula de permanencia de la información sobre incumplimiento, corolario lógico de la vigencia del principio democrático; y (ii) el carácter vinculante del principio de proporcionalidad en dicha materia, que para el presente análisis se traduce en la obligación de contar con términos de caducidad razonables en los casos extremos antes citados, la Corte condicionará la exequibilidad del término de permanencia, de modo tal que (i) se aplique el término razonable desarrollado por la jurisprudencia constitucional antes analizada, equivalente al duplo de la mora, respecto de las obligaciones que permanecieron en mora durante un plazo corto; y (ii) extienda el plazo de permanencia previsto por el legislador estatutario a los eventos en que se predice la extinción de la obligación en mora. Debe insistirse en que esta definición de plazos vía jurisprudencial resulta justificada ante la obligatoriedad que el juez constitucional garantice la eficacia de los derechos fundamentales interferidos en los procesos de administración de datos personales de contenido crediticio, que para el presente caso se traduce en la necesidad de fijar un término de caducidad de la información financiera negativa que responda a criterios de proporcionalidad, razonabilidad y oportunidad. En consecuencia, la Sala declarará la constitucionalidad del artículo 13 del Proyecto de Ley, en el entendido que la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora, y que el término de permanencia de cuatro

años también se contará a partir del momento en que se extinga la obligación por cualquier modo.” De acuerdo con lo anterior, y en concordancia con el numeral 1.6 del capítulo primero del Título Quinto de la Circular Única de la Superintendencia de Industria y Comercio, la información de carácter positivo permanecerá de manera indefinida, en cambio, la información negativa estará durante los siguientes periodos:  Cuando la mora sea inferior a dos años la permanencia no podrá ser más del doble de la mora, según el condicionamiento dado por la Corte Constitucional.  Cuando la mora sea igual o superior a 2 años la permanencia es de 4 años más desde la fecha en que se extinga la obligación.  Si la obligación permanece insoluta la caducidad del dato es de 14 años desde la fecha de exigibilidad de la obligación. 5.3 Trámite de consultas y reclamos El artículo 16 de la Ley 1266 de 2008, establece un procedimiento para la presentación de consultas y reclamos de la siguiente manera: “I. Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles

contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada.

II. Trámite de reclamos. Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas. Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.

2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios.

3. El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente.

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso,

deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida. La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito." 5.4 Acciones ante la Superintendencia de Industria y Comercio en materia de Habeas Data La Ley 1266 de 2008, en su artículo 17, señala las siguientes funciones para esta Superintendencia, señalando los casos en los cuales la competencia recae en la Superintendencia Financiera, así: “Artículo 17. Función de vigilancia. La Superintendencia de Industria y Comercio ejercerá

la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley. En los casos en que la fuente, usuario u operador de información sea una entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá la vigilancia e impondrá las sanciones correspondientes, de conformidad con las facultades que le son propias, según lo establecido en el Estatuto Orgánico del Sistema Financiero y las demás normas pertinentes y las establecidas en la presente ley. (…)” En cuanto las acciones que se pueden adelantar ante esta Superintendencia el numeral 6 de la mencionada disposición, establece: “6. Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.” Para iniciar una investigación administrativa en habeas data deberá elevar una queja ante la Superintendencia de Industria y Comercio, por medio de escrito impreso o electrónico (a través de nuestra página en internet), con la que comenzará dicha investigación. Las investigaciones administrativas que adelante esta Superintendencia con ocasión del incumplimiento de lo dispuesto en la Ley 1266 de 2008, pueden terminar con la imposición de

alguna(s) de las sanciones previstas en el artículo 18 ibídem.

6. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA.

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: 6.1 Los proveedores de servicios de comunicaciones como fuentes de información, podrán realizar el reporte negativo por el incumplimiento de las obligaciones del usuario a las entidades que manejan y/o administran bancos de datos. 6.2 Para que un operador de servicios de comunicación pueda dar un reporte negativo de un usuario a una base de datos, deberá: (i) haber obtenido autorización expresa para ello, (ii) garantizar que la información a reportar sea veraz, completa, exacta y comprobable, (iii) se debe informar al titular antes de llevar a cabo el reporte, dicha comunicación se debe hacer a más tardar dentro de los 20 días previos al reporte, y (iv) no se puede llevar a cabo el reporte si el usuario efectúa el pago dentro de dicho término de 20 días. 6.3 La permanencia de la información reportada a las centrales de riesgo dependerá (i) si la información es de carácter positivo permanecerá de manera indefinida y (ii), si la información es negativa estará durante los siguientes periodos: a) Cuando la mora sea inferior a dos años la permanencia no podrá ser más del doble de la mora, según el condicionamiento dado por la Corte Constitucional. b) Cuando la mora sea igual o superior a 2 años la permanencia es de 4 años contados a partir de la fecha en que se extinga la obligación por cualquier modo, entre

ellos, la prescripción en la que el juez constitucional podrá contabilizar el término de 10 años de la prescripción de la acción ordinaria, desde la exigibilidad de la obligación para luego aplicar los cuatro (4) años adicionales que contempla la Ley de Habeas Data, a manera de sanción, con lo cual se cumple la caducidad del dato, sin que ello implique la declaratoria judicial de prescripción que corresponde al juez civil. 6.4 El usuario podrá presentar el reclamo ante el operador de la información con el fin de que su información personal sea actualizada o corregida y en caso que la petición o reclamo no sea atendida o le sea desfavorable por el operador de la información puede acudir a esta Entidad, con la prueba de presentación de la reclamación ante el operador o fuente de acuerdo con el procedimiento mencionado en el numeral 5.3 para efectos de que esta Superintendencia adelante la investigación administrativa correspondiente conforme lo señalado en líneas anteriores, a fin de hacer valer sus derechos en materia de hábeas data. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/drupal/Doctrina-1 En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1755 de 2015, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Clara Inés Vega

Revisó: Jazmín Rocío Soacha

Aprobó: Jazmín Rocío Soacha