SIC - Concepto-21034327

Bogotá D.C. Señor (Datos personales elimindos en virtud de la Ley 1581 de 2012) Asunto: Radicación: 2134327- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 15

Cordial saludo: En virtud del artículo 28 de la Ley 1437 de 2011, sustituido por la Ley 1755 de 2015, la Superintendencia de Industria y Comercio procede a emitir un pronunciamiento en relación con la consulta realizada en los términos que se exponen a continuación.

1. OBJETO DE LA CONSULTA En esta oportunidad se trata de resolver una consulta presentada ante esta Entidad con Rad. No. 21-34327- -00000-000 del 26 de enero de 2021, en la cual se señala: “Buenas tardes, el motivo de mi consulta es la siguiente: ¿Están obligadas las empresas que ofrecen servicios en línea a notificarme si borran o alteran información respecto a compras facturadas que se realizaron en Colombia?” Al respecto, nos permitimos realizar las siguientes aclaraciones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de

petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES –LEY 1266 DE 2008

La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, a través del cual se modificó la estructura de la Entidad, en materia de habeas data, tiene entre otras las siguientes facultades:  Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales de acuerdo con la Ley 1266 de 2008.  Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su cabal aplicación. En virtud de dichas competencias, las funciones que cumple esta Superintendencia se relacionan con los temas concernientes a la seguridad y actualización de registros de información, la corrección, actualización o retiro de datos personales de una base de datos, así como la administración del Registro Nacional de Bases de Datos. 3.1 Ámbito de aplicación Ley 1266 de 2008.

Teniendo en cuenta el artículo 2 de la Ley 1266 de 2008, la precitada normatividad establece el ámbito de aplicación de las misma: ARTÍCULO 2o. AMBITO DE APLICACIÓN. La presente ley se aplica a todos los datos de información personal registrados en un banco de datos, sean estos administrados por entidades de naturaleza pública o privada. Esta ley se aplicará sin perjuicio de normas especiales que disponen la confidencialidad o reserva de ciertos datos o información registrada en bancos de datos de naturaleza pública, para fines estadísticos, de investigación o sanción de delitos o para garantizar el orden público. Se exceptúan de esta ley las bases de datos que tienen por finalidad producir la Inteligencia de Estado por parte del Departamento Administrativo de Seguridad, DAS, y de la Fuerza Pública para garantizar la seguridad nacional interna y externa. Los registros públicos a cargo de las cámaras de comercio se regirán exclusivamente por las normas y principios consagrados en las normas especiales que las regulan. Igualmente, quedan excluidos de la aplicación de la presente ley aquellos datos mantenidos en un ámbito exclusivamente personal o doméstico y aquellos que circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales.

4. PRINCIPIOS DE LA ADMINISTRACIÓN DE DATOS PERSONALES Y CIRCULACIÓN DE LA INFORMACIÓN La Ley 1266 de 2088 en su artículo 4 establece unos principios para su desarrollo, interpretación y aplicación en los siguientes términos: a) Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se

prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error; b) Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto; c) Principio de circulación restringida. La administración de datos personales se sujeta a los límites que se derivan de la naturaleza de los datos, de las Disposiciones de la presente ley y de los principios de la administración de datos personales especialmente de los principios de temporalidad de la información y la finalidad del banco de datos. Los datos personales, salvo la información pública, no podrán ser accesibles por Internet o por otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o los usuarios autorizados conforme a la presente ley; d) Principio de temporalidad de la información. La información del titular no podrá ser suministrada a usuarios o terceros cuando deje de servir para la finalidad del banco de datos; e) Principio de interpretación integral de derechos constitucionales. La presente ley se interpretará en el sentido de que se amparen adecuadamente los derechos constitucionales, como son el hábeas data, el derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la información. Los derechos de los titulares se interpretarán en armonía y en un plano de equilibrio con el derecho a la información previsto en el artículo 20 de la Constitución y con los

demás derechos constitucionales aplicables; f) Principio de seguridad. La información que conforma los registros individuales constitutivos de los bancos de datos a que se refiere la ley, así como la resultante de las consultas que de ella hagan sus usuarios, se deberá manejar con las medidas técnicas que sean necesarias para garantizar la seguridad de los registros evitando su adulteración, pérdida, consulta o uso no autorizado; g) Principio de confidencialidad. Todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan la naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende la administración de datos, pudiendo sólo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma” De los principios mencionados es necesario destacar que la circulación de la información crediticia, financiera, comercial, de servicios o de terceros países obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria. El artículo 5 de la precitada ley, señala lo siguiente respecto a la circulación de información: “CIRCULACIÓN DE INFORMACIÓN. La información personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposición de las siguientes personas y en los siguientes términos: a) A los titulares, a las personas

debidamente autorizadas por estos y a sus causahabientes mediante el procedimiento de consulta previsto en la presente ley. b) A los usuarios de la información, dentro de los parámetros de la presente ley. (…)” Por lo anterior, los usuarios entendidos como las personas naturales o jurídicas que pueden acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información deben garantizarle en todo momento el ejercicio de las facultades de conocimiento, actualización y rectificación de la información y aplicar los principios de administración de datos personales, en especial el principio de finalidad legitima previamente autorizada por el titular y el principio de confidencialidad.

5. LA FINALIDAD DE LA INFORMACIÓN CREDITICIA, FINANCIERA Y DE SERVICIOS El literal b del artículo 4 de la Ley 1266 de 2008 establece la finalidad como uno de los principios que rigen la administración de datos: “Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto;” De acuerdo con lo anterior se puede concluir que el uso que se debe dar a la información financiera, comercial o de servicios debe ser acorde a la finalidad legalmente establecida so pena de incurrir en una violación a la Ley 1266 de 2008.

6. CONSULTA DE LOS TITULARES DE LOS DATOS QUE REPOSAN EN BANCOS DE DATOS El numeral 1.1 del artículo 6 de la Ley 1266 de 2008 consagra a favor de los

titulares de datos el derecho de consultar la información que sobre ellos reposa en los bancos de datos: “1.1 Ejercer el derecho fundamental al hábeas data en los términos de la presente ley, mediante la utilización de los procedimientos de consultas o reclamos, sin perjuicio de los demás mecanismos constitucionales y legales.” Así mismo, en el numeral 1 del artículo 7 de la Ley 1266 de 2008 se establece el deber para los operadores de bancos de datos de garantizar a los titulares de datos el poder consultar en los bancos de datos. “Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley.” De acuerdo con lo cual, es deber de los operadores de los bancos de datos el garantizar que los titulares de los datos puedan realizar consultas y presentar consultas en relación con la información que reposa en los bancos de datos. Por su parte, el parágrafo 2 del artículo 10 de la Ley 1266 de 2008 determina que al menos una vez al mes se podrá efectuar dicha consulta de manera gratuita: “La consulta de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario.”

7. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PRESENTADA.

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: La Ley 1266 de 2008 tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos particularmente en relación con la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países. Así mismo regula los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales. Los datos de contenido financiero, comercial y crediticio son datos semiprivados que al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación, como la aplicación de los principios de administración de datos personales, en especial el de finalidad y confidencialidad. Expuesto lo anterior, tenemos que, los usuarios entendidos como las personas naturales o jurídicas que pueden acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información deben garantizarle en todo momento el ejercicio de las facultades de conocimiento, actualización y rectificación de la información y aplicar los principios de administración de datos personales, en especial el principio de finalidad legitima previamente autorizada por el titular y el principio de confidencialidad Ahora bien, para en caso en concreto, el operador o fuente, no tiene la obligación

de informar el manejo de la información, ya que al momento de iniciársela relación el usuario autorizo e tratamiento de los mismo, no obstante, de acuerdo con lo expuesto, es deber de los operadores de los bancos de datos el garantizar que los titulares de los datos puedan realizar consultas y presentar consultas en relación con la información que reposa en los bancos de datos. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por esta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ% En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente, JAZMIN ROCIO SOACHA PEDRAZA JEFE OFICINA ASESORA JURÍDICA Elaboró: xxxxx Revisó: xxxxx Aprobó: xxxxx