SIC - Concepto 5911 de 2024

Bogot á D.C., agost o de 2024

Asu n t o : Radicación: 24315279

Trám it e: 113

Act uación: 440

Folios: 14

Respet ada Señora:

De conform idad con lo previst o en el art ículo 28 de la Ley 1437 de 2011, sust it uido por el art ículo 1 de la Ley 1755 de 2015, “ por m edio de la cual se regula el Derecho Fundam ent al de Pet ición y se sust it uye un t ít ulo del Código de Procedim ient o Adm inist rat ivo y de lo Cont encioso Adm inist rat ivo” , fundam ent o j urídico sobre el cual se sust ent a la consult a obj et o de la solicit ud, procede la SUPERI N TEN D EN CI A D E I N D USTRI A Y COM ERCI O a em it ir un pronunciam ient o, en los t érm inos que a cont inuación se pasan a exponer:

1 . OBJETO D E LA CON SULTA

At endiendo a la solicit ud radicada ant e est a Ent idad en la que m enciona lo siguient e:

“ En el m arco de la Ley 1266 de 2008 y la Ley 15 81 de 2012, si un t it ular de inform ación le ot orga aut orización a una Fuent e de I nform ación para el t rat am ient o de sus dat os per sonales en el m ar co del cont rat o suscrit o ent re ellos, ¿la Fuent e de inform ación est á aut orizada para divulgar su inform ación per sonal no sensible a t er cer os? ¿O al t rat ar se de

ent re ellos, ¿la Fuent e de inform ación est á aut orizada para divulgar su inform ación per sonal no sensible a t er cer os? ¿O al t rat ar se de inform ación per sonal no sensible, se requier e de una aut orización expr esa para el t rat am ient o de dicha inform ación y su circulación a t erceros? De igual m anera, solicit o se m e indique ¿Qué se ent iende por t rat am ient o de dat os per sonales? ¿Qué act ividades o labor es im plican t rat am ient o de dat os personales?”

Previo a resolver su consult a es necesario realizar las siguient es precisiones:

2 . CUESTI ÓN PREV I A

Revist e de gran im port ancia precisar en prim er lugar que la SUPERI N TEN D EN CI A D E I N D USTRI A Y COM ERCI O a t ravés de su Oficina Asesora Jurídica no le asist e la facult ad de dirim ir sit uaciones de caráct er part icular, debido a que, una lect ura en t al sent ido, im plicaría la flagrant e vulneración del debido proceso com o garant ía const it ucional. Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 01 8000 910 165 - Dirección: Cra. 13 #27 - 00 piso 3 - Radicaciones: Av. carrera 7 #31A-36, Bogotá D.C.- Colombia - Teléfonos: 601 587 00 00 - e-mail: contactenos@sic.gov.co G Nuestro aporte es fundamental. al usar menos papel contribui­

Bogotá D.C.- Colombia - Teléfonos: 601 587 00 00 - e-mail: contactenos@sic.gov.co G Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambiente ·--·Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conce ptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;

mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

4. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE HABEAS DATA

En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, modificado por el Decreto 092 de 2022, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así:“54. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la Ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera”.

5. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

El tratamiento de los datos personales sólo puede realizarse cuando exista la autorización previa, expresa e informada del titular , con el fin de permitir al titular que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué

autorización previa, expresa e informada del titular , con el fin de permitir al titular que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

Los responsables del tratamiento de los datos personales tienen la obligación de obtener la autorización por parte del titular al momento de su recolección, informándole la finalidad específica del tratamiento , esto es, la recolección, el almacenamiento, la circulación, uso y/o supresión de los mismos a través de mecanismos que garanticen su consulta posterior. Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) s ea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca.

Los operadores de información pueden suministrar la información personal de manera verbal o escrita recolectada o suministrada de conformidad con lo dispuesto en la Ley 1266 de 2008 a las siguientes personas: (i) a los titulares, (ii) a las personas debidamente autorizadas por el titular; (iii) a los causahabientes del titular; (iv) a los usuarios de información; (v) a la autoridad judicial previa orden judicial; (vi) a las entidades públicas del poder ejecutivo en ejercicio de sus funciones; (vii) a los órganos de control y demás entidades de investigación disciplinaria, fiscal, o admini strativamente, (viii) a otros operadores de datos cuando se cuente con autorización del titular o cuando sin

en ejercicio de sus funciones; (vii) a los órganos de control y demás entidades de investigación disciplinaria, fiscal, o admini strativamente, (viii) a otros operadores de datos cuando se cuente con autorización del titular o cuando sin ser necesaria la autorización del titular el banco de datos de destino tenga la misma finalidad o una finalidad que comprenda la que tiene el opera dor que entrega los datos y (ix) a las personas autorizadas por la mencionada ley.

A partir de la exposición de las consideraciones anteriores, y en el marco del asunto de su comunicación, nos permitimos manifestar:

5.1. DEFINICIÓN Y TRATAMIENTO DE DATOS PERSONALES

El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “ Dato personal: Cualquier información vinculada o quepueda asociarse a una o varias personas naturales determinadas o determinables.”

Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.

Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos,

"Tratamiento: Cualquier operación o conjunto de operaciones sobre

(principios) en lo relativo a su captación, administración y divulgación.

Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos,

"Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."

Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

5.2. SUMINISTRO DE DATOS PERSONALES

El artículo 11 de la Ley 1581 de 2012 dispone lo siguiente, respecto al suministro de información por parte de los responsables y encargados del tratamiento:

“Suministro de la información. La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos”.

Por su parte, el artículo 13 de la Ley 1581 de 2012 dispone lo siguiente:

“Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:

a) A los Titulares, sus causahabientes o sus representantes legales. b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.c) A los terceros autorizados por el Titular o por la ley.”

a) A los Titulares, sus causahabientes o sus representantes legales. b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.c) A los terceros autorizados por el Titular o por la ley.”

En consecuencia, los datos personales solo pueden suministrarse a: (i) el titular, sus causahabientes o representante legal, con el fin de garantizar el derecho fundamental de conocer donde se encuentra la información; (ii) a las entidades públicas o administrativas en ejercicio de sus funciones o por orden judicial, y (iii) a un tercero previa autorización del titular o por la ley , para mayor claridad desarrollaremos el contexto en el que procede el suministro de información a los terceros autorizados por el titular o por la ley, así:

En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que r eleve el consentimiento."

Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que en todo momento y lugar pueda conocer en dónde está su información personal, p ara qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

de permitirle que en todo momento y lugar pueda conocer en dónde está su información personal, p ara qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento."

En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita, es decir, verbal o escrita.

Por su parte, el artículo 12 de la Ley 1581 de 2012, dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización:

“Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

Por lo anterior, el responsable del tratamiento, al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales, es decir, si se hará recolección, uso, almacenamiento, circulación, supresión o cualquier operación de los datos, (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) losderechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que pueda ejercer sus derechos.

5.3. CIRCULACIÓN DE LA INFORMACIÓN COMERCIAL, CREDITICIA,

FINANCIERA, DE SERVICIOS O DE TERCEROS PAISES

El artículo 5 de la Ley 1266 de 2008 establece lo siguiente:

“Circulación de información. La información personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposició n de las siguientes

suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposició n de las siguientes personas y en los siguientes términos:

a) A los titulares, a las personas debidamente autorizadas por estos y a sus causahabientes mediante el procedimiento de consulta previsto en la presente ley. b) A los usuarios de la información, dentro de los parámetros de la presente ley. c) A cualquier autoridad judicial, previa orden judicial. d) A las entidades públicas del poder ejecutivo, cuando el conocimiento de dicha información corresponda directamente al cumplimiento de alguna de sus funciones. e) A los órganos de control y demás dependencias de investigación disciplinaria, fiscal, o administrativa, cuando la información sea necesaria para el desarrollo de una investigación en curso. f) A otros operadores de datos, cuando se cuente con autorización del titular, o cuando sin ser necesaria la autorización del titular el banco de datos de destino tenga la misma finalidad o una finalidad que comprenda la que tiene el operador que entrega los datos. Si el receptor de la información fuere un banco de datos extranjero, la entrega sin autorización del titular sólo podrá realizarse dejando constancia escrita de la entrega de la información y previa verificación por parte del operador de que las leyes del país respectivo o el receptor otorgan garantías suficientes para la protección de los derechos del titular. g) A otras personas autorizadas por la ley”.

Por lo anterior, los operadores de información pueden suministrar la información personal de manera verbal o escrita recolectada o suministrada de conformidad con lo dispuesto en la Ley 1266 de 2008 a las siguientes personas: (i) a los

Por lo anterior, los operadores de información pueden suministrar la información personal de manera verbal o escrita recolectada o suministrada de conformidad con lo dispuesto en la Ley 1266 de 2008 a las siguientes personas: (i) a los titulares, (ii) a la s personas debidamente autorizadas por el titular; (iii) a los causahabientes del titular; (iv) a los usuarios de información; (v) a la autoridad judicial previa orden judicial; (vi) a las entidades públicas del poder ejecutivo en ejercicio de sus funciones; (vii) a los órganos de control y demás entidades de investigación disciplinaria, fiscal, o administrativamente, (viii) a otros operadores de datos cuando se cuente con autorización del titular o cuando sin ser necesaria la autorización del titular el ba nco de datos de destino tenga lamisma finalidad o una finalidad que comprenda la que tiene el operador que entrega los datos y (ix) a las personas autorizadas por la mencionada ley.

Cabe resaltar que la información que los operadores pueden suministrar es aquella referida al nacimiento, ejecución y extinción de obligaciones dinerarias, independientemente de la naturaleza del contrato que les dé origen, así como la información relativa a las demás actividades propias del sector financiero o sobre el manejo financiero o los estados financieros del titular.

Respecto a los usuarios de información, el artículo 3 de la Ley 1266 de 2008 lo define en los siguientes términos:

“d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de l a información. El usuario, en cuanto tiene acceso a

términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de l a información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el usuari o a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos”.

Al respecto, la CORTE CONSTITUCIONAL mediante Sentencia C -1011 de 2008, dispuso lo siguiente:

“(…) El precepto planteado es compatible con la Constitución, en la medida en que impone a los usuarios de la información personal el cumplimiento de los deberes y obligaciones propios de la protección del derecho al hábeas data de que es sujeto el titular del dato. Adicionalmente, debe tenerse en cuenta que de manera similar a como sucede con las fuentes de información, en el caso que el usuario transfiera datos personales a un operador, adquirirá las obligaciones que se predican de las fuentes, esto es, t anto aquellas previstas en la definición contenida en el literal b), como las señaladas en el artículo 8º del Proyecto. De este modo, la Corte advierte que la definición de usuario de la información personal confiere previsiones efectivas para garantizar el derecho al hábeas data del titular y, en especial, los principios de la administración de datos personales a los que s e ha hecho continua referencia en esta decisión. Por lo tanto, su contenido resulta exequible (…)”.

derecho al hábeas data del titular y, en especial, los principios de la administración de datos personales a los que s e ha hecho continua referencia en esta decisión. Por lo tanto, su contenido resulta exequible (…)”.

La Corte Constitucional en la Sentencia mencionada en precedencia, señaló lo siguiente:“(…) El literal b) prevé que también podrán acceder a la información personal los usuarios, conforme a los parámetros de la norma estatutaria. En lo que respecta a los datos de contenido crediticio, comercial y financiero, materia del Proyecto de Ley, su ca rácter de información semiprivada justifica su circulación y entrega a terceros, a condición que se permita al titular del dato personal el ejercicio de las facultades de conocimiento, actualización y rectificación del mismo y, de manera más general, se c umplan con los principios de administración de datos personales. De forma específica para el caso de los usuarios, la posibilidad de acceder al dato estará restringida tanto por la finalidad de acopio de la información autorizada por el titular del dato, como por el cumplimiento del principio de confidencialidad previsto en el artículo 4º de la norma estatutaria. En todo caso, la existencia de una disposición expresa que sujeta la entrega de información al usuario a los requisitos previstos en la regulación bajo estudio y, en consecuencia, le hace oponibles las garantías propias del derecho fundamental al hábeas data financiero, permite acreditar la exequibilidad del precepto.”

En consecuencia, los usuarios de la información pueden acceder a la información de contenido financiero y crediticio de actividad comercial o de servicios, por parte de las fuentes de información y deben dar cumplimiento a los deberes y responsabilidades previstos en la ley para garantizar el derecho de hábeas data

En consecuencia, los usuarios de la información pueden acceder a la información de contenido financiero y crediticio de actividad comercial o de servicios, por parte de las fuentes de información y deben dar cumplimiento a los deberes y responsabilidades previstos en la ley para garantizar el derecho de hábeas data de los titulares de la información, en especial, a los principios de la administración de datos señalados en el artículo 4 de la precitada ley así:

“Principios de la administración de datos. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen:

a) Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, f raccionados o que induzcan a error;

b) Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto;

c) Principio de circulación restringida. La administración de datos personales se sujeta a los límites que se derivan de la naturaleza de los datos, de las disposiciones de la presente ley y de los principios de la administración de datos personales especi almente de los principios de temporalidad de la información y la finalidad del banco de datos.Los datos personales, salvo la información pública, no podrán ser accesibles por Internet o por otros medios de divulgación o

administración de datos personales especi almente de los principios de temporalidad de la información y la finalidad del banco de datos.Los datos personales, salvo la información pública, no podrán ser accesibles por Internet o por otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulare s o los usuarios autorizados conforme a la presente ley;

d) Principio de temporalidad de la información. La información del titular no podrá ser suministrada a usuarios o terceros cuando deje de servir para la finalidad del banco de datos;

e) Principio de interpretación integral de derechos constitucionales. La presente ley se interpretará en el sentido de que se amparen adecuadamente los derechos constitucionales, como son el hábeas data, el derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la información. Los derechos de los titulares se interpretarán en armonía y en un plano de equilibrio con el derecho a la información previsto en el artículo 20 de la Constitución y con los demás derechos constitucionales aplicables;

f) Principio de seguridad. La información que conforma los registros individuales constitutivos de los bancos de datos a que se refiere la ley, así como la resultante de las consultas que de ella hagan sus usuarios, se deberá manejar con las medidas técnic as que sean necesarias para garantizar la seguridad de los registros evitando su adulteración, pérdida, consulta o uso no autorizado;

g) Principio de confidencialidad. Todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan la naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada

g) Principio de confidencialidad. Todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan la naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende la administración de datos, pudiendo sólo realizar suministro o comunicació n de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.”

Por su parte, los titulares de información tienen los siguientes derechos frente a los usuarios, de conformidad con el numeral 3 del artículo 6 de la mencionada ley:

“(…) Derechos de los titulares de la información. Los titulares tendrán los siguientes derechos: (…)

3. Frente a los usuarios:

3.1 Solicitar información sobre la utilización que el usuario le está dando a la información, cuando dicha información no hubiere sido suministrada por el operador.3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo previsto en la presente ley.

Parágrafo. Los titulares de información financiera y crediticia tendrán adicionalmente los siguientes derechos: Podrán acudir ante la autoridad de vigilancia para presentar quejas contra las fuentes, operadores o usuar