SIC - Concepto Jurídico 5998 de 2025

Bogotá D .C., agosto de 2025

A su n to: R adicación: 25-295834

Trám ite: 113

Actuación: 440

Folios: 18

Reciba un cordial saludo:

D e conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . O B JETO D E LA C O N S U LTA

M ediante el radicado de la referencia nos plantea una serie de interrogantes respecto de la actividad y los deberes de los operadores de inform ación en el m arco de la Ley 1266 de 2008. C onform e lo anterior, y una vez explicadas las facultades de esta entidad en m ateria de protección de datos personales, se dará respuesta a cada uno de estos.

2 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar en prim er lugar que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter

S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:

Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no.En ese orden de ideas, esta Entidad no está facultada para pronunciarse sobre aspectos específicos de una consulta o brindar la solución a una controversia que sea vinculante para el solicitante o que afecte a terceros. En consecuencia, mediante las respuestas a las solicitudes que bajo el derecho de petición en su modalidad de consulta se presenten, la Superintendencia únicamente suministra la información y los elementos conceptuales necesarios para que el peticionario halle una solución a su inquietud.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.

a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.

4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

La Oficina Asesora Jurídica tiene competencia absolver consultas en el marco de las competencias asignadas a la SUPERINTENDENCIA DE INDUSTRIA YCOMERCIO. En consecuencia, se responderá a continuación su petición en el marco del régimen de protección de datos personales, en particular de la Ley 1266 de 2008.

Frente a las preguntas:

" (i) ¿El puntaje crediticio (score) custodiado por los operadores de información constituye un dato personal?

(ii) ¿El consolidado de deudas de una persona, custodiado por los operadores de información, se considera un dato personal?

(iii) ¿El historial de crédito de una persona, custodiado por los operadores de información, se considera un dato personal? “

Se responde: En los literales e), f), g) y h) del artículo 3 de la Ley 1266 de 2008 se definen el dato personal y sus posibles clasificaciones en los siguientes términos: “e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley.

Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos

Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular .” (subrayado y negrilla fuera de texto original)De esta manera, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su recolección, tratamiento y circulación.

que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su recolección, tratamiento y circulación. Ahora bien, conforme lo señalado previamente los datos personales pueden ser clasificados como públicos, privados o semiprivados según la calificación que de ellos haga la Constitución o la Ley (dato público) y según la naturaleza íntima, reservada y pública que tengan o no tengan (semiprivado/privado)

Es importante señalar que, aunque un dato se genere como resultado de un análisis de información, si este se vincula a una persona natural identificada o identificable y tiene la capacidad de incidir en sus derechos y deberes, especialmente en su acceso al crédito y a servicios financieros, se considera como dato personal.

Frente a la pregunta:

“(iv) ¿Por cuánto tiempo están obligados los operadores de información a conservar los datos personales que reposan en sus bases de datos?”

Se responde:

De conformidad con lo establecido por la Ley 2157 de 2021, la conservación de los datos personales en las bases de datos de los operadores de información se rige por las siguientes reglas:

Información de carácter positivo:

La información de carácter positivo (cumplimiento de obligaciones, buen comportamiento crediticio, etc.) permanece de manera indefinida en los bancos de datos de los operadores de información. (Artículo 13, Ley 1266 de 2008, modificado por la Ley 2157 de 2021).

Información de carácter negativo:

La permanencia de la información negativa está sujeta a las reglas establecidas

2008, modificado por la Ley 2157 de 2021).

Información de carácter negativo:

La permanencia de la información negativa está sujeta a las reglas establecidas en el Artículo 13 de la Ley 1266 de 2008, modificado por la Ley 2157 de 2021:

Mora inferior a dos (2) años: El término de permanencia de la información negativa no podrá exceder el doble del tiempo de la mora, contado a partir dela fecha en que sean pagadas las cuotas vencidas o se extinga la obligación. Por ejemplo, si la mora fue de 2 meses, el dato negativo podrá permanecer hasta por 4 meses.

Mora igual o superior a dos (2) años: El término de permanencia de la información negativa será de cuatro (4) años, contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea extinguida la obligación

Obligación insoluta: En los casos en que la obligación permanezca insoluta el término de caducidad de los datos negativos de un titular de información será de ocho (8) años, contados a partir de la fecha en que entre en mora la obligación. Sin embargo, las fuentes solo podrán reportar la información negativa de los titulares máximo 18 meses después de hacerse exigible la obligación.

Adicionalmente y de conformidad con el artículo 12 de la Ley 1266 de 2008, adicionado por el artículo 6 de la Ley 2157 de 2021, se establece un requisito especial para las fuentes de información1 de la siguiente manera: “Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Titulo III de la presente ley.

especial para las fuentes de información1 de la siguiente manera: “Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Titulo III de la presente ley. El reporte de informaci ón negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, solo procederá́ previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así́ como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigib ilidad. Dicha comunicación podrá́ incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la

1 Literal b, artículo 3 Ley 1266 de 2008:

“b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o de l titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y oper ador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados

de un operador, aquella tendrá la doble condición de fuente y oper ador y asumirá los deberes y responsabilidades de ambos. La fuente de la información responde por la calidad de los datos suministrados al operador la cual, en cuanto tiene acceso y suministra información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la protección de los derechos del titular de los datos;”fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la informaci ón se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y está aún no haya sido resuelta. Parágrafo. El incumplimiento de la comunicación previa al titular de la información, en los casos en que la obligaci ón o cuota ya haya sido extinguida, dará lugar al retiro inmediato del reporte negativo. En los casos en que se genere el reporte sin el cumplimiento de la comunicación y no se haya extinguido la obligaci ón o cuota, se deberá retirar el reporte y cumplir con la comunicación antes de realizarlo nuevamente.” Al respecto, la CORTE CONSTITUCIONAL mediante Sentencia C-1011 de 2008 señaló lo siguiente: “[L]a facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un t érmino de veinte d ías calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificá rsele la existencia de

negativa luego de cumplido un t érmino de veinte d ías calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificá rsele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligaci ón correspondiente, pueda transmitir el dato negat ivo al operador. Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisi ón, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5o del artículo 8o del Proyecto de Ley.” En concordancia con lo anterior, el art ículo 2.2.2.28.2., del Decreto 1074 de 2015, que incorpora el Decreto 2952 de 2010, establece lo siguiente: “Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones solo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de informaci ón envíen a sus clientes, siempre y cuando se incluya de manera clara y legible. Las fuentes de informaci ón podr án pactar con los titulares, otros mecanismos mediante los cuales se d é cumplimiento al env ío de la

envíen a sus clientes, siempre y cuando se incluya de manera clara y legible. Las fuentes de informaci ón podr án pactar con los titulares, otros mecanismos mediante los cuales se d é cumplimiento al env ío de la comunicación en mención, los cuales podr án consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente.En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la informaci ón, se entenderá́ cumplida con la comunicación correspondiente a la mora inicial”. (Subrayas fuera de texto original) En tal sentido, en presencia de obligaciones insolutas (no pagadas) de cualquier naturaleza por parte del titular de la información, las fuentes de información podrían realizar el reporte negativo previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así́ como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad. Como puede advertirse, l a Ley 1266 de 2008, con las modificaciones introducidas por la Ley 2157 de 2021, establece plazos claros para la conservación de la información negativa en las bases de datos financieras y comerciales, mientras que la información positiva tiene una permane ncia indefinida. El objetivo es equilibrar el acceso a la información crediticia y comercial con la protección del derecho fundamental al Habeas Data y el derecho al buen nombre.

Frente a la pregunta:

“(v) ¿Los titulares tienen derecho a solicitar explicaciones a los

comercial con la protección del derecho fundamental al Habeas Data y el derecho al buen nombre.

Frente a la pregunta:

“(v) ¿Los titulares tienen derecho a solicitar explicaciones a los operadores de información respecto a los aspectos que determinan su puntaje crediticio (score)?”

Se responde:

Para los eventos en que los titulares consideren que su información debe ser corregida, actualizada o retirada, el artículo 16 de la Ley 1266 de 2008, adicionado por el artículo 7 de la Ley 2157 de 2021, dispuso la posibilidad de efectuar consultas o reclamos de la siguiente manera:

“II. Trámite de reclamos . Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:

1. La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas. Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición.2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo.

o petición.2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información deberá mantenerse hasta q ue el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios.

3. El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresand o los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

4. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plaz o máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento

procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente

5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar un a respuesta completa al titular.

6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los té rminos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida. La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido lainformación de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente

la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido lainformación de la fuente y por todo el tiempo que tome obtener un fallo en firme. Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito.

7. De los casos de suplantación . En el caso que el titular de la información manifieste ser víctima del delito de falsedad personal contemplado en el Código Penal, y le sea exigido el pago de obligaciones como resultado de la conducta punible de la que es víctima, deberá presentar petición de corrección ante la fuente adjuntando los soportes correspondientes. La fuente una vez reciba la solicitud, deberá dentro de los diez (10) días siguientes cotejar los documentos utilizados para adquirir la obligación que se disputa, con los documentos allegados por el titular en la petición, los cuales se tendrán como prueba sumaria para probar la falsedad, la fuente, si así lo considera, deberá denunciar el delito de estafa del que haya podido ser víctima.

Con la solicitud presentada por el titular, el dato negativo, record (scorings-score) y cualquier otro dato que refleje el comportamiento del titular, deberá ser modificado por la cuente reflejando que la victima de falsedad no es quien adquirió las obliga ciones, y se incluirá una leyenda dentro del registro personal que diga – Victima de Falsedad Personal8. Silencio. Las peticiones o reclamos deberán resolverse dentro de los quince (15) días hábiles siguientes a la fecha de su recibo. Prorrogables

leyenda dentro del registro personal que diga – Victima de Falsedad Personal8. Silencio. Las peticiones o reclamos deberán resolverse dentro de los quince (15) días hábiles siguientes a la fecha de su recibo. Prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral 3, parte 11, artículo 16 de la presente ley. Si en ese lapso no se ha dado pronta resolución, se entenderá, para todos los efectos legales, que la respectiva solicitud ha sido aceptada. Si no lo hiciere, el peticionario podrá solicitar a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera de Colombia, según el caso, la imposición de las sanciones a que haya lugar conforme a la presente ley, sin perjuicio de que ellas adopten las decisiones que resulten pertinentes para hacer efectivo el derecho al habeas data de los titulares”

Conforme lo anterior, y en línea con lo establecido por el principio de veracidad2 que establece la propia Ley 1266 de 2008 , la información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

2 “ARTÍCULO 4°. Principios de la administración de datos . En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen:

a) Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y

establecen:

a) Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error (…)El trámite de reclamos establecido busca garantizar que los datos personales que reposan en los bases de datos obedezcan a “situaciones reales y ciertas, de allí que se encuentre prohibida la administración de datos falsos o erróneos ”3. De esta manera, se protege el derecho al hábeas data del titular de la información y se garantiza que los usuarios de la información recibirán información veraz, completa, precisa y actualizada.

En caso de no obtener una respuesta o cuando la respuesta no fuere satisfactoria, el titular puede acudir ante esta Superintendencia (en caso de tratarse que la fuente, operador o usuario no sea de aquellos vigilados por la Superintendencia Financiera) o ante la Superintendencia Financiera de Colombia para solicitar la respectiva corrección, actualización o eliminación de los datos, según sea el caso.

Frente a las preguntas:

(vi) Con base en el numeral 1.4 del artículo 6 de la Ley 1266 de 2008, ¿pueden los titulares solicitar a los operadores de información los registros de huellas de consulta de su perfil crediticio, incluyendo las fechas exactas en que estas ocurrieron?

(vii) Con base en el numeral 1.4 del artículo 6 de la Ley 1266 de 2008, ¿pueden los titulares solicitar la identidad de los usuarios de la información (personas naturales o jurídicas) que han consultado su perfil crediticio?

¿pueden los titulares solicitar la identidad de los usuarios de la información (personas naturales o jurídicas) que han consultado su perfil crediticio?

(viii) ¿El derecho a solicitar información sobre los usuarios autorizados para obtener información de los titulares —consagrado en el numeral 1.4 del artículo 6 de la Ley 1266 de 2008 — debe ser garantizado de forma gratuita?

Se responde:

La disposición por la cual se consulta establece en relación con los derechos de los titulares de la información lo siguiente:

“ARTÍCULO 6°. Derechos de los titulares de la información. Los titulares tendrán los siguientes derechos:

(…)

1.4 Solicitar información acerca de los usuarios autorizados para obtener información. (…)” (subrayado y negrilla fuera de texto original) De otro lado, y en relación con el suministro de información a que se encuentran obligados los operadores de información debe consultarse lo dispuesto por el

3 Corte Constitucional, C-748 de 2011.artículo 11 de la misma Ley 1266 de 2008 y el numeral 1.7 del Título V de la Circular Única SIC, que en lo relacionado con el suministro de información a los titulares de la información disponen: “ARTÍCULO 11. Requisitos especiales para los operadores . Los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países que funcionen como entes independientes a las fuentes de la información, deberán cumplir con los siguientes requisitos es peciales de funcionamiento:

2. Deberán contar con un área de servicio al titular de la información, para la atención de peticiones, consultas y reclamos.

deberán cumplir con los siguientes requisitos es peciales de funcionamiento:

2. Deberán contar con un área de servicio al titular de la información, para la atención de peticiones, consultas y reclamos.

3. Deberán contar con un sistema de seguridad y con las demás condiciones técnicas suficientes para garantizar la seguridad y actualización de los registros, evitando su adulteración, pérdida, consulta o uso no autorizado conforme lo previsto en la presente ley.”

“1.7 Peticiones, consultas y reclamos

En el procedimiento para atender las peticiones, consultas y reclamos, los operadores y las fuentes de información deberán at