SIC - Concepto-22424116

Bogotá D.C., 9 de diciembre de 2022 Señor (a):

Asunto: Radicación: 22-424116

Trámite: 113

Evento: 0

Actuación: 440

Folios: 9

Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud radicada ante esta Entidad en la que menciona lo siguiente: “Cordial saludo Me indica por favor cómo se puede confirmar si alguien está siendo víctima de suplantación de identidad.” Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de

consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE HABEAS DATA En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, modificado por el decreto 092 de 2022, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así: “54. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la Ley 1266 de 2008, sin perjuicio de la competencia de la

Superintendencia Financiera”. 3.1. ALERTAS DE REPORTE DE INFORMACIÓN NEGATIVA El artículo 15 de la Constitución Política, establece lo siguiente: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido

sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. (Negrillas fuera de texto original) Por lo anterior, los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado y las fuentes y operadores deberán garantizar la recepción de las mismas, de modo ágil y eficaz a través de mecanismos dispuestos para ello, garantizando que sea posible verificar la identidad del titular y se garantice la seguridad de la información. Así mismo, deben dar respuesta de manera clara, precisa y congruente dentro del término legal. Ahora bien, el artículo 10 de la Ley 2157 de 2021, dispone lo siguiente sobre “Alertas de obligaciones nuevas en la historia crediticia para' mitigar suplantaciones de identidad. Los operadores de información dispondrán de un aplicativo digital y gratuito, para que los titulares de información, previa validación, registren su correo electrónico y reciban comunicaciones cuando se reporta una nueva obligación en la historia de crédito. La comunicación deberá enviarse dentro de un término de 5 días hábiles siguientes al reporte de la obligación”. (Negrillas y Subrayas fuera de texto original) Al respecto, la CORTE CONSTITUCIONAL mediante Sentencia C – 282 de 2021, respecto a la obligación impuesta a los operadores de información, de alertar al titular sobre nuevas obligación señaló lo siguiente: “Así las cosas (i) el mandato bajo análisis persigue el cumplimiento de una finalidad legítima, en tanto que introduce un nuevo medio para hacer efectiva la garantía de

habeas data, a la vez que propende por la materialización del principio de veracidad en la información; (ii) el medio propuesto es conducente para tal finalidad, en tanto que, además de dar un margen razonable al operador para proceder con la comunicación, garantiza que en un tiempo sustancialmente corto el titular, sin necesidad de realizar ninguna acción por sí mismo, pueda enterarse del reporte y solicitar la rectificación de las informaciones a que haya lugar. Así mismo, el sistema de alertas se perfila como un medio expedito para que el titular reciba la información de manera efectiva. Por ello, se hace evidente que el medio propuesto no se encuentra constitucionalmente proscrito, si se tiene en cuenta la amplia potestad de configuración del Legislador en la materia1; asimismo, no resulta desproporcionado respecto de la libertad de empresa, en cuanto, no se determinan o definen los medios y tecnologías mediante las cuales se debe implementar el sistema de alertas, sino que fija la garantía mínima que permite optimizar el derecho al habeas data; y (iii) bajo esta misma línea, la comunicación de alertas al titular de la información se perfila como un medio adecuado para que los ciudadanos conozcan, actualicen y rectifiquen la información que sobre sí mismos consta en bases de datos, y permite de forma eficiente evitar suplantaciones. Por lo anterior, los operadores de información deberán enviar las alertas al titular, una vez haya realizado el respectivo registro en el aplicativo dispuesto para ello y en el cual es necesario la confirmación de su identidad y el registro de un correo electrónico para recibir dichas alertas. La obligación impuesta por el artículo 10 de la Ley 2157 de 2021 a los operadores de

información es notificar a los titulares sobre el reporte de nuevas obligaciones en su historia de crédito, pues tiene por finalidad mitigar la ocurrencia de suplantaciones a la identidad del titular y están supeditadas a la notificación de nuevas obligaciones adquiridas por el titular de la información y del cual se genere un reporte negativo.

4. TRÁMITE DE CONSULTAS Y RECLAMOS 1 Corte Constitucional, entre otras, sentencias C-228 de 2010 y C-032 de 2017.

El artículo 16 de la Ley 1266 de 2008, establece un procedimiento para la presentación de consultas y reclamos de la siguiente manera: “I. Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando

integralmente toda la información solicitada.

II. Trámite de reclamos. Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas. Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.

2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios.

3. El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al

vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente.

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular.

6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los

términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida. La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito. (…)

8. Silencio. Las peticiones o reclamos deberán resolverse dentro de los quince (15) días hábiles siguientes a la fecha de su recibo. Prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral 3, parte 11, artículo 16 de la presente ley. Si en ese lapso no se ha dado pronta resolución, se entenderá, para todos los efectos legales, que la respectiva solicitud ha sido aceptada. Si no lo hiciere, el peticionario podrá solicitar a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera de Colombia, según el caso, la imposición de las sanciones a que haya lugar conforme a la presente ley, sin perjuicio de que ellas adopten las decisiones que resulten pertinentes para hacer efectivo el derecho al habeas data de los titulares".

Por lo anterior, los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado y las fuentes y operadores deberán garantizar la recepción de las mismas, de modo ágil y eficaz a través de mecanismos dispuestos para ello, garantizando que sea posible verificar la identidad del titular y se garantice la seguridad de la información. Así mismo, deben dar respuesta de manera clara, precisa y congruente dentro del término legal. Así mismo, los titulares de la información que requieran la rectificación, actualización, o eliminación de sus datos podrán presentar el respectivo reclamo por escrito o verbalmente ante los operadores de información, quienes deberán garantizar la recepción de las peticiones, consultas y reclamos, de modo ágil y eficaz a través de mecanismos, como líneas de atención telefónica o medios virtuales, en este último caso cuando sea posible verificar la identidad del titular y se garantice la seguridad de la información. Así mismo, deben dar respuesta de manera clara, precisa y congruente dentro del término legal. En concordancia con lo anterior, el numeral 5 del artículo 17 de la Ley 1266 de 2008, dispone lo siguiente: “(…) La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información finan ciera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley. En los casos en que la fuente, usuario u operador de información sea una entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá la vigilancia

e impondrá las sanciones correspondientes, de conformidad con las facultades que le son propias, según lo establecido en el Estatuto Orgánico del Sistema Financiero y las demás normas pertinentes y las establecidas en la presente ley. (…)

5. Ordenar de oficio o a petición de parte la corrección, actualización o retiro de datos personales cuando ello sea procedente, conforme con lo establecido en la presente ley. Cuando sea a petición de parte, se deberá acreditar ante la Superintendencia que se surtió el trámite de un reclamo por los mismos hechos ante el operador o la fuente, y que el mismo no fue atendido o fue atendido desfavorablemente”.

(Negrilla fuera de texto) En consecuencia, para que esta Superintendencia pueda ejercer la facultad de ordenar la corrección, actualización o retiro de datos personales el titular de la informacion, deberá acreditar que se surtió el trámite de un reclamo por los mismos hechos ante el operador o la fuente, y que el mismo no fue atendido o fue atendido desfavorablemente de los reportes negativos.

4. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: El titular de la información, es la persona natural o jurídica a quien se refiere la información que reposa en un banco de datos y sujeto del derecho de hábeas data y demás derechos y garantías a que se refiere la presente ley;

La fuente de información es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y puede realizar el reporte negativo de una persona que se encuentra en mora en el cumplimiento de sus obligaciones, siempre y cuando cuente con la autorización del titular de la información. El titular de la información deberán realizar ante los operadores de información (CIFIN, DATACRÉDITO) el respectivo registro en el aplicativo gratuito de alertas dispuesto para ello, y en el cual es necesario la confirmación de su identidad y el registro de un correo electrónico para recibir dichas alertas, con el fin de que le sean notificadas los reportes de nuevas obligaciones en su historia de crédito, y mitigar la ocurrencia de suplantaciones a la identidad del titular. Dicha información deberá ser enviada por el operador de información dentro de un término de 5 días hábiles siguientes al reporte de la obligación. El titular podrá presentar consultas y reclamos ante el operador de la información con el fin de que conocer su información personal o que sea sea actualizada o corregida y en caso que la petición o reclamo no sea atendida o le sea desfavorable por el operador de la información puede acudir ante esta Superintendencia de Industria y Comercio o a la Superintendencia Financiera de Colombia si la entidad es vigilada por esta, a fin de hacer valer sus derechos en materia de hábeas data. Así mismo, procederá el silencio administrativo positivo, es decir, la aceptación de su solicitud. si el operador de información no da respuesta dentro del término legal de 15 días hábiles, prorrogables por ocho (8) días hábiles más, sino fuera posible

responder en el término anterior, y le sea previamente informado al titular de la información. El titular de la información, deberá acreditar ante esta Entidad que presentó una reclamación previa ante el operador o la fuente de información y que ésta no fue resuelta en término o fue desfavorable. Para el efecto deberá allegar copia de la reclamación con constancia de radicación, copia de la respuesta suministrada si la hubiere o la afirmación de que ésta no fue contestada en término o favorablemente. Las consultas y reclamos podrán ser presentadas por el titular de la información de manera verbal o escrita y a través de líneas de atención telefónica o medios electrónicos, en este último caso cuando sea posible verificar la identidad del titular y se garantice la seguridad de la información. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 Atentamente,

ÁLVARO YÁÑEZ RUEDA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: Álvaro Yáñez

Aprobó: Álvaro Yáñez