SIC - Resolución 52186 de 2025

Página 1 de 22

RESOLUCIÓN NÚMERO 52186 DE 2025

(31 de julio de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 23-17807

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante comunicación presentada ante esta Superintendencia, por la señora XXXXXXXXXXXXXXXXXXXXXX, el 16 de enero de 2023, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008, por parte de la sociedad CONSTRUCTORA BOLÍVAR S.A. identificada con NIT. 860.513.493-1, en consideración a los siguientes hechos:

1.1 “(…) Cordial saludo Senores (sic) superintendencia de industria y comercio Hice la siguiente solicitud por correo electronico (sic) a Constructora bolivar, (sic) no me aceptaron la peticion (sic) y me indican unos canales de atencion: (sic) llame a la line a telefonica (sic), allí (sic) dicen que debe ser por la pagina (sic) web, pero para poder enviar la solicitud debo aceptar sus terminos (sic) que incluyen que yo quede matriculada en sus bases de datos y de sus aliados para su promocion (sic) y venta devs us (sic) productos a lo que no estoy dispuesta.

pero para poder enviar la solicitud debo aceptar sus terminos (sic) que incluyen que yo quede matriculada en sus bases de datos y de sus aliados para su promocion (sic) y venta devs us (sic) productos a lo que no estoy dispuesta. Solicito acepten y respondan mi solicitud por este medio cual fu el motivo por el cial (sic) consultaron mi perfil en datacredito como obtuvieron los datos y mi sutorizacion (sic) para ello.. (…)”

1.2 Así mismo, adjuntó foto2 de la consulta realizada por la sociedad investigada.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación:

2.1 Oficio radicado bajo número 23 -17807-5 3 del 2 de marzo de 2022 por medio del cual se solicitó a la sociedad CONSTRUCTORA BOLÍVAR S.A., que informaran lo siguiente:

“1. Indicar si cuentan con autorización por parte del/la titular antes enunciada para realizar consulta de su historia de crédito, así como para reportar información ante los Operadores de Información.

2. Informar si en el período comprendido entre el (), la sociedad consultó la historia de crédito del/la titular ante los Operadores de Información. De igual manera, sírvase: 2.1 Informar y acreditar la(s) finalidad(es) de la(s) consulta(s) realizada(s) en la historia de crédito del/la titular 2.2 En caso de tratarse de una finalidad distinta a las establecidas en el artículo 15 de la Ley 1266 de 2008, remita copia de la autorización otorgada por parte

historia de crédito del/la titular 2.2 En caso de tratarse de una finalidad distinta a las establecidas en el artículo 15 de la Ley 1266 de 2008, remita copia de la autorización otorgada por parte del Titular de la información. 3. Indicar si el/la titular ha presentado reclamación o petición ante ustedes; en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s)”.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 2 de 22

2.2 Copia de respuesta entregada por la sociedad CONSTRUCTORA BOLÍVAR S.A., por medio de radicado 23-17807-9 4 del 21 de marzo de 2023 al interior de la cual se resalta lo siguiente:

“(…) 2.1. La Compañía tiene un interés legítimo en la consulta de información financiera y crediticia en las Centrales de Riesgo

CONSTRUCTORA es una compañía especializada en el diseño, gerencia, construcción y venta de viviendas para todos los estratos sociales. Como parte de la comercialización de vivienda, se ofrecen alternativas de pago y posibilidades de adquirir créditos hipotecarios dentro del proceso de venta.

En línea con lo anterior, la fuerza comercial de CONSTRUCTORA debe realizar un proceso de validación para determinar (i) cuáles son las alternativas de pago que se ofrecen a una persona, y en consecuencia, (ii) si una persona puede adquirir un crédito hipo tecario conforme a su historia crediticia. Para estos efectos, la fuerza comercial de CONSTRUCTORA tiene acceso a los datos financieros de los

se ofrecen a una persona, y en consecuencia, (ii) si una persona puede adquirir un crédito hipo tecario conforme a su historia crediticia. Para estos efectos, la fuerza comercial de CONSTRUCTORA tiene acceso a los datos financieros de los potenciales clientes de CONSTRUCTURA, en Centrales de Riesgo como Datacrédito.

En línea con lo anterior, y en los términos de la Ley 1266 de 2008, CONSTRUCTORA actúa en calidad de usuario de la información financiera y crediticia, persiguiendo una finalidad legítima, que es verificar la posibilidad que tiene una persona de adquirir un crédito para la compra de vivienda.

Adicionalmente, informamos a esta Delegatura que CONSTRUCTORA es una organización que está comprometida con el cumplimiento del régimen de protección de datos personales, y por lo tanto, ha implementado un Programa Integral de Protección de Datos Personales (en adelante “PIPDP”) que no solo se limita a desarrollar los documentos exigidos por la Ley, sino que incluye toda una serie de previsiones, documentos, procedimientos, protocolos, herramientas y capacitaciones dirigidas a los empleados y colaboradores que, en razón a las funciones que desarrollan, tienen o pueden llegar a tener acceso a datos personales (e.g., como es el caso de la fuerza comercial). Por ejemplo, CONSTRUCTORA ha desarrollado el documento denominado “Bolívar te guía – Datacrédito (decisor)” (Anexo 2), en el que se señala que la fuerza comercial, previo a la consulta a centrales de riesgo, debe asegurarse de informar al titular, obtener la autorización para la consulta, y dejar la evidencia de esta. […] Si, mi representada si ha consultado la historia de crédito de la reclamante en perfilamiento comercial para una solicitud otorgamiento de crédito el 19 de julio

obtener la autorización para la consulta, y dejar la evidencia de esta. […] Si, mi representada si ha consultado la historia de crédito de la reclamante en perfilamiento comercial para una solicitud otorgamiento de crédito el 19 de julio de 2021 y el 11 de noviembre de 2021.

2.2. Procedimiento para el acceso y consulta de bases de datos financieras y limitaciones al personal autorizado

El acceso se otorga únicamente con la finalidad de que la fuerza comercial pueda realizar esta validación desde los computadores y dispositivos corporativos, y se obligan a resguardar y proteger las credenciales de acceso (i.e., usuario y contraseña) a dicha base de datos, impidiendo el acceso o uso no autorizado de las mismas.

Es decir, que CONSTRUCTORA otorga estas credenciales para cumplir una única finalidad, y en consecuencia, el trabajador no puede compartir o divulgar ni las credenciales de acceso, ni la información contenida en las consultas a Datacrédito, sin previa autorización de CONSTRUCTORA.

De igual forma, para el caso que nos ocupa, es relevante mencionar que CONSTRUCTORA contrató personas para su fuerza comercial, vinculadas a empresas de servicios temporales como es el caso de Listos S.A.S. Dichos trabajadores, se obligaron a cumplir con e l Reglamento Interno de Trabajo de dicha compañía, que establece, entre otros:

“Artículo 15.2. Son obligaciones especiales del trabajador de planta y en misión:

1. (…)

2. No comunicar a terceros, salvo autorización expresa, las informaciones que sean de naturaleza reservada y cuya divulgación pueda ocasionar perjuicios a la empresa, lo que no obsta para denunciar delitos comunes o violaciones del

1. (…)

2. No comunicar a terceros, salvo autorización expresa, las informaciones que sean de naturaleza reservada y cuya divulgación pueda ocasionar perjuicios a la empresa, lo que no obsta para denunciar delitos comunes o violaciones del contrato o de las normas legales de trabajo ante las autoridades competentes;RESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 3 de 22

de la misma manera los trabajadores están obligados a no utilizar, ni revelar, ni comunicar dicha información para beneficio propio o de terceros, salvaguardando la información para el adecuado desarrollo de las actividades contratadas, manejándola siempre bajo las características de confidencialidad. (…)

Parágrafo: los usuarios y claves de acceso a red y a software solo se usarán de manera exclusiva por cada trabajador, siendo intransferible y solo para fines laborales.”

De igual forma, en el artículo 15.3. se establece que el trabajador debe realizar el trabajo siguiendo los procedimientos, planes, instructivos, manuales de procedimiento, descripción del cargo, obligaciones y deberes generales o particulares, propios de l as labores o funciones desarrolladas a la empresa usuaria (e.g., CONSTRUCTORA). Finalmente, el artículo 16.2. establece que el trabajador tiene prohibido revelar secretos o datos reservados o información confidencial del empleador.

Por lo anterior, el personal debe respetar las limitaciones contractuales y organizacionales con el fin de proteger las credenciales de acceso, y la información contenida en las consultas a Datacrédito (…)”.

confidencial del empleador.

Por lo anterior, el personal debe respetar las limitaciones contractuales y organizacionales con el fin de proteger las credenciales de acceso, y la información contenida en las consultas a Datacrédito (…)”.

2.3 Copia del Oficio mediante radicado 23-17807-7 5 del 3 de marzo de 2023 requiriendo al Operador de la información EXPERIAN COLOMBIA S.A.

2.4 Copia de respuesta entregada por la sociedad EXPERIAN COLOMBIA S.A., por medio de radicado 23-17807-12 6 del 28 de marzo de 2023 al interior del cual se resalta:

“(…) De manera atenta, damos respuesta al requerimiento de la referencia recibido en Experian Colombia S.A., el día 06 de marzo de 2023, en el cual esa Superintendencia solicitó informar si la sociedad CONSTRUCTORA BOLIVAR BOGOTA S A PERO PODRA GIRAR TAMBIEN COMO CONSTRUCTORA identificada con NIT. 860513493, realizo consultas al historial crediticio del Titular(…). Sobre el particular, nos permitimos informar que, la mencionada sociedad consulto el historial crediticio del titular en una (1) oportunidad, el día 24 de Octubre de 2022, bajo la huella de consulta CONSTRUCTORA BOLIVAR S.A. (…)”

TERCERO: Que, con base en los hechos anotados y de la información recaudada en desarrollo de la etapa de averiguación preliminar, este Despacho decidió iniciar una investigación administrativa y formular cargos en contra de la sociedad CONSTRUCTORA BOLÍVAR S.A., identificada con NIT. 860.513.493- -1, mediante la Resolución N.º 27344 del 27 de mayo de 2024, por la presunta

iniciar una investigación administrativa y formular cargos en contra de la sociedad CONSTRUCTORA BOLÍVAR S.A., identificada con NIT. 860.513.493- -1, mediante la Resolución N.º 27344 del 27 de mayo de 2024, por la presunta infracción a lo dispuesto en el numeral 1 del artículo 9 de la ley 1266 de 2008 en concordancia con el artículo 15 de la misma ley.

CUARTO: Que, la Resolución N.º 27344 del 27 de mayo de 2024 le fue notificada a la investigada mediante aviso N.º. 9348 del 6 de junio de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-17807-20 del 5 de junio de 2024, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

QUINTO: Que, mediante escrito radicado bajo el número 23-17807- -00021 del día 27 de junio de 2014, a través de su representante legal, la investigada dio respuesta a la formulación de cargos informando lo siguiente:

5.1 Que el 24 de octubre de 2022, la funcionaria XXXXXXXXXXXXXXX XXXXXXX, quien trabajó para CONSTRUCTORA BOLÍVAR S.A. a través de contrato con la Agencia Temporal de empleo LISTOS S.A.S., consultó de manera unilateral y sin contar con consentimiento alguno, los datos de información financiera, crediticia y comercial de la señora XXXXXXXXX XXXXXXXXXXXX ante el operador de información Experian Colombia

de contrato con la Agencia Temporal de empleo LISTOS S.A.S., consultó de manera unilateral y sin contar con consentimiento alguno, los datos de información financiera, crediticia y comercial de la señora XXXXXXXXX XXXXXXXXXXXX ante el operador de información Experian Colombia S.A., (Datacrédito).RESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 4 de 22

5.2 Que una vez la Titular puso en conocimiento que se realizó dicha consulta sin su autorización, se procedió a realizar la respectiva investigación con el fin de determinar las razones de la consulta.

5.3 Que la empresa proveedora de los servicios temporales de empleo, LISTOS S.A.S, citó a descargos a la funcionaria que realizó la consulta y se logró evidenciar una serie de contradicciones en sus declaraciones, situación que llevó a concluir la vulneración del contrato firmado y el reglamento interno de la Compañía.

5.4 Que por lo anterior, la sociedad LISTOS S.A.S., el día 3 de febrero de 2023 determinó dar por terminado el contrato con la funcionaria con justa causa y de forma unilateral, situación que le fue informada a la Titular.

5.5 Que CONSTRUCTORA BOLÍVAR S.A., realiza consultas de información comercial y crediticia previa autorización del Titular, con el fin de identificar a sus potenciales clientes de acuerdo con las finalidades que dispone la Ley 1266 de 2008 en su artículo 15.

5.6 Que el proceso de consulta de bases de datos se rige por la Política de Operación de ventas que tiene la sociedad, por lo cual, los clientes deben

dispone la Ley 1266 de 2008 en su artículo 15.

5.6 Que el proceso de consulta de bases de datos se rige por la Política de Operación de ventas que tiene la sociedad, por lo cual, los clientes deben registrarse y firmar el “habeas data” donde se encuentra la autorización previa y expresa para la consulta y reporte ante las centrales de riesgo. Adicionalmente, “en los casos en que se haya realizado una consulta previa del posible cliente hace más de seis meses, el funcionario encargado deberá obtener nuevamente la autorización para la consulta. Asimismo, en aplicación de los principios de finalidad, necesidad y razonabilidad el numeral 2.1.5 prevé que el equipo de ventas realizará consulta en Datacrédito/Experian solo para negocios que ingresen sin crédito aprobado, limitando así los casos en que se debe r ealizar la consulta y entendiendo que esta se limita a los casos en que los clientes expresen un interés en conocer sus posibilidades de pago y acceso al crédito”.1

5.7 Que CONSTRUCTORA BOLÍVAR S.A.., dispuso a sus colaboradores propios y vinculados, a través de la agencia de servicios temporales la plataforma “Bolívar Te Guía”, la cual está diseñada para guiar el proceso de separación de inmuebles y consulta ante centrales de riesgo de los titulares.

5.8 Que asegura que a la funcionaria de la sociedad LISTOS S.A.S., se le suministró información oportuna y suficiente frente al uso y forma en que se debía utilizar la herramienta de consulta a centrales de riesgo, igualmente, afirma que se la capacitó sobre las políticas de confidencialidad y de adecuado tratamiento de datos personales, situación que fue reconocida en la audiencia realizada a la señora XXXXXXXXXX

se debía utilizar la herramienta de consulta a centrales de riesgo, igualmente, afirma que se la capacitó sobre las políticas de confidencialidad y de adecuado tratamiento de datos personales, situación que fue reconocida en la audiencia realizada a la señora XXXXXXXXXX

XXXXXXXXXXXXXX.

5.9 Que la sociedad CONSTRUCTORA BOLÍVAR S.A. estableció el Programa Integral de Gestión de Datos Personales (PIGDP) “a través del cual se implementa y da cumplimiento a la normativa de Protección de Datos Personales y demás normas concordantes, adoptando para este fin, políticas, manuales, instructivos, buenas prácticas, entrenamiento y otras medidas que permitan la est ructuración y coordinación de las diferentes dependencias en consideración al tratamiento de datos personales como parte de sus procesos”.2

1 Radicado 23-17807 Consecutivo 21 Página 2 folio 7 2 Radicado 23-17807 Consecutivo 21 Página 2 folio 17RESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 5 de 22

5.10 Que después del acontecimiento de los hechos que fueron objeto de denuncia se realizaron algunos refuerzos dirigidos a sus trabajadores con el fin de prevenir la ocurrencia de eventos similares tales como:

5.10.1 Se revisó el proceso de consulta a centrales de riesgo, y el de estudio de clientes interesados en adquirir inmueble con financiación y se redujo el número de colaboradores facultados para conocer la información financiera y crediticia de los clientes en Datacrédito, con el fin de poder tener un control más exhaustivo sobre la gestión que estos desarrollan.

redujo el número de colaboradores facultados para conocer la información financiera y crediticia de los clientes en Datacrédito, con el fin de poder tener un control más exhaustivo sobre la gestión que estos desarrollan.

5.10.2 Se revisó el proceso comercial de venta de inmuebles y se decidió - a partir del 28 de febrero de 2023eliminar la consulta ante centrales para el segmento VIS, preservando la consulta solamente para Proyectos NO VIS.

5.10.3 El 16 de 2023 se llevó a cabo una jornada de capacitación impartida por la funcionaria del área de Ventas, con el fin de enfatizar los requisitos establecidos para el uso de la herramienta de consulta, sus riesgos y las consecuencias de no seguir los procedimientos.

5.11 Que por lo anterior, solicitan se archive la presente investigación, toda vez que la sociedad CONSTRUCTORA BOLÍVAR S.A., adoptó los procedimientos y medidas suficientes para cumplir con los deberes establecidos.

SEXTO: Que, a través de la Resolución N.º 43210 del 31 de julio de 2024, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente, radicado bajo el número 23-17807 y corrió traslado a la investigada para que presentara alegatos de conclusión, en caso de que la misma lo considerara pertinente.

SÉPTIMO: Que, la Resolución N.º 43210 del 31 de julio de 2024 le fue comunicada a la sociedad investigada el 31 de julio de 2024, de conformidad con la certificación del 2 de agosto de 2024, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-1780727.

comunicada a la sociedad investigada el 31 de julio de 2024, de conformidad con la certificación del 2 de agosto de 2024, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-1780727.

OCTAVO: Que, dentro del plazo otorgado, la sociedad investigada mediante comunicado del 23 -17807-0028-0002 presentó alegatos de conclusión reiterando lo señalado en su escrito de descargos.

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio frente a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

DÉCIMO: ADECUACIÓN TÍPICA

La Corte Constitucional en Sentencia C -1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio:

“(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber:

(i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la

precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la ley;RESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 6 de 22

(iii) Que exista correlación entre la conducta y la sanción;

Sin perjuicio de lo anterior, se reitera que las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica.

En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cual es la conducta ordenada o prohibida o cual es la sanción especifica aplicable. (…)”.3

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 9 de la Ley 1266 de 2008 señala los deberes que le asisten a los Usuarios de información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio. (ii) El incumplimiento de lo señalado dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. (iii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la

sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. (iii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el numeral 1 del artícul o 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 ibídem.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente.

10.1 Valoración probatoria y conclusiones

10.1.1 Respecto del deber de guardar reserva sobre la información que le sea suministrada por las fuentes y utilizar la información únicamente para los fines para los que le fue entregada.

El artículo 9 de la Ley 1266 de 2008 establece los deberes de los usuarios de la información, preceptuando en su numeral 1 lo siguiente:

“(…)

Artículo 9. Deberes de los usuarios . Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán:

1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley. (…)”

operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley. (…)”

El ámbito de aplicación de la Ley 1266 de 2008 se circunscribe a las bases de datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos.4

Esta clase de información ha sido clasificada por la Corte Constitucional como semiprivada, puesto que su conocimiento y circulación son de interés para un grupo de personas o la sociedad en general; por ejemplo, para empresas que,

3 Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. F.J:3.6.2 4 IdemRESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 7 de 22

aunque no pertenezcan al sector financiero, requieren acceder a estos datos para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente5. En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente:

“(…)

La información semiprivada es aquel dato personal o impersonal que, al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los fines propios de sus

pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los fines propios de sus funciones, o a través del cumplimiento de los principios de administración de datos personales. (Negrilla fuera del texto original)

(…)”

La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de los titulares, gozan del principio de circulación restringida, lo cual indica que, si se permitiera un acceso libre, esto derivaría, en principio, en la violación a su derecho de habeas data; es por esto que el artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación restringida y de seguridad. Así mismo, debe tenerse presente que las entidades que administran bases de datos deben igualmente garantizar que los datos de las personas únicamente sean suministrados a su legítimo titular, razón por la cual se les han impuesto una serie de deberes encaminados a dicho fin, esto es, la restricción de la libre circulación del dato personal con la implementación de las medidas técnicas necesarias para garantizar la seguridad de la información evitando su adulteración, pérdida, consulta o uso no autorizado.

Conforme a lo anterior es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios

Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio, aun cuando dicha consulta se utilice para establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así:

“(…)

Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal. En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes”. (Negrilla fuera de texto original)

5 La Corte Constitucional argumentó en la sentencia C-1011 de 2008 que el tratamiento de datos de carácter comercial, crediticio y financiero se justifica por un motivo de interés público que consiste en “(…) la protección de los recursos de intermediación y, por ende, del sistema financiero en su conjunto”. Empero, esta justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos supuestos, habrá que concluir que los datos son

que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos supuestos, habrá que concluir que los datos son semiprivados porque también interesan a un grupo de personas. ÍdemRESOLUCIÓN NÚMERO 52186 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 8 de 22

“Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulac ión restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos. Este último aspecto cobra una especial importan