SIC - Concepto-21279591

Respetada Señora

GINA PAOLA RODRIGUEZ SILVA

pao.rodriguezsilva@hotmail.com

Asunto: Radicación: 21-279591

Trámite: 113

Actuación: 440

Folios: 7

De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, "por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo", fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los siguientes términos:

1. OBJETO DE LA CONSULTA En el presente documento se solucionará la solicitud radicada ante esta entidad en la cual se señala: “En el mes de Diciembre de 2020 mi score crediticio estaba sobre los 690 puntos y por error movistar me reporto negativamente en centrales de riesgo y esto ocasiono que mi score bajara a 340 puntos en datacredito, interpuse un reclamo por suplantación el cual salió a mi favor y movistar rectifico y elimino este reporte en el mes de enero de 2021 pero mi puntaje no se actualizo y no se corrigio teniendo en cuenta que el reporte negtivo fur eliminado. De eso han transcurrido 6 meses y mi puntaje nunca lo actualizaron y esta muy bajo y actualmente estoy en procesod e compra de vivienda y me veo demasiado afectada por tener este score tan bajito donde la entidad bancaria me dice que no puedo continuar con el credito hipotecario con el score tan bajito. Llevo mas de 2 años pagando la cuota

inicial para la adquisicion de vivienda y cuidando de no tener ningun reporte negativo y ahora eta en situacion de riesgo continuar con la compra de vivienda por que MI DATACREDITO no actualizo nunca el score que tenia antes de ese reporte negativo que fue por error. Solicito de su amable intervencion para que se realice la respectiva actualizacion de mi score creditcio y no se vea afectado mi buen nombre y pueda dar continuidad con el procesod e compra de vivienda..”.

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN

MATERIA DE PROTECCIÓN DE DATOS PERSONALES

3.1. FUNCIONES GENERALES: La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: “...a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los

actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley…” 3.2. FUNCIÓN DE VIGILANCIA: El artículo 17 de la Ley 1266 de 2008, señala que corresponde a la a la Superintendencia de Industria y Comercio la función de vigilancia de los destinatarios de la norma, lo que implica: “Artículo 17. Función de vigilancia. La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley. En los casos en que la fuente, usuario u operador de información sea una entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá la vigilancia e impondrá las sanciones correspondientes, de conformidad con las facultades que le son propias, según lo establecido en el Estatuto Orgánico del Sistema Financiero y las demás normas pertinentes y las establecidas en la presente ley.” (negrilla fuera de texto) Para el ejercicio de la función de vigilancia a que se refiere el presente artículo, la Superintendencia de Industria y Comercio y la Superintendencia Financiera de Colombia, según el caso, tendrán en

adición a las propias las siguientes facultades:

1. Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación.

2. Velar por el cumplimiento de las disposiciones de la presente ley, de las normas que la reglamenten y de las instrucciones impartidas por la respectiva Superintendencia.

3. Velar porque los operadores y fuentes cuenten con un sistema de seguridad y con las demás condiciones técnicas suficientes para garantizar la seguridad y actualización de los registros, evitando su adulteración, pérdida, consulta o uso no autorizado conforme lo previsto en la presente ley.

4. Ordenar a cargo del operador, la fuente o usuario la realización de auditorías externas de sistemas para verificar el cumplimiento de las disposiciones de la presente ley.

5. Ordenar de oficio o a petición de parte la corrección, actualización o retiro de datos personales cuando ello sea procedente, conforme con lo establecido en la presente ley.

Cuando sea a petición de parte, se deberá acreditar ante la Superintendencia que se surtió el trámite de un reclamo por los mismos hechos ante el operador o la fuente, y que el mismo no fue atendido o fue atendido desfavorablemente.

6. Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las

órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.” En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el artículo 1 del Decreto 4886 de 2011, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así: “60. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera.” A través de la Delegatura para la Protección de Datos Personales, la Superintendencia de Industria y Comercio vigila que se respeten los derechos y garantías previstos en los aspectos de su competencia de la Ley 1266 de 2008 (ley de habeas data financiero). En materia de protección de datos personales y habeas data financiero, esta Superintendencia no cuenta con facultades jurisdiccionales, es decir que no actúa como juez de la República, por lo tanto no dirime conflictos particulares a través de sentencias, sino que está facultada para impartir instrucciones, ordenar la corrección, actualización o retiro de datos personales, iniciar investigaciones administrativas, y sancionar u ordenar las medidas que correspondan ante el incumplimiento del régimen de protección de datos personales. De otra parte, resulta fundamental aclarar que según lo dispuesto por el artículo 17 de la Ley 1266 de 2008, la Superintendencia de Industria y Comercio, en ejercicio de funciones administrativas, es

la autoridad de habeas data financiero, excepto si la fuente, el operador o el usuario son vigilados por la Superintendencia Financiera de Colombia, caso en el cual, esa será la entidad competente.

4. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional y legal en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar como al inicio de este escrito, que no le corresponde a esta Oficina mediante un concepto resolver un asunto particular, pues de hacerlo desbordaría la naturaleza del derecho de petición de consulta y desconocería los principios de autonomía y de distribución funcional de competencias.

De acuerdo a la consulta planteada es necesario aclarar varios aspectos, como primera medida la Ley 1266 de 2008 es exclusivamente para los datos de contenido crediticio, financiero, comercial, de servicios y la proveniente de terceros países, cuya finalidad sea el cálculo del riesgo financiero. En consecuencia, esta Ley excluye otras modalidades de administración de datos personales, que en cualquier caso se suscribirán a lo dispuesto por la Ley 1581 de 2012. La Superintendencia de Industria y Comercio, de acuerdo a lo mencionado en el acápite anterior, ejerce funciones de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto a la actividad de administración de los datos personales. Si la fuente, el usuario o el operador de la información es una entidad vigilada por la Superintendencia Financiera, esta será la encargada de

vigilarla e imponer las sanciones a que haya lugar. Respecto a su consulta es necesario indicar que la calificación, o “score”, está relacionada con los modelos de evaluación del riesgo de crédito o scorings que adoptan internamente las entidades financieras. Los Principios y criterios generales para la evaluación del riesgo crediticio, se encuentran regulados en el Capítulo II de la Circular Externa 100 de 1995 o Básica Contable y Financiera, expedida por la Superintendencia Financiera de Colombia. Dicha Circular establece en su considerando que: “El SARC debe contener políticas y procedimientos claros y precisos que definan los criterios y la forma mediante la cual la entidad evalúa, asume, califica, controla y cubre su riesgo crediticio. Para ello, los órganos de dirección, administración y control de las entidades deben adoptar políticas y mecanismos especiales para la adecuada administración del riesgo crediticio, no sólo desde la perspectiva de su cubrimiento a través de un sistema de provisiones, sino también a través de la administración del proceso de otorgamiento de créditos y permanente seguimiento de éstos. Las siguientes entidades están obligadas a adoptar un SARC: establecimientos bancarios, corporaciones financieras, compañías de financiamiento, cooperativas financieras, organismos cooperativos de grado superior y todas aquellas entidades vigiladas por la SFC que dentro de su objeto social principal se encuentren autorizadas para otorgar crédito. (Subrayas fuera de texto).1 Así mismo la Superintendencia Financiera de Colombia ha precisado lo siguiente: "(...) (L)as entidades financieras, en tanto manejan y administran ahorro del público, están

en la obligación de adoptar mecanismos para que el riesgo de crédito esté adecuadamente protegido. En ese orden, deben adoptar un Sistema de Administración de Riesgo Crediticio "SARC", el cual contiene los parámetros, principios y criterios mínimos y generales a desarrollar en el marco de la evaluación referida. Para el cumplimiento del anterior propósito, las entidades pueden adoptar modelos financieros internos (scorings]) como mecanismos de calificación de riesgo cuyas bases están soportadas en técnicas estadísticas y matemáticas. Ellos permiten llevar a cabo análisis cuantitativos acerca del desempeño del deudor en la atención de los créditos otorgados en un pasado, posibilitando así cuantificar el riesgo que se mide, por lo general, con puntos que representan una calificación” 2. Por su parte el Director de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, mediante Resolución No. 64592 de 2013 señaló lo siguiente: 1 Capítulo II de la Circular Externa 100 de 1995, o Básica Contable y Financiera, ia cual puede ser consultad en nuestra página web: www.superfinanciera.qov.co/consumidor 2 Concepto 2010094190-001 del 26 de enero de 2011 “Dicho de otro modo, el score o puntaje responde al criterio particular y subjetivo de las entidades crediticias conforme a un modelo estadístico de riesgo y no responde a la categoría de dato personal cuya vigilancia está a cargo de esta Superintendencia, que vela porque la información que reposa en las bases de datos de los operadores de información o centrales de riesgo (historias de crédito) refleje el comportamiento de pago

del sujeto, es decir, el estado de las obligaciones adquiridas por el titular de la información y el hábito de pago de las mismas. En este sentido en el score o puntaje se toman criterios adicionales al habito de pago que determinan a través de modelos estadísticos especiales, cuál es la probabilidad de que el adquirente de los servicios pueda pagar o no sus obligaciones, conforme a instrucciones específicas impartidas por la Superintendencia Financiera de Colombia. La Ley 1266 de 2009 consagró las reglas relativas al manejo de información financiera, crediticia, comercial y de servicios contenida en las historias de crédito que administran los operadores de la información (Centrales de riesgo), mas no se regularon los criterios por medio de los cuales se pueda calcular a través de modelos estadísticos, la probabilidad de pago de una persona” De tal manera, que el puntaje o calificación atiende a criterios subjetivos que se encuentran regulados por la Circular externa 100 de 1995 de la Superintendencia Financiera de Colombia y no hace parte de los criterios vigilados por esta Superintendencia, ya que no corresponde a un dato personal de los regulados por la Ley 1266 de 2008. Finalmente, el artículo 16 de la Ley 1266 de 2008 establece el trámite que deben seguir los titulares que, cuando así lo consideren, deseen consultar, actualizar y rectificar su información personal ante los usuarios, fuentes y operadores de bases de datos crediticias y financieras. Ante una presunta infracción de las normas sobre protección de datos personales, los titulares pueden presentar una queja ante la autoridad de vigilancia correspondiente, teniendo en cuenta que, si la fuente, operador o usuario es una entidad vigilada por la Superintendencia Financiera

de Colombia, deberá acudir a esa entidad; de lo contrario, podrá radicar su queja ante la Superintendencia de Industria y Comercio, a través de los canales de atención habilitados. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 En este sentido, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMÍN ROCÍO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: L. Franco

Revisó: Rocío Soacha

Aprobó: Rocío Soacha