SIC - Resolución 469 de 2025

Página 1 de 23

RESOLUCIÓN NÚMERO 496 DE 2025

(14 de enero de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 22-45016

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad MAREAUTO COLOMBIA S.A.S., identificada con NIT. 900.265.584-1, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 7587 del 6 de marzo de 2024, por medio de la cual se formuló cargo único a la sociedad en mención, por la presunta infracción a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.

SEGUNDO: Que, la Resolución No. 7587 del 6 de marzo de 2024 le fue notificada a la investigada mediante aviso No. 2795 del 18 de marzo de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-45016-34 del 20 de marzo de

notificada a la investigada mediante aviso No. 2795 del 18 de marzo de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-45016-34 del 20 de marzo de 2024, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

Igualmente, se comunicó de dicha actuación al denunciante.

TERCERO: Que, la sociedad MAREAUTO COLOMBIA S.A.S. aportó escrito de descargos, junto con anexos, bajo radicado 22-45016-35 del 5 de abril de 2024.

En su escrito, la sociedad investigada argumenta, entre otras cosas, lo siguiente:

En primer lugar, presenta una síntesis de la actividad comercial que desarrolla la compañía.

A continuación, realiza unas aseveraciones en relación al cargo único formulado, así:

“El señor (…) suscribió el 22 de enero de 2022 con MAREAUTO COLOMBIA S.A.S. el contrato de alquiler de vehículo No. (…) en la ciudad de Cartagena y que tuvo por objeto el alquiler del vehículo de placa (…).

En consideración del contrato de alquiler de vehículo, MAREAUTO COLOMBIA S.A.S. hizo entrega del vehículo de placa (…) al señor (…) el día 22 de enero de 2022.

El vehículo de placa (…) fue devuelto por el señor (…) en la misma Agencia de MAREAUTO COLOMBIA S.A.S. de la ciudad de Cartagena.

día 22 de enero de 2022.

El vehículo de placa (…) fue devuelto por el señor (…) en la misma Agencia de MAREAUTO COLOMBIA S.A.S. de la ciudad de Cartagena.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 496 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 23

En los términos y condiciones del contrato de alquiler de vehículos, que se anexan, en el numeral 12.3 “Condiciones complementarias” se dice sobre el tratamiento de datos personales: “USO Y MANEJO DE DATOS PERSONALES. - Con la firma del presente contrato, dando cumplimiento a lo establecido en la Ley 1581 de 2012 y el Decreto 1377 de 2013 EL CLIENTE AUTORIZA a MAREAUTO la recolección y manejo de sus datos personales, los cuales tendrán como fin el almacenamiento, uso, circulación, transmisión, transferencia , nacional o internacional directamente o a través de sus terceros aliados, con finalidad comercial y para la correcta prestación de los servicios. No obstante, lo anterior, EL CLIENTE podrá solicitar a MAREAUTO la actualización, rectificación o supresión de sus datos personales del registro en bases de datos de MAREAUTO enviando un correo electrónico a asistenciaaclientes@mareauto.com.co”.

En el contrato de alquiler de vehículo No. (…) firmado por el señor (…) se indicó sobre la autorización para el tratamiento de datos personales “Autorización manejo de datos personales: Con la firma del presente documento autorizo el manejo y tratamiento de mis datos personales en los términos descritos en las condiciones gen erales del presente contrato”.

indicó sobre la autorización para el tratamiento de datos personales “Autorización manejo de datos personales: Con la firma del presente documento autorizo el manejo y tratamiento de mis datos personales en los términos descritos en las condiciones gen erales del presente contrato”.

El artículo 5 de la Ley 1266 de 2008 explica sobre la circulación de la información: “La información personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del banco de datos que administra, podrá ser entregada de manera verbal, escrita, o puesta a disposición de las siguientes personas y en los siguientes términos:

a) A los titulares, a las personas debidamente autorizadas por estos y a sus causahabientes mediante el procedimiento de consulta previsto en la presente ley.

b) A los usuarios de la información, dentro de los parámetros de la presente ley…”

De acuerdo con el literal d) del artículo 3 de la Ley 1266 de 2008 se considera que la sociedad MAREAUTO COLOMBIA S.A.S. es usuario de la información por cuanto se trata de una persona jurídica que conforme la autorización otorgada por el titular fue facul tado para acceder a la información personal en las bases de datos del operador o fuente: “d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de un o o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso

El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. En el caso en que el usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos”.

Al incluirse en el referido contrato de alquiler que la dirección del cliente correspondía a la (…), CO, al efectuarse la consulta por MAREAUTO COLOMBIA S.A.S. se encontró que efectivamente dicha dirección coincidía en Reconocer+ como se evidencia en la siguiente imagen:

(…)

Así mismo, se confirmó que el número celular del señor (…) corresponde efectivamente al abonado (…) que fue reportado en el contrato de alquiler de vehículo No. (…):

(…)

Es importante señalar al Despacho que MAREAUTO COLOMBIA S.A.S. no efectuó reporte a las centrales de riesgo del titular (…), por cuanto la consulta efectuada correspondía a la verificación de datos personales del cliente con respecto al contrato de alquiler de vehículo No. (…) del 22 de enero de 2022, como se expuso en la respuesta al requerimiento efectuado por la entidad y de conformidad con lo dispuesto en el artículoRESOLUCIÓN NÚMERO 496 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 23

15 de la ley 1266 de 2008: “Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza”.

“Por la cual se impone una sanción administrativa”

Página 3 de 23

15 de la ley 1266 de 2008: “Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza”.

En el contrato de alquiler de vehículo No. (…) firmado por el señor (…) se indicó igualmente que el titular suministraba a MAREAUTO COLOMBIA S.A.S. y como garantía del préstamo del vehículo de placa (…) la tarjeta de crédito terminada en No. (…), de conformidad con lo dispuesto en las condiciones generales del contrato de alquiler numerales 4.2., subnumerales (4.2.1, 4.2.2, 4.2.3. 4.2.12) numerales 5.10 y 12.1 y 12.7 del citado contrato.

Como se señaló líneas atrás, no hubo lugar a solicitar autorización al señor (…) para efectuar el reporte negativo ante las centrales de riesgo, toda vez que como se indicó en la respuesta al requerimiento, los cobros realizados bajo la modalidad de renta diario (la escogida por el señor (…)) se hacen al momento de La suscripción del contrato de alquiler del vehículo y lo que buscó la validación realizada por MAREAUTO COLOMBIA S.A.S. fue la de confirmar los datos personales suministrados por el cliente como son minimizar riesgos de suplantación (teniendo en cuenta que debe existir una anotación en la información del titular en el eventual caso de existencia de suplantación) y a que el cliente suministraba la información de una tarjeta de crédito activa a nombre del titular, verificar la conformidad con la información entregada por parte del cliente tal y

caso de existencia de suplantación) y a que el cliente suministraba la información de una tarjeta de crédito activa a nombre del titular, verificar la conformidad con la información entregada por parte del cliente tal y como se mencionó anteriormente sobre su dirección, número celular, correo electrónico personal así como la validación en listas restrictivas por lavado de activos y/o financiación del terrorismo.

El literal b) del artículo 4 de la Ley 1266 de 2008 dispone: “b) Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto”

En sentencia C-1011 de 2008 se explicó por la Corte Constitucional: “La segunda condición que se infiere del análisis sistemático de los preceptos analizados, está relacionada con la vigencia del principio de libertad en la administración de datos personales que, como se ha insistido en esta decisión, se concreta en la autorización que realiza el titular ante la fuente para la incorporación de sus datos personales en archivos y bancos de datos administrados por los operadores de información. A este respecto, debe recabarse en que la autorización previa, libre, específica y suficiente es un atributo que debe concurrir siempre (en ausencia de mandato judicial), en función de la efectividad de la garantía de autodeterminación de la persona. Además, debe reiterarse que el otorgamiento de consentimiento por parte del titular no exime al sistema de administración del dato financiero de asegurar el cumplimiento de los demás p rincipios,

de la persona. Además, debe reiterarse que el otorgamiento de consentimiento por parte del titular no exime al sistema de administración del dato financiero de asegurar el cumplimiento de los demás p rincipios, como el de finalidad legítima, compatible con aquella para la cual los datos han sido recogidos.

Igualmente, debe resaltarse que si bien la norma permite que el consentimiento se preste “en forma general”, ello debe interpretarse de forma compatible con el principio de libertad, razón por la que tal modalidad de autorización deberá, en todo caso, mani festar la finalidad expresa respecto de la cual se autoriza el acceso a los datos personales por parte del usuario. Así, dicha generalidad se predicará de las distintas finalidades autorizadas, sin que signifique la legitimidad de una cláusula abierta, que no identifique claramente los propósitos para el citado acceso por los usuarios. En efecto, si bien la norma hace referencia a “cualquier otra finalidad”, en todo caso exige que “se haya obtenido autorización por parte del titular de la información.”…”

En sentencia T -360 de 20223 la Corte Constitucional dijo: “Acerca del principio de finalidad, la Ley 1266 de 2008 señala que la administración de los datos personales debe obedecer a una finalidad compatible con la Constitución. En este sentido, la jurispr udencia ha advertido de manera reiterada que para satisfacer este principio: (i) los datos deben ser procesados con un propósito específico y explícito; (ii) la finalidad de la recolección debe ser legítima de acuerdo con la Constitución y (iii) la recopilación de los datos debe tener un fin exclusivo, de tal manera que

procesados con un propósito específico y explícito; (ii) la finalidad de la recolección debe ser legítima de acuerdo con la Constitución y (iii) la recopilación de los datos debe tener un fin exclusivo, de tal manera que se encuentra prohibido “el uso o divulgación de datos para una finalidadRESOLUCIÓN NÚMERO 496 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 23

diferente a la inicialmente prevista”. Asimismo, la Corte ha establecido que la recolección de datos debe estar acorde con el principio de utilidad. Ello quiere decir que el acopio, procesamiento e información de los datos personales debe tener una función determinada. De allí que “quede proscrita la divulgación de datos que, al carecer de función, no obedezca a una utilidad clara y suficientemente determinable”.

En la misma sentencia se explicó: “Ahora bien, los principios de veracidad, integridad, finalidad y utilidad se encuentran reflejados en las obligaciones que le impone la Ley 1266 de 2008 a la fuente, a los operadores de la información y a los usuarios. De esta suerte, la referida normativa prevé que el titular puede exigirle a la fuente: a) la rectificación de los datos contenida en la base e informarlo a los operadores; b) solicitar prueba de la autorización, cuando esta sea necesaria; c) que la informaci ón que suministre a los operadores de los bancos de datos sea “veraz, completa, exacta, actualizada y comprobable”. Además, la fuente tiene como obligaciones correlativas: a) reportar periódicamente las novedades de los datos que haya suministrado previamente al operador; b) adoptar las

exacta, actualizada y comprobable”. Además, la fuente tiene como obligaciones correlativas: a) reportar periódicamente las novedades de los datos que haya suministrado previamente al operador; b) adoptar las medidas pertinentes para actualizar la información; c) rectificar la información incorrecta e informarla a los operadores; d) solicitar cuando sea necesario el consentimiento del titular y certificarlo semestralmente, e) cuando se presente solicitud de rectificación informar al operador que determinada información se encuentra en discusión, para que se incluya una leyenda en este sentido, así como f) diseñar e implementar mecanismos eficaces para reportar la información al operador.

Igualmente, el operador de la información debe, de acuerdo con el artículo 7º de la Ley 1266 de 2008: a) solicitarle a la fuente que certifique la existencia de la autorización otorgada por el titular para el tratamiento del dato; b) asegurar los registros para impedir su alteración, pérdida, alteración o uso no autorizado; c) actualizar el registro de la información cada vez que lo reporten las fuentes; d) tramitar las peticiones, consultas y reclamos formulados por el titular de la información; d) indicar cuando haya lugar a ello que determinada información se encuentra en discusión por parte de su titular cuando no haya finalizado el trámite…”

Es relevante informar al Despacho que MAREAUTO COLOMBIA S.A.S. implementó a partir del mes de marzo de 2022 el formato de declaraciones y autorizaciones que el cliente debe suscribir en el evento en que opte por alquilar o rentar el vehículo usado con la i nvestigada como se desprende del formato que se anexa; en este formato, el Despacho encontrará la autorización otorgada a MAREAUTO COLOMBIA

en que opte por alquilar o rentar el vehículo usado con la i nvestigada como se desprende del formato que se anexa; en este formato, el Despacho encontrará la autorización otorgada a MAREAUTO COLOMBIA S.A.S. para la consulta de la información del titular en centrales de riesgo.”

La sociedad investigada finaliza su escrito con la siguiente petición:

“En virtud de lo anteriormente expuesto, se le solicita muy respetuosamente a la DIRECCIÓN DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES se abstenga de imponer sanción de carácter administrativo a MAREAUTO COLOMBIA S.A.S. y en la eventual sanción que considere el Despacho, se le solicita muy respetuosamente que se tenga en cuenta la difícil situación económica que se encuentra solventando el sector turístico, de servicios de hotelería y hospedaje, toda vez que la actividad económica de MAREAUTO COLOMBIA S.A.S. en el alquiler de vehículos se encuentra estrechamente relacionado con dichos sectores y que en la fecha no ha obtenido las utilidades anheladas, pe se a los grandes esfuerzos de los diversos sectores por mantenerse activos y generar nuevas y mejores fuentes de empleo.”

CUARTO: Que, mediante la Resolución No. 81507 del 24 de diciembre de 2024, se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión.

QUINTO: Que, la Resolución No. 81507 del 24 de diciembre de 2024 le fue comunicada a la sociedad investigada el 24 de diciembre de 2024 , de

presentara alegatos de conclusión.

QUINTO: Que, la Resolución No. 81507 del 24 de diciembre de 2024 le fue comunicada a la sociedad investigada el 24 de diciembre de 2024 , de conformidad con la certificación expedida por la Secretaría General de estaRESOLUCIÓN NÚMERO 496 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 23

Superintendencia, radicada bajo el número 22-45016-43 del 13 de enero de 2025.

SEXTO: Que, la sociedad MAREAUTO COLOMBIA S.A.S. presentó escrito de alegatos de conclusión por medio de comunicación con radicado 22-45016-42 del del 7 de enero de 2025, en el que reiteró lo manifestado en el escrito de descargos e hizo énfasis en las respuestas otorgadas por los Operadores de información en referencia a la consulta realizada por la sociedad investigada a la historia de crédito del Titular en el mes de enero de 2022.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio frente a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

OCTAVO: Análisis del caso

8.1. Adecuación típica

La Corte Constitucional mediante sentencia C -1011 de 2008, estableció lo

de administración de datos personales que regula la ley en comento.

OCTAVO: Análisis del caso

8.1. Adecuación típica

La Corte Constitucional mediante sentencia C -1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…)

De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber:

(i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción;

Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

(…)”1.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

1. El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de la información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio.

1 Corte Constitucional. Sentencia C -1011 de 2008. Octubre 16 de 2008. Expediente PE -029. M.P. Jaime Córdoba Triviño.RESOLUCIÓN NÚMERO 496 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 23

1. El incumplimiento de lo señalado dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 18 de la Ley 1266 de 2008.

De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una

el artículo 15 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante y los argumentos expuestos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

8.2. Valoración probatoria y conclusiones

8.2.1. Del deber de guardar reserva sobre la información que le sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares y utilizar la información únicamente para los fines para los que le fue entregada

El artículo 9 de la Ley 1266 de 2008 establece los deberes de los usuarios de la información, preceptuando en su numeral 1 lo siguiente:

“(…)

Artículo 9. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán:

1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley.

(…)”.

El ámbito de aplicación de la Ley 1266 de 2008 se circunscribe a las bases de datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos2.

Esta clase de información ha sido clasificada por la Corte Constitucional como

datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos2.

Esta clase de información ha sido clasificada por la Corte Constitucional como semiprivada, puesto que su conocimiento y circulación son de interés para un grupo de personas o la sociedad en general; por ejemplo, para empresas que, aunque no pertenezcan al sector financiero, requieren acceder a estos datos para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente3. En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente:

“(…)

La información semiprivada es aquel dato personal o impersonal que, al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los

2 Ídem. 3 La Corte Constitucional argumentó en la sentencia C-1011 de 2008 que el tratamiento de datos de carácter comercial, crediticio y financiero se justifica por un motivo de interés público que consiste en “(…) la protección de los recursos de intermediación y, por ende, del sistema financiero en su conjunto” . Empero, esta justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos supuestos, habrá que conclui r que los datos son semiprivados porque también interesan a un grupo de personas. Ídem.RESOLUCIÓN NÚMERO 496 DE 2025

supuestos, habrá que conclui r que los datos son semiprivados porque también interesan a un grupo de personas. Ídem.RESOLUCIÓN NÚMERO 496 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 23

fines propios de sus funciones, o a través del cumplimiento de los principios de administración de datos personales. (Negrilla fuera del texto original)

(…)”.

La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de los titulares, gozan del principio de circulación restringida, lo cual indica que, si se permitiera un acceso lib re, esto derivaría, en principio, en la violación a su derecho de habeas data; es por esto que el artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación restringida y de seguridad. Así mismo, debe tenerse presente que las entidades que administran bases de datos deben igualmente garantizar que los datos de las personas únicamente sean suministrados a su legítimo titular, razón por la cual se les han impuesto una serie de deberes encaminados a dicho fin, esto es, la restricción de la libre circulación del dato personal con la implementación de las medidas técnicas necesarias para garantizar la seguridad de la información evitando su adulteración, pérdida, consulta o uso no autorizado.

Conforme a lo anterior es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos,

las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio, aun cuando dicha consulta se utilice para establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así:

“(…)

Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal. En ese orden de ideas, las finalidades previstas en los inc isos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes”. (Negrilla fuera de texto original)

“Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulac ión restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales

particular, al principio de circulac ión restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos. Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo creditico.”. (Negrilla fuera del texto original)

Aunado a lo anterior, se tiene que el artículo 15 de la Ley 1266 de 2008 señala las finalidades por las cuales los usuarios pueden acceder a la información de la siguient