SIC - Concepto-17375579

Bogotá D.C., 10

Asunto: Radicación: 17-375579-1

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1581 de 2012] Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la

administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

2. Facultades de la Superintendencia de Industria y Comercio en materia de Habeas Data En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el artículo 1 del Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada

para la protección de datos personales así:

60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la

Superintendencia Financiera. A continuación resolveremos los interrogantes de su consulta de fecha 3 de noviembre de 2017, en los siguientes términos: Primer interrogante “(a) ¿Los datos financieros, crediticios, comerciales y de servicios de niños, niñas y adolescentes se encuentran regulados por la Ley 1266 de 2008 o por la Ley 1581 de 2012?” Respuesta: Para resolver su interrogante abordaremos de manera general el ámbito de aplicación de la Ley 1581 de 2012 y el de la Ley 1266 de 2008 y la definición de capacidad absoluta y relativa así:

1. Ámbito de aplicación de la Ley 1581 de 2012 y excepción de la Ley 1266 de

2008 El artículo 2 de la Ley 1581 de 2012 señala su ámbito de aplicación así: “Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…) El régimen de protección de datos personales que se establece en la presente Ley no será de aplicación: (…) e) A las bases de datos y archivos regulados por la Ley 1266 de

2008. (…)” La precitada ley aplica al tratamiento de datos personales efectuado por entidades públicas o privadas, dentro del país o cuando el Responsable o Encargado no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

Por su parte, dentro de las excepciones de aplicación que señala la misma Ley, están las bases de datos o archivos regulados por la Ley 1266 de 2008, cuyo objeto es desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales a que se refiere el artículo 15 de la Constitución Política, así como el derecho a la información establecido en el artículo 20 de la Constitución Política, particularmente en relación con la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países. Respecto a la mencionada excepción la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: “(…) Constitucionalidad del literal e): la excepción de “datos y

archivos regulados por la Ley 1266 de 2008” La Ley 1266 de 2008 es la ley estatutaria de protección de datos personales comerciales y financieros para el cálculo de riesgo crediticio, como fue definido en la sentencia C-1011 de 2008. Estos datos requieren una regulación especial –como la adoptada en la Ley 1266 y declarada exequible por esta Corporación, debido a que en este ámbito se presenta una tensión entre el habeas data y el desarrollo de la actividad financiera y bursátil, actividad de interés público en virtud del impacto que puede tener sobre todo el sistema económico y, por esta vía, sobre la garantía de derechos fundamentales y el mantenimiento del orden público. En vista de la necesidad de regular el tratamiento de estos datos de manera especial, debían exceptuados de la aplicación del proyecto bajo estudio. Por tanto, la Sala declarará exequible el literal e), de conformidad con lo expuesto en la sentencia C-1011 de 2008. Sin embargo, la Sala advierte que, según el parágrafo del artículo 2, los principios que prevé el proyecto bajo estudio deben aplicarse de manera complementaria con los establecidos en la Ley 1266. Por lo anterior, en el ámbito de aplicación de la Ley 1581 de 2012 las bases de datos a que hace referencia la Ley 1266 de 2008 son exceptuadas, puesto que, las bases de datos previstas en esta última hacen referencia a datos de contenido crediticio, financiero y comercial cuya finalidad es el estudio de riesgo y el análisis crediticio del titular la información.

2. Incapacidad absoluta y relativa El artículo 1504 del Código Civil dispone lo siguiente: “Son absolutamente incapaces los dementes, los impúberes

y sordomudos, que no pueden darse a entender. Sus actos no producen ni aún obligaciones naturales, y no admiten caución. Son también incapaces los menores adultos que no han obtenido habilitación de edad y los disipadores que se hallen bajo interdicción. Pero la incapacidad de estas personas no es absoluta y sus actos pueden tener valor en ciertas circunstancias y bajo ciertos respectos determinados por las leyes”. Por su parte, el artículo 3 de la Ley 1098 de 2006 - Código de la Infancia y la Adolescencia - establece que serán menores de edad aquellos que se encuentran entre los 0 y 18 años, y a su vez, estos se dividen en niños y niñas y adolescentes: “Para todos los efectos de esta ley son sujetos titulares de derechos todas las personas menores de 18 años. Sin perjuicio de lo establecido en el artículo 34 del Código Civil, se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad.” En este sentido, una serie de normas, en especial del Código Civil han previsto un régimen especial para la categoría de menores adultos, la cual a la luz de la expedición del Código de la Infancia y la Adolescencia se debe encuadrar en la categoría de adolescentes, en especial en relación con la capacidad de estos. En este sentido, la Corte Constitucional mediante Sentencia T-474 del 25 de septiembre de 1996 manifestó: “Los menores adultos gozan de capacidad relativa, esto es que pueden en forma libre y autónoma realizar actos tales como testar, reconocer hijos extra-matrimoniales, conceder y reclamar para ellos alimentos, otorgar consentimiento para dar en adopción sus

propios hijos y celebrar ciertos contratos financieros; para otros actos, si bien se les reconoce capacidad, su realización está sujeta a la autorización de sus representantes, entre ellos, celebrar matrimonio, pactar capitulaciones, ser adoptado, celebrar contrato de trabajo. Para la realización de otros actos jurídicos, en cambio, son considerados incapaces absolutos, entre ellos ser tutores, curadores, albaceas o peritos. Ahora bien, ese reconocimiento de la capacidad de autodeterminación de los individuos, que como se ha dicho es gradual, en el Estado Social de Derecho está relacionado de manera estrecha con el concepto de libertad que subyace en dicho tipo de organización política, la cual se traduce en actuar dentro de "la esfera de lo permitido", que es, en definitiva, "...aquélla en la que cada cual actúa sin constricción exterior, lo que es tanto como decir que actuar en esta esfera es actuar sin estar determinado más que por uno mismo." (…) La capacidad del menor se reconoce en menor o mayor grado según se encuentre en una u otra etapa de la vida, más o menos cerca del límite establecido por la ley a partir del cual ella se presume, y se relaciona con la complejidad de los asuntos para los cuales se requiere y con el grado de evolución del sujeto individualmente considerado; por ello, a medida que avanza el tiempo, se amplía el espectro de asuntos en los cuales puede y debe decidir por sí mismo para orientar, sin la conducción u orientación de otro su propio destino.” Así mismo, con posterioridad a la expedición del Código de la Infancia y la Adolescencia la Corte Constitucional mediante Sentencia C-853 del 25 de

noviembre de 2009 consideró lo siguiente: “En virtud de una interpretación sistemática de las disposiciones constitucionales y de lo expresamente señalado por los tratados internacionales de derechos humanos que hacen parte del bloque de constitucionalidad stricto sensu, esta Corporación ha sostenido que el concepto menor de edad comprende a la niñez (0 a 12 años) y a la adolescencia (mayor de 12 y menor de 18 años) y, por lo tanto, gozan de una protección igualitaria en aras de su desarrollo armónico e integral y el ejercicio pleno de sus derechos. 5.1. De la lectura conjunta de los artículos 44 y 45 de la Constitución, la Corte ha inferido que el empleo de los vocablos “niños” y “adolescentes”, respectivamente, no tiene por objeto excluir a estos últimos de la protección especial otorgada a la niñez, sino ofrecerles mayores espacios de participación en los organismos públicos y privados dado su nivel de desarrollo. (…) Con base en lo anterior, la Corte ha señalado que “en Colombia, los adolescentes poseen garantías propias de su edad y nivel de madurez, pero gozan de los mismos privilegios y derechos fundamentales que los niños, y son, por lo tanto, "menores” (siempre y cuando no hayan cumplido los 18 años)”. Así con un enfoque garantista, este Tribunal Constitucional ha considerado que la protección constitucional conferida por el artículo 44 a favor de los niños y niñas, incluye a todo menor de dieciocho (18) años.” (Subrayas y negrilla fuera de texto) De acuerdo con lo cual, si bien todos aquellos que se encuentren entre los 0 y 18

años cuentan con los mismos privilegios y protección especial, la categoría de los adolescentes (12 a 18 años), en virtud de la capacidad y madurez que han desarrollado se les ha dado un mayor margen de acción, en especialidad en relación con la capacidad para adoptar decisiones por sí mismos. En consecuencia, la Ley 1266 de 2008 es aplicable para los datos de contenido crediticio, financiero, comercial, de servicios o la proveniente de terceros países de los adolescentes (menores de 12 a 18 años) quienes gozan de incapacidad relativa para la celebración de ciertos actos de conformidad con el artículo 15041 del Código Civil. Es importante mencionar que los menores de 0 a 12 años son incapaces absolutos y sus actos no producen ni aún obligaciones naturales, y no admiten caución. 1 “Son también incapaces los menores adultos que no han obtenido habilitación de edad y los disipadores que se hallen bajo interdicción. Pero la incapacidad de estas personas no es absoluta y sus actos pueden tener valor en ciertas circunstancias y bajo ciertos respectos determinados por las leyes”. Segundo interrogante “(b) En el evento que el régimen aplicable sea la Ley 1581 de 2012 y teniendo en cuenta que (…) es un Operador de información (Ley 1266 de 2008) y no un Responsable del tratamiento ¿Qué requisitos debe cumplir un Operador de información para recibir reportes de menores de edad en la historia de crédito?

Respuesta: Nos referimos a la respuesta del primer numeral, en relación a que la Ley 1266 de 2008 es aplicable para la administración de los datos de contenido crediticio, financiero, comercial, de servicios o la proveniente de terceros países de los

adolescentes (menores de 12 a 18 años). En consecuencia, los requisitos para el reporte positivo y negativo de los adolescentes a los operadores de información serán los establecidos en la Ley 1266 de 2008 así: El artículo 8 de la Ley 1266 de 2008, establece, entre otros, el siguiente deber para las fuentes de información así: “(…)

5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley. (…)” En concordancia con lo anterior, el numeral 1.3.3., del Capítulo primero, del Título V de la Circular Única de esta entidad, dispone lo siguiente: “1.3.3. Deber de solicitar y conservar copia de la respectiva autorización otorgada por los titulares de la información y de asegurarse de no entregar a los operadores ningún dato cuyo suministro no esté previamente autorizado Con el fin de dar cumplimiento a lo establecido en el numeral 5 del artículo 8 de la Ley 1266 de 2008, las fuentes de información deben garantizar que todo reporte de información positiva o negativa que repose en la base de datos de un operador de información, sin excepción alguna, cuente con la autorización otorgada por su titular. Dicha autorización debe cumplir con los siguientes requisitos: a) Ser expresa, es decir, contener la manifestación de una voluntad libre, específica e inequívoca que le permita a la fuente

recopilar, disponer o divulgar la información crediticia del titular. b) Ser previa, esto es, otorgada con antelación al reporte de la información. La autorización previa y expresa a la que hace referencia el numeral 5 del artículo 8 de la Ley 1266 de 2008 puede ser otorgada de manera verbal o mediante documento físico o electrónico, siempre que cumpla con los siguientes requisitos: (i) Que la fuente de la información identifique plenamente al titular en el momento en que se otorgue dicha autorización. (ii) Que el titular exprese su voluntad de manera previa, libre, espontánea, específica e inequívoca en el sentido de autorizar a la fuente para recopilar, usar o divulgar su información. (iii) Que se informe plenamente al titular acerca de la finalidad para la cual está otorgando la autorización. (iv) En caso de que la autorización se otorgue por medios electrónicos, que la misma se ajuste a las previsiones contempladas en la Ley 527 de 1999 y demás normas aplicables. (v) Que se conserve copia de la misma. En los casos en que la autorización se obtenga por vía telefónica, se deberá guardarse la respectiva grabación. Cualquier dato positivo o negativo que repose en la base de datos de un operador de información sin contar con la autorización otorgada por su titular, debe ser eliminado de manera inmediata, una vez se advierta la ausencia de la misma como consecuencia de la solicitud del titular, surtida a través del respectivo reclamo. (…)”. Por lo anterior, las fuentes de información deben garantizar que para el reporte negativo o positivo de la información se cuente con la autorización expresa y previa

al reporte por parte del titular, la cual puede otorgarse de manera verbal o mediante documento físico o electrónico. La autorización puede ser otorgada de manera verbal o mediante documento físico o electrónico son los siguientes: (i) que se tenga la identificación plena del titular en el momento en que se otorgue la autorización; (ii) que el titular exprese su voluntad de manera previa, libre, espontánea, específica e inequívoca en el sentido de autorizar a la fuente para recopilar, usar o divulgar su información, (iii) que se informe plenamente al titular acerca de la finalidad para la cual está otorgando la autorización y (iv) que se conserve copia de la autorización. Por su parte, el artículo 12 de la Ley 1266 de 2008 establece un requisito especial para las fuentes al realizar el reporte negativo de la siguiente manera: “Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte

de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta”. Al respecto, la Corte Constitucional mediante Sentencia C-1011 de 2008 señaló lo siguiente: “[L]a facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador. Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5º del artículo 8º del Proyecto de Ley”. En concordancia con lo anterior, el artículo 2.2.2.28.2., del Decreto 1074 de 2015, que incorpora el Decreto 2952 de 2010, establece lo siguiente:

“Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones solo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible. Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente. En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial. En tal sentido, ante el incumplimiento de las obligaciones insolutas (No pagadas) de cualquier naturaleza por parte del titular de la información, las fuentes de información podrán realizar el reporte negativo previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. La comunicación que exige el artículo 12 de la Ley 1266 de 2008 para el reporte negativo de información podrá enviarse a través de los extractos periódicos que las fuentes envíen a sus clientes o a través de cualquier tipo de mensaje de datos con

las siguientes condiciones: (i) que se ajusten a lo previsto en la Ley 527 de 1999, en especial los capítulos II y III de la parte I, Parte General y sus decretos reglamentarios; (ii) que sea previamente acordado con el titular de la información e envío por este medio; y (iii) que la comunicación pueda ser objeto de consulta posteriormente. Tercer interrogante “(c) En el evento que el régimen aplicable sea la Ley 1266 de 2008, ¿Qué requisitos especiales debe adoptar un Operador de información, para el tratamiento de datos personales de niños, niñas y adolescentes?” Respuesta: De conformidad con las respuestas del primer y segundo interrogante, la administración de datos de contenido crediticio, financiero, comercial, de servicios o la proveniente de terceros países solo procede en relación con los adolescentes (menores de 12 a 18 años) quienes gozan de incapacidad relativa para la celebración de ciertos actos de conformidad con el artículo 1504 del Código Civil. Así mismo, la ley aplicable es la 1266 de 2008 pero en ella, no se establece un tratamiento especial para los datos de adolescentes, por lo que se deberá dar cumplimiento a sus disposiciones de manera general y a los principios de veracidad o calidad, finalidad, circulación restringida, temporalidad de la información, principio de interpretación integral de derechos constitucionales, seguridad y confidencialidad señalados en el artículo 4 de la mencionada ley. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web http://serviciosweb.sic.gov.co/servilinea/ServiLinea/ConceptosJuridicos/Con

ceptos.php En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: Jazmín Rocío Soacha

Aprobó: Jazmín Rocío Soacha