SIC - Concepto-20414638

Bogotá D.C. Señor(a) {Datos Personales eliminados en virtud de la Ley 1580 de 2012} Asunto: Radicación: 20-414638 - -1

Trámite: 113

Actuación: 440

Folios: 21

Reciba un cordial saludo. De conformidad con lo previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, modificado por el artículo 1° de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 4 de noviembre de 2020, en la cual se señala: “Fui víctima de suplantación de identidad ante la empresa…me entero, porque estuve reportada por las centrales de riesgo. Ante este hecho hice la denuncia en la Fiscalía y a través de un derecho de petición, me dirigí a la empresa en mención. Ellos reconocieron la falsedad en el documento y manifiestan en consecuencia gestionar mi retiro de las centrales de riesgo, no obstante, debo cancelarles la factura. Mi inquietud y solicitud ante usted (es), es si estoy obligada a cancelar una deuda que no es mía, sino producto de la falta de control de dicha empresa en el ingreso y/o afiliación de sus

vendedores?. Agradezco de usted (es) la orientación que puedan brindarme al respecto”. Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica, no le asiste la facultad de dirimir situaciones de carácter particular, debido a que una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado

de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten

los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. En este orden de ideas, se procederá a poner en conocimiento del consultante, los fundamentos legales, doctrinales y jurisprudenciales que corresponda realizar en torno a su cuestionamiento.

4. PROTECCIÓN DE DATOS PERSONALES Y SUPLANTACIÓN DE IDENTIDAD Dado que el objeto de consulta versa sobre la posible existencia de una suplantación de identidad, se realizarán consideraciones que son pertinentes en la materia. 4.1. DATO PERSONAL Y BREVE RESEÑA DE LA LEGISLACIÓN EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES El dato personal es entendido como aquella información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. El dato personal conlleva un componente que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su titular, lo cual le brinda un grado tal de individualización que lo hace excluyente respecto de la información recogida de otras personas. En otras palabras, el dato personal determina o permite determinar el titular del mismo a partir de su individualización1.

El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos. Sobre las características del dato personal, la Corte Constitucional2 ha señalado que: “La jurisprudencia constitucional ha precisado que las características de los datos personales son las siguientes: i) estar referido a aspectos exclusivos y propios de una persona natural, ii)

permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.” Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. 1Res. 15339/2016, SIC 2 C. Const., Sent. C-748/11, M.P. Jorge Ignacio Pretelt En desarrollo del mencionado artículo 15 de la Constitución Política, el Congreso de la República en ejercicio de sus facultades, expidió la Ley Estatutaria 1581 de 2012, cuyo objeto es desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho

a la información consagrado en el artículo 20 de la misma. Como se observa, uno de los pilares sustanciales que marcan la normatividad de protección de datos personales, es el principio de libertad, el cual está definido en el literal c) del artículo 4º de la Ley 1581 de 2012 en los siguientes términos: "(…) El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”.

En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)" Por lo anterior, el tratamiento de los datos personales solo puede realizarse, en principio, cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. Posteriormente, el Presidente de la República expidió el Decreto Nº 1377 de 2013, a través del cual reglamentó parcialmente la Ley 1581 de 2012, y en el que se amplió la gama de definiciones que la mencionada Ley tenía, incluyendo las de aviso de privacidad, dato público, dato sensible, transferencia y transmisión. Igualmente, reguló asuntos como la recolección de datos personales, la autorización de

tratamiento de datos personales sensibles, el modo de obtener la autorización, los requisitos especiales para el tratamiento de datos personales de niños, niñas y adolecentes, entre otros. En el año 2015, se expidió el Decreto Nº 1074 a través del cual se incluyeron varias disposiciones en materia de protección de datos personales. En términos generales, esa es la principal normatividad, aunque no única, que en materia de protección de datos personales existe en el País, y que sirve de base para el análisis del caso que se consulta. 4.2. INTERVINIENTES EN LA RECOLECCIÓN Y TRATAMIENTO DE DATOS PERSONALES Frente al rol de la empresa señalada por la consultante, en el tratamiento de datos personales, debemos señalar que la legislación Colombiana ha definido que, en materia de protección de datos, existen los siguientes actores3: - Titular: Persona natural cuyos datos personales sean objeto de tratamiento - Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos - Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento Siendo que la compañía consultada la encargada por sí misma, de recopilar la información, y decidir su tratamiento, es concluyente que dicha empresa tendría el rol de “Responsable”, en relación con el tratamiento de los datos personales de sus gestoras o comercializadoras. En ese sentido, a ésta le serían atribuibles las obligaciones que la Ley da al Responsable del

Tratamiento, como por ejemplo4: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data b) Solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular 3 L.1581/2012, art. 3° 4 L. 1581/2012, art. 17 c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento

de la presente ley y en especial, para la atención de consultas y reclamos l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo m) Informar a solicitud del Titular sobre el uso dado a sus datos n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. Así mismo, debe cumplir las demás disposiciones vigentes en la materia, como lo es el Decreto Nº 1074 de 2015, entre otros. 4.3. PRINCIPIOS SOBRE LA RECOLECCIÓN Y TRATAMIENTO DE DATOS PERSONALES La Ley 1581 de 2012 establece, en su artículo 2º y siguientes, cuáles son los principios que le son aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. Así, es deber de estas entidades observar, en el proceso de recolección y en el de tratamiento de datos, los principios contemplados en el artículo 4º de la Ley 1581 de 2012, como lo son: - Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen. - Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la

Constitución y la Ley, la cual debe ser informada al Titular. - Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; - Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error. - Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan - Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la ley. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley - Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento, se deberá manejar con las medidas técnicas, humanas y administrativas

que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento - Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley. Frente a los datos personales sujetos a recolección, los Decretos Nº 1377 de 2013 y Nº 1074 de 20155, establecen lo siguiente: “En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la Ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolecciór almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso. 5 D.1074/2015, secc. 6 No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales.” (…)

“El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere el Capítulo III de este Decreto, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” En este sentido, a la empresa consultada le corresponde como responsable de tratamiento de datos, dar cumplimiento a estos principios, así como a todas las disposiciones legales relacionadas con el tratamiento y protección de datos personales. 4.4. DERECHO DE HABEAS DATA El derecho al habeas data como derecho autónomo, es aquel que permite a las personas naturales y jurídicas conocer, actualizar y rectificar la información que sobre ellas se haya recogido en bancos de datos y en archivos de entidades públicas y privadas. De la misma manera, este derecho señala la

obligación de respetar la libertad y demás garantías constitucionales en el ejercicio de las actividades de recolección, tratamiento y circulación de datos6. Sobre este Derecho, la Corte Constitucional ha señalado7: “El derecho fundamental al habeas data puede ser vulnerado o amenazado cuando quiera que la información contenida en una central o banco de datos: “i) es recogida de forma ilegal, es decir, sin el consentimiento del titular; ii) no es veraz, o iii) recae sobre aspectos íntimos de la vida del titular, no susceptibles de ser conocidos públicamente. Y en estos casos, el titular de la información puede acudir a la acción de tutela para solicitar la protección de su derecho fundamental” En la Sentencia T-729 de 2002,reiterada posteriormente por la Sentencia C-748 de 2011, la Corte explicó que es importante diferenciar y delimitar el habeas data respecto de otros derechos como el buen nombre y la intimidad, por lo menos por tres razones:“(…) (i) por la 6 C. Const. Sent. Mar. 25/2014 T-176A/14 M.P Jorge Ignacio Pretelt. 7 C. Const. Sent. Mar. 25/2014 T-176A/14 M.P Jorge Ignacio Pretelt posibilidad de obtener su protección judicial por vía de tutela de manera independiente; (ii) por la delimitación de los contextos materiales que comprenden sus ámbitos jurídicos de protección; y (iii) por las particularidades del régimen jurídico aplicable y las diferentes reglas para resolver la eventual colisión con el derecho a la información”. A continuación, la Corte definió el derecho al habeas data de la siguiente forma: “El derecho fundamental al habeas data, es aquel que otorga la facultad al titular de

datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en la posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales”. Más recientemente, en la Sentencia C-1011 de 2008, también reiterada en la citada Sentencia C-748 de 2011, la Corte nuevamente reconoció la autonomía del derecho al habeas data y lo conceptualizó así: “El hábeas data confiere, (…), un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información. En ese sentido, este derecho fundamental está dirigido a preservar los intereses del titular de la información ante el potencial abuso del poder informático”. Finalmente, la Sentencia T-658 de 2011, tajantemente fijó que el artículo 15 Constitucional consagra tres derechos fundamentales autónomos, a saber: intimidad, buen nombre y habeas data, y que si bien dichas garantías guardan una estrecha relación, tienen sus propias particularidades que las individualizan, por lo cual, el análisis de su vulneración debe hacerse de forma independiente, ya que el quebrantamiento de alguna de ellas no conlleva siempre al desconocimiento de la otra. En este respecto, la sentencia en mención estableció las siguientes diferencias: “(…) en lo relativo al manejo de la información, la protección del derecho al buen nombre se circunscribe a que dicha información sea cierta y veraz, esto es, que los

datos contenidos en ella no sean falsos ni erróneos. Por su parte, la garantía del derecho a la intimidad hace referencia a que la información no toque aspectos que pertenecen al ámbito de privacidad mínimo que tiene la persona y que sólo a ella interesa. Finalmente, el derecho al habeas data salvaguarda lo relacionado con el conocimiento, actualización y rectificación de la información contenida en los mencionados bancos de datos. El buen nombre es uno de los bienes jurídicos más importantes que integran el patrimonio moral de una persona. En este orden de ideas, el ámbito de protección de este derecho, en materia de manejo de la información crediticia y financiera, está circunscrito a la veracidad y certeza de la misma, pues la transmisión de información errónea en este campo no solo afecta la buena imagen o fama que un individuo ha construido en sociedad sino que también genera un impacto negativo en la esfera económica. Al respecto, esta Corporación ha referido: “Es claro que si la información respectiva es falsa o errónea, no solamente se afectan los derechos a la honra y al buen nombre de la persona concernida, sino que, precisamente por el efecto multiplicador que tiene el informe negativo en las instituciones receptoras de la información incorporada al banco de datos o archivo, resulta notoriamente perjudicada en su actividad económica y en su situación patrimonial. No se pierda de vista que un cierre del crédito puede provocar una cadena de incumplimientos forzados, la incapacidad de contraer nuevas obligaciones, la cesación de pagos y la quiebra”. De otro lado, el derecho al habeas data o a la autodeterminación informática es aquella garantía constitucional que le permite a la persona “conocer, actualizar y

rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas (…)”. La jurisprudencia constitucional ha fijado las siguientes reglas para verificar su afectación: “(…) el derecho al habeas data resulta vulnerado en los eventos en que la información contenida en un archivo de datos (i) sea recogida de forma ilegal, (ii) sea errónea, (iii) o verse sobre aspectos reservados de la esfera personal del individuo”. En conclusión, el derecho al habeas data o autodeterminación informática, puede ser transgredido, entre otros eventos, en el caso en que la información contenida en una base de datos sea recogida de forma ilegal o contenga datos erróneos. En este último evento no sólo estaría comprometido el derecho a la autodeterminación informática sino también el derecho al buen nombre”. Así las cosas, es claro que el reporte de información negativa en centrales de riesgo, con información falsa y/o errónea, pudiera constituir una vulneración al derecho de habeas data, teniendo los ciudadanos herramientas constitucionales y legales para procurar la protección de ese derecho, como lo es la acción de tutela. A propósito de los reportes negativos en centrales de riesgo, debe tenerse en cuenta que el artículo 12 de la Ley 1266 de 2008, señala: “Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de

terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta (subrayas fuera de texto)”. Por su parte, el Decreto 1074 de 20158, establece: “En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, lo cual podrá incluirse en