SIC - Concepto-21043638

Bogotá, D.C. Respetado(a) señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012]

ASUNTO: Número 21-43638

Trámite 113 Evento 0 Actuación 440 De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, "por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento en los siguientes términos:

1. CUESTIÓN PREVIA Es importante aclarar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, a través de su Oficina Asesora Jurídica no puede dirimir situaciones de carácter particular. Aceptar lo contrario, implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 20051: "Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no." Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios para absolver las inquietudes por usted manifestadas.

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE HABEAS DATA FINANCIERO La Superintendencia de Industria y Comercio, según lo disponen los numerales 60 y 61 del artículo 1 del Decreto 4886 de 2011, en materia de Habeas Data Financiero tiene, entre otras, las siguientes facultades: • Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, incluso la proveniente de terceros países, en relación con la actividad de administración de datos personales, de acuerdo con la Ley 1266 de 2008. 1 Corte Constitucional. Sentencia C-542 del 24 de mayo de 2005, Magistrado Ponente: Humberto Sierra Porto. Exp. D-5480. • Impartir instrucciones en materia de administración de datos personales, fijar criterios que faciliten el cumplimiento de las normas que regulan la materia y señalar los procedimientos para su correcta aplicación.

En virtud de dichas competencias, las funciones que cumple esta Superintendencia se relacionan con los temas concernientes a la seguridad y actualización de registros de información, la corrección, actualización o retiro de datos personales de una base de datos, así como la administración del Registro Nacional de Bases de Datos.

3. ÁMBITO DE APLICACIÓN DE LA LEY 1266 DE 2008

El artículo 1 de la Ley 1266 de 2008 señala el objeto de aplicación de esta normatividad así: “OBJETO. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y

garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales a que se refiere el artículo 15 de la Constitución Política, así como el derecho a la información establecido en el artículo 20 de la Constitución Política, particularmente en relación con la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países.” (Negrilla fuera de texto) Entonces, la aplicación de la Ley 1266 de 2008 es exclusivamente para los datos de contenido crediticio, financiero, comercial, de servicios y la proveniente de terceros países, cuya finalidad sea el cálculo del riesgo financiero. En consecuencia, esta Ley excluye otras modalidades de administración de datos personales, que en cualquier caso se suscribirán a lo dispuesto por la Ley 1581 de 2012.

4. RESPUESTA A LOS INTERROGANTES DE SU CONSULTA 4.1. ¿Es permitido por la legislación que las centrales de información – DATACREDITO CIFINregistren la información relacionada con los hábitos de pago de los usuarios?; y ¿es obligación de las centrales de riesgo reportar tanto el origen de la calificación como la calificación misma?

Para responder este primer interrogante, es importante establecer primero (i) quienes son los Operadores y cuál es su finalidad; y (ii) qué tipo de información deben incorporar los Operadores en sus bases de datos. • LOS OPERADORES DE INFORMACIÓN Y SU FINALIDAD El literal c) del artículo 3 de la Ley 1266 de 2008 define a los Operadores de Información de la siguiente manera: “c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los

parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;” Como puede concluirse, el Operador tiene una doble función: por un lado, recibe información que proviene de las Fuentes2, y, por el otro, pone estos datos a disposición de los usuarios3 del sistema financiero. No obstante, como ya vimos, para que la Ley 1266 de 2008 sea aplicable, esta información debe ser calificada; tiene que ser de carácter financiero, crediticio, comercial, de servicios y/o proveniente de terceros paises. El literal j) del artículo 3 de esta Ley define este tipo de información como “aquella referida al nacimiento, ejecución y extinción de obligaciones dinerarias, independientemente de la naturaleza del contrato que les dé origen”. Ahora bien, la administración de información financiera que ejercen estos Operadores, es considerada como un asunto de interés público. Así lo dispone el artículo 10 de la misma Ley: “ARTÍCULO 10. PRINCIPIO DE FAVORECIMIENTO A UNA ACTIVIDAD DE INTERÉS PÚBLICO. La actividad de administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países está directamente relacionada y favorece una actividad de interés público, como lo es la actividad financiera propiamente, por cuanto ayuda a la democratización del crédito, promueve el

desarrollo de la actividad de crédito, la protección de la confianza pública en el sistema financiero y la estabilidad del mismo, y genera otros beneficios para la economía nacional y en especial para la actividad financiera, crediticia, comercial y de servicios del país.” En el mismo sentido, la Corte Constitucional ha establecido lo siguiente sobre la finalidad de esta actividad: “La finalidad legítima del procesamiento de los datos personales de contenido comercial y crediticio está concentrada en el cálculo adecuado del riesgo financiero atribuible al sujeto concernido, esto con el fin de suministrar información a los agentes económicos para la toma de decisiones relativas a la celebración de contratos comerciales y de crédito con clientes potenciales.”4 En consecuencia, queda claro que, por su naturaleza, las bases de datos administradas por los Operadores tienen como función recopilar, tratar y circular datos con el fin de determinar el nivel de 2 El literal b) del artículo 3 de la Ley 1266 de 2008 define a las fuentes así: “b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto

tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos;” 3 El literal d) del artículo 3 de la Ley 1266 de 2008 define a los usuarios así: “d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos;” 4 Corte Constitucional, Sentencia C-1011 de 2008. Magistrado Ponente: Jaime Córdoba Triviño. riesgo financiero de cada titular. Justamente para cumplir con esta finalidad, la Ley ha establecido una serie de información mínima que deben contener estas bases de datos, y que está directamente relacionada con el nivel de riesgo financiero que puede tener un determinado titular. (i) INFORMACIÓN MÍNIMA QUE DEBEN CONTENER LAS BASES DE DATOS ADMINISTRADAS POR LOS OPERADORES Atendiendo a la finalidad analizada en el acápite anterior, el artículo 14 de la Ley 1266 de 2008 dispuso lo siguiente: “Artículo 14. Contenido de la información. El Gobierno Nacional establecerá la forma

en la cual los bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, deberán presentar la información de los titulares de la información. Para tal efecto, deberá señalar un formato que permita identificar, entre otros aspectos, el nombre completo del deudor, la condición en que actúa, esto es, como deudor principal, deudor solidario, avalista o fiador, el monto de la obligación o cuota vencida, el tiempo de mora y la fecha del pago, si es del caso. El Gobierno Nacional al ejercer la facultad prevista en el inciso anterior deberá tener en cuenta que en el formato de reporte deberá establecer que: a) Se presenta reporte negativo cuando la(s) persona(s) naturales o jurídicas efectivamente se encuentran en mora en sus cuotas u obligaciones. b) Se presenta reporte positivo cuando la(s) persona(s) naturales y jurídicas están al día en sus obligaciones. El incumplimiento de la obligación aquí prevista dará lugar a la imposición de las máximas sanciones previstas en la presente ley.(…)” Así mismo, a través del Decreto 1074 de 2015 se regularon algunas condiciones específicas con las que debe contar la información allí registrada. En esta norma se consagra la información mínima que deben tener los reportes de manera general, y de manera específica en los sectores real y financiero.

Dice la norma: “Artículo 2.2.2.27.1. Requisitos mínimos de información. Para los efectos de lo consagrado en el artículo 14 de la ley 1266 de 2008, los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, al presentar la información de los titulares deberán adoptar un formato que

contenga, como mínimo, los datos requeridos en el presente capítulo, según el sector al cual pertenezca la fuente de información. La información a la que se refiere el presente capítulo deberá atender las características y particularidades de cada contrato celebrado.” En la información general a consignar, está: (i) nombre y apellidos completos o razón o denominación social, (ii)tipo y número de identificación, (iii) fecha de corte de la información, (iv) registro últimas consultas, (v) fecha de la consulta. Además, dispone que: “Con fundamento en lo dispuesto en el artículo 14 de la Ley 1266 de 2008, en el encabezado de cada reporte de información deberá indicarse lo siguiente: “Se presenta reporte negativo cuando la(s) persona(s) naturales y jurídicas efectivamente se encuentran en mora en sus cuotas u obligaciones. Se presenta reporte positivo cuando la(s) persona(s) naturales y jurídicas están al día en sus obligaciones”. “ Teniendo en cuenta lo anterior, es importante aclarar que la legislación colombiana establece una serie de información mínima que debe estar en las bases de datos administradas por los Operadores. Particularmente, para el sector financiero, estas bases de datos deberán contener, como mínimo, la siguiente información: (1) tipo de contrato, (2) número y estado del contrato, (3) condición o calidad, (4) fuente de información, (5) fecha de inicio de la obligación, (6) apertura o activación del producto, (7) cupos aprobados, (8) cupo utilizado, (9) saldo a la fecha de corte, (10) número de cuotas pactadas, (11) número de cuotas pagadas, (12) estado de la obligación, (13) saldo en mora, (14) situación o

estado del titular, (15) pago de la obligación, (16) fecha de pago o extinción de la obligación, (17) reestructuración, (18) reclamo o discusión judicial. No obstante, es importante aclarar que esta información es un mínimo requerido, pero de ninguna manera es un máximo. En consecuencia, los Operadores podrán incorporar otro tipo de información en sus bases de datos, siempre que esta sirva para cumplir con la finalidad explicada atrás, es decir, el cálculo adecuado del riesgo financiero atribuible al sujeto concernido, con el fin de suministrar información a los agentes económicos para la toma de decisiones relativas a la celebración de contratos comerciales y de crédito con clientes potenciales. Naturalmente, esta información tiene que ser de carácter financiero, crediticio, comercial, de servicios y/o proveniente de terceros paises. Recordamos que el literal j) del artículo 3 de esta Ley define este tipo de información como “aquella referida al nacimiento, ejecución y extinción de obligaciones dinerarias, independientemente de la naturaleza del contrato que les dé origen”. Ahora bien, teniendo en cuenta esto, es importante hacer dos precisiones adicionales. En primer lugar, esta Superintendencia no puede, por medio de un concepto, aceptar o no la posibilidad de que los Operadores incluyan cierto tipo de información en sus bases de datos. No obstante, le aclaramos que los datos que sean incorporados en estas bases de datos, sí deben cumplir con el principio de finalidad, y en consecuencia, tendrán que tener una relación directa con la función de los Operadores. Incorporar información que no tenga una relación directa con esta finalidad en estas bases de datos, puede llegar a constituir una violación a las disposiciones de la Ley 1266 de 2008. A la misma

conclusión ha llegado la Corte Constutitucional: “La administración de datos personales sobre comportamiento crediticio es una actividad necesaria, a efectos de proteger el ahorro público y satisfacer los intereses del tráfico mercantil, actividades que prima facie no se oponen a los postulados constitucionales. Sin embargo, esta actividad está supeditada a la eficacia del derecho fundamental al hábeas data del sujeto concernido, conforme los principios de libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad. En consecuencia, el ejercicio de la administración de datos personales relativos al comportamiento crediticio es un ámbito de la vida social que busca fines compatibles con la Constitución. Sin embargo, esa compatibilidad no constituye una autorización ilimitada para el ejercicio arbitrario de las facultades de recolección, tratamiento y circulación de la información personal. En contrario, estas facultades sólo resultarán legítimas si (i) preservan el plexo de principios y garantías que conforman el derecho fundamental al hábeas data; y (ii) se ejercen a partir del criterio de responsabilidad social predicable de las fuentes, los operadores y los usuarios de la información.”5( Negrilla fuera del texto original) Entonces, queda claro que la Ley establece taxativamente una información mínima que deben contener las bases de datos de los Operadores, pero la legislación no dispone un máximo de información permitida. Sin embargo, los Operadores y las Fuentes, al momento de introducir esta información adicional, deben respetar los principios legales de la Ley 1266 de 2008, y, en general, respetar el derecho fundamental de Habeas Data. Por lo tanto, deberán garantizar el respeto absoluto por los

principios de la misma Ley, dentro de los cuales se encuentra, entre otros, el principio de finalidad. Si los Operadores incluyen en sus bases de datos información que no respete los principios de la Ley 1266 de 2008, estarán infringiendo la normatividad colombiana en materia de Habeas Data. No obstante, un análisis entre la información incorporada y los principios legales de Habeas Data, supone un examen profundo que solo podrá ser desarrollado en el marco de una investigación administrativa, y no a través de un concepto. 4.2. En caso de que la respuesta sea negativa, ¿cuál es el conducto para solicitar que se levante esta información? Si la respuesta es afirmativa, ¿Por cuánto tiempo pueden mantener esta información en los registros?; ¿Están obligadas las centrales de riesgo a recibir derechos de petición a través de sus sitios web en relación con la información que divulgan? y ¿cuál es la sanción en caso de que no sea así? Como ya explicamos, esta Superintendencia no puede aceptar o rechazar la inclusión de determinada información por medio de un concepto. En este sentido, no podemos contestar afirmativa o negativamente su pregunta anterior. Sin embargo, de acuerdo con lo explicado hasta este punto, si usted considera que existe información suya que no debe ni puede ser utilizada en este tipo de bases de datos, puede solicitar que la retiren, atendiendo al trámite especial detallado en el artículo 16 de la Ley 1266 de 2008. Esta norma indica el siguiente procedimiento especial para este tipo de reclamos: “(…) II. Trámite de reclamos. Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el

operador, el cual será tramitado bajo las siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas. Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.

2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información deberá mantenerse hasta que 5 Corte Constitucional, Sentencia C-1011 de 2008. Magistrado Ponente: Jaime Córdoba Triviño. el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios.

3. El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del operador,

este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente.

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular.(…)” Siguiendo este procedimiento, el Operador y/o la Fuente deben dar una respuesta a su solicitud de manera oportuna, y atendiendo a profundidad su reclamo. Adicionalmente, como lo establece la Circular Única de esta Superintendencia, los Operadores y las Fuentes de información deben implementar un sistema para presentar PQRs por medios informáticos:

“Parágrafo Primero: Para garantizar el ejercicio del derecho de los titulares a solicitar rectificaciones, actualizaciones o eliminaciones de sus datos contenidos en las bases de datos, los operadores y fuentes de información deben implementar un sistema para presentar reclamos utilizando diferentes medios informáticos, como internet o correo electrónico y crear formularios claros y sencillos para dicha presentación. En este sistema, además, deberá generarse un número de radicación y una confirmación automática de recepción del reclamo presentado para que el ciudadano pueda hacer seguimiento a su solicitud.”6 Cuando la PQR se realice por este tipo de medios, las Fuentes y los Operadores deben garantizar que sea posible verificar la identidad del titular y la seguridad de la información. 6 Parágrafo primero del artículo 1.7. del Título V de la Circular Única de la Superintendencia de Industria y Comercio. Por último, es importante explicar que la Ley trae un término de permanencia máxima para la información de reportes negativos: cuatro (4) años, contados a partir de la fecha en que sean pagadas las cuotas vencidas, o sea pagada la obligación vencida7. En igual sentido, la Corte Constitucional, aclaró que “la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora, y que el término de permanencia de cuatro años también se contará a partir del momento en que se extinga la obligación por cualquier modo”8. 4.3. ¿El registro de los hábitos de pago de los consumidores financieros puede hacer parte de la calificación crediticia de los consumidores financieros? En cuanto a las calificaciones o puntajes que asignan los Operadores a cada titular, no existe normativa específica que regule cómo deben ser calificados los titulares. Sin embargo, la Corte Constitucional ha

dicho que, para poder tomar decisiones en relación con la vida crediticia de una persona, deben tenerse en cuenta factores adicionales a la información mínima, reseñada en el punto 4.1 de este concepto: “La razonabilidad del uso del dato personal implica que el reporte que ofrecen las centrales de información no puede convertirse en un factor único y totalizante para la determinación del cumplimiento en el pago de una obligación crediticia futura. En cambio, el uso responsable implica que las citadas entidades y, de una manera más amplia, todos aquellos usuarios que se sirven de la información personal financiera como parámetro para la toma de decisiones sobre la suscripción de contratos con clientes potenciales, deban realizar un estudio juicioso y amplio de los diversos factores que resultan pertinentes para la determinación del riesgo crediticio. Ello en tanto una evaluación descuidada y simplista del cumplimiento en el pago de las obligaciones, fundada exclusivamente en el contenido del reporte que emiten las centrales de riesgo, no sólo es del todo insuficiente, conforme a los parámetros técnicos que regulan la materia, sino que desconoce el mandato constitucional de democratización del crédito (Art. 335 C.P.).”9 Partiendo de esto, encontramos que las calificaciones que se den a los titulares no pueden corresponder únicamente a un registro negativo y/o a los registros positivos. Esta información deberá ser coherente con múltiples factores que permitan analizar la capacidad de pago y endeudamiento del titular del dato. Incluso, más allá de la calificación otorgada, el usuario no podrá abstenerse de otorgar un crédito basándose únicamente en esta información, pues igualmente deberá analizar otros factores de riesgo. La calificación, o “score de crédito”, está relacionada con los modelos de evaluación del riesgo de

crédito o scorings que adoptan internamente las entidades otorgantes. Al respecto, la Superintendencia Financiera de Colombia ha precisado lo siguiente: "(...) (L)as entidades financieras, en tanto manejan y administran ahorro del público, están en la obligación de adoptar mecanismos para que el riesgo de crédito esté 7 Artículo 13 de la Ley 1266 de 2008: “ARTÍCULO 13. PERMANENCIA DE LA INFORMACIÓN. <Artículo CONDICIONALMENTE exequible> La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información.Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera, y en general, aquellos datos referentes a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será de cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida.” 8 Corte Constitucional, Sentencia C-1011 de 2008. Magistrado Ponente: Jaime Córdoba Triviño. 9 Corte Constitucional, Sentencia C-1011 de 2008. Magistrado Ponente: Jaime Córdoba Triviño. adecuadamente protegido. En ese orden, deben adoptar un Sistema de Administración de Riesgo Crediticio "SARC"10, el cual contiene los parámetros, principios y criterios mínimos y generales a desarrollar en el marco de la evaluación referida.

Para el cumplimiento del anterior propósito, las entidades pueden adoptar modelos financieros internos (scorings]) como mecanismos de calificación de riesgo cuyas bases están soportadas en técnicas estadísticas y matemáticas. Ellos permiten llevar a cabo análisis cuantitativos acerca del desempeño del deudor en la atención de los créditos otorgados en un pasado, posibilitando así cuantificar el riesgo que se mide, por lo general, con puntos que representan una calificación” 11. Así mismo, el Director de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, mediante Resolución No. 64592 de 2013 señaló lo siguiente: “Dicho de otro modo, el score o puntaje responde al criterio particular y subjetivo de las entidades crediticias conforme a un modelo estadístico de riesgo y no responde a la categoría de dato personal cuya vigilancia está a cargo de esta Superintendencia, que vela porque la información que reposa en las bases de datos de los operadores de información o centrales de riesgo (historias de crédito) refleje el comportamiento de pago del sujeto, es decir, el estado de las obligaciones adquiridas por el titular de la información y el hábito de pago de las mismas. En este sentido en el score o puntaje se toman criterios adicionales al habito de pago que determinan a través de modelos estadísticos especiales, cuál es la probabilidad de que el adquirente de los servicios pueda pagar o no sus obligaciones, conforme a instrucciones específicas impartidas por la Superintendencia Financiera de Colombia. La Ley 1266 de 2009 consagró las reglas relativas al manejo de información financiera, crediticia, comercial y de servicios contenida en las historias de crédito que administran

los operadores de la información (Centrales de riesgo), mas no se regularon los criterios por medio de los cuales se pueda calcular a través de modelos estadísticos, la probabilidad de pago de una persona” En consecuencia, el puntaje o calificación atiende a criterios subjetivos, no se encuentra regulado por ninguna norma y no hace parte de los criterios vigilados por esta Superintendencia, pues no corresponde a un dato de los regulados por la Ley 1266 de 2008. De cualquier forma, queda claro que tanto los Operadores como los Usuarios del sistema financiero, deben utilizar información adicional a los reportes negativos y positivos para tomar una determinación final sobre la procedencia o no de un crédito para una determinada persona. Igualmente, de conformidad con los principios reglados en la Ley 1266 de 2008, la inclusión de otro tipo de información para definir la calificación de un determinado titular, deberá respetar los principi