SIC - Resolución 88799 de 2025

Página 1 de 16

RESOLUCIÓN NÚMERO 88799 DE 2025

(30 de octubre de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 22326240

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad MARBROC S.A.S, identificada con NIT. 901.151.285-8, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos contenidos en la queja1 interpuesta por la

denunciante:

1.1 Señaló que “ La entidad MARBROC SAS realizó consultas a mi historial crediticio el día 18 de mayo de 2022 sin mi autorización violando y el Articulo 15 de la Constitución Política que enuncia el Derecho al Habeas Data y lo contenido en el numeral 7 Item II Artículo 16 de la ley 1266 de 2008; para fines desconocidos bajo suplantación de identidad. No tengo ninguna relación con esa entidad ni tampoco la conozco o he solicitado(sic) algún tipo de servivcio(sic) de forma presencial o virtual.”

1.2 Como prueba de lo enunciado, la afectada adjunta archivo en PDF “Consulta

entidad ni tampoco la conozco o he solicitado(sic) algún tipo de servivcio(sic) de forma presencial o virtual.”

1.2 Como prueba de lo enunciado, la afectada adjunta archivo en PDF “Consulta MarbrocSAS.pdf -- Rad: 22326240 --0000000002.PDF”, el cual contiene la siguiente imagen2:

1 Expediente Virtual 22-326240 consecutivo 0 pág 1 al 3. 2 Expediente Virtual 22-326240 consecutivo 0 pág 2 Folio 1.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 2 de 16

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación:

2.1 Requerimiento de información remitido por la Coordina ción del Grupo de Trabajo de Investigaciones Administrativas a la MARBROC S.A.S, radicado bajo el número 22-326240- -5 del 31 de octubre de 2022.

2.2. Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador de información EXPERIAN COLOMBIA S.A., radicado bajo el número 22-326240- -6 del 31 de octubre de 2022.

2.3 Requerimiento de inf ormación remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador de información CIFIN S.A., radicado bajo el número 22-326240- -7 del 31 de octubre de 2022.

2.3 Requerimiento de inf ormación remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador de información CIFIN S.A., radicado bajo el número 22-326240- -7 del 31 de octubre de 2022.

2.4 Comunicación remitida por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la señora XXXXXXX XXXXXXXX XXXX XXXXXXX, radicado bajo el número 22-326240- -8 del 31 de octubre de 2022.

2.5 Respuesta al requerimiento de información entregada por el operador CIFIN en adelante TransUnion, radicada bajo el número 22-326240- -00012-0001 del 15 de noviembre de 2022.

2.6 Respuesta al requerimiento de información entregada por el operador DATACREDITO EXPERIAN, radicada bajo el número 22-326240- -00013-0001 del 17 de noviembre de 2022.

2.7 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la MARBROC S.A.S, radicado bajo el número 22-326240- -14 del 31 de marzo de 2023.

2.8 Requerimiento de información remitido por la Coordina ción del Grupo de Trabajo de Investigaciones Administrativas a la MARBROC S.A.S, radicado bajo el número 22-326240- -16 del 30 de -abril de 2024.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 11 de octubre de 2024 se inició la presente investigación

recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 11 de octubre de 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N° 61629 de 2024, por medio de la cual se formuló el cargo único a la sociedad MARBROC S.A.S, por la presunta contravención de lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.

3.1 En el mismo acto administrativo se le concedió a la sociedad investigada el término de (15) quince días hábiles para que presentara los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación.

3.2 La mencionada reso lución le fue notificada a la investigada por medio de Aviso N°. 25635 el 23 de octubre de 2024, según consta en la certificación expedida por la Secretaría General de esta Superintendencia , obrante bajo el radicado 22-326240- -25 del 24 de octubre de 2024.

CUARTO: Que, vencido el término concedido para el efecto, la sociedad investigada guardó silencio.

QUINTO Que mediante Resolución N°. 17870 del 04 de abril de 2025, esta Dirección procedió a incorporar las pruebas obrantes en el expediente:RESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 3 de 16

5.1. Queja presentada el 21 de agosto de 2022 contra la sociedad MARBROC S.A.S.

“Por la cual se impone una sanción administrativa”.

Página 3 de 16

5.1. Queja presentada el 21 de agosto de 2022 contra la sociedad MARBROC S.A.S.

5.2 Requerimiento realizado a la sociedad MARBROC S.A.S.

5.3 Requerimiento a operadores de información Experian Colombia S.A., y Cifin S.A.S.

5.4 Comunicación remitida a la Titular el 31 de octubre de 2022.44.5 Respuesta del operador Cifin S.A.S con fecha del 15 de noviembre de 2022.

5.5 Respuesta operador Experian Colombia S.A., con fecha del 17 de noviembre de 2022.

5.6 Requerimiento de información remitido a la sociedad MARBROC S.A.S. con fecha del 31 de marzo de 2023.

5.7 Requerimiento de información remitido a la sociedad MARBROC S.A.S. con fecha del 30 de abril de 2024.

5.8 Resolución N.º. 61629 del 11 de octubre del 2024.

5.9 Certificación de la notificación.

En el referido acto administrativo, le fue otorgado un término de (10) diez días hábiles a la sociedad investigada para que rindiera sus alegatos de conclusión , sin embargo, la sociedad investigada guardó silencio.

La mencionada resolución le fue comunicada a la investigada el día 04 de abril de 2025, según consta en la certificación de fecha expedida por la Secretaría General de esta Superintendencia radicada bajo el número 22-326240- -29 del 09 de abril de 2025.

de 2025, según consta en la certificación de fecha expedida por la Secretaría General de esta Superintendencia radicada bajo el número 22-326240- -29 del 09 de abril de 2025.

SEXTO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento d e datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

SEPTIMO: Análisis del caso

7.1 Adecuación típica

La Corte Constitucional mediante sentencia C -1011 de 2008 3, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y prec isa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad

se reitera que las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típicá.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es

3 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 4 de 16

preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable. (…)

Atendiendo lo señalado por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que le asisten a los usuarios de información respecto del acceso a los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hech os alegados por la reclamante, la evidente omisión de responder de parte de la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las

omisión de responder de parte de la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contempladas en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.

En ese orden de ideas, le corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante y el conjunto de pruebas allegadas al expediente.

7.2 Valoración probatoria y conclusiones

7.2.1. Respecto del deber de utilizar la información para una finalidad legítima de acuerdo con la Ley o autorizada por el respectivo titular.

El artículo 15 de la Ley 1266 de 2008 establece las finalidades para las cuales los usuarios de información pueden consultar el historial crediticio de un titular. A su turno, el literal b) del artículo 4 de la citada ley, establec e el principio de finalidad como aquel en que “la administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto”.

De otra parte, la Corte Constitucional en Sentencia C-1011 de 2008 mediante la cual analizó la constitucionalidad del pro yecto de ley de protección de datos crediticios y financieros, estableció lo siguiente:

“(…) Así, el acceso por parte de los usuarios está limitado a que la utilización

cual analizó la constitucionalidad del pro yecto de ley de protección de datos crediticios y financieros, estableció lo siguiente:

“(…) Así, el acceso por parte de los usuarios está limitado a que la utilización del dato personal esté relacionada con el propósito de la recolección de la información, que no es otro que el cálculo del riesgo crediticio, basado en el análisis del modo en que el sujeto concernido cumple con sus obligaciones financieras y comerciales. En consecuencia, otras modalidades de acceso, que no estén vinculadas con la finalidad del banco de datos, serán contrarias al principio de circulación restringida y, por lo tanto, configurarán un incumplimiento de la norma estatutaria, susceptible de sanción en los términos del artículo 18 del Proyecto de Ley.

(…)”.

Conforme lo anterior, es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Honorable Corte Constitucional, la finalidad de acceso de la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar información que les permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio al otorgar cr éditos o conceder servicios, así como para hacer estudios de mercado o estadísticas y para el adelantamiento de un trámite ante una autoridad pública o una persona privada cuando dichaRESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 5 de 16

información resulta pertinente, esto, de acuerdo con lo señalado en la Sentencia

“Por la cual se impone una sanción administrativa”.

Página 5 de 16

información resulta pertinente, esto, de acuerdo con lo señalado en la Sentencia C-1011 de 2008.

“(…) Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulación restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos. Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo crediticio”. (Subrayas fuera de texto).

Retomando el caso objeto de estudio, la denunciante expuso que, a través de la plataforma “Midatacredito” tuvo conocimiento de la consulta efectuada por la sociedad MARBROC S.A.S. a su historia crediticia, la cual fue llevada a cabo sin su consentimiento. De manera que, con el propósito de dilucidar los hechos advertidos por la titular, esta Superintendencia, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativa, en las actuaciones preliminares requirió al operador de información EXPERIAN COLOMBIA S.A.4,

advertidos por la titular, esta Superintendencia, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativa, en las actuaciones preliminares requirió al operador de información EXPERIAN COLOMBIA S.A.4, a efectos de que informara “(…) si la sociedad MARBROC S.A.S., realizó consulta(s) de la historia de crédito de la reclamante en el último año…”.

Al respecto, el operador EXPERIAN COLOMBIA S.A ., administrador de la plataforma “midatacredito” informó al Despacho que “ la mencionada sociedad consulto el historial crediticio del titular en una (1) oportunidad, el día 18 de mayo de 2022, bajo la huella de consulta MARBROC S.A.S. (…) Vale la pena precisar que, dado que la consulta se realizó dentro de los últimos 6 meses, ésta a la fecha se visualiza en el historial crediticio, de conformidad con lo previsto en el Artículo Primero, numeral I, literal D del Decreto 1727 del año 2009 5”. En virtud de lo anterior , la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, mediante comunicación radicada bajo el número 22-326240- - 14 del 31 de marzo de 2023 requirió a la sociedad investigada con el fin de que informara lo que, a continuación, se cita:

“1. Informen y acrediten la finalidad de la(s) consulta(s) realizadas(s) a la historia de crédito de la Titular XXXXXXX XXXXXXXX XXXX XXXXXXX, identificada con cédula de ciudadanía No. 1.098.615.643, en el mes de mayo del año 2022.

En caso de tratarse de una finalidad distinta a las establecidas en el artículo

identificada con cédula de ciudadanía No. 1.098.615.643, en el mes de mayo del año 2022.

En caso de tratarse de una finalidad distinta a las establecidas en el artículo 15 de la Ley 1266 de 2008, remitan copia de la autorización otorgada por parte de la Titular de la información.

2. Manifiesten si la sociedad MARBROC S.A.S. tiene o ha tenido un vínculo contractual o comercial con la Titular XXXXXXX XXXXXXXX XXXX XXXXXXX. De ser así, remitan copia del contrato o documento que acredita dicha relación.

3. Informen si la Titular XXXXXXX XXXXXXXXX XXXX XXXXXXX , presentó peticiones durante el año 2022 relacionadas con los hechos objeto de denuncia; así mismo, indiquen cuál fue el trámite que surtieron estas al interior de la sociedad, aportando las respuestas emitidas y el certificado de envío de estas”.

4 Actuación radicada bajo el número 22-326240- -6 del 31 de octubre de 2022. 5 Actuación radicada bajo el número 22-326240- -00013-0001 del 17 de noviembre de 2022.RESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 6 de 16

Sobre el particular, se observa en el expediente que la sociedad MARBROC S.A.S. no atendió los citados requerimientos de información6 y en el curso de la investigación administrativa sancionatoria, la sociedad MARBROC S.A.S. solo se limitó a guardar silencio.

Visto el material probatorio, se encuentra lo siguiente:

investigación administrativa sancionatoria, la sociedad MARBROC S.A.S. solo se limitó a guardar silencio.

Visto el material probatorio, se encuentra lo siguiente:

En el ordenamiento jurídico colombiano, la Ley 1266 de 2008 es muy clara al mencionar que el Titular, para obtener la garantía de su derecho de habeas data, tiene derecho a acudir ante la autoridad de vigilancia para presentar quejas contra los usuarios po r violación de las normas sobre administración de la información financiera y de exigir la prueba de la autorización en los eventos en los que lo señala la norma. Por ello, la investigada tiene la carga de proceder de conformidad.

Así las cosas, conviene reiterar que el artículo 15 de la Ley 1266 del 2008 detalla las causales bajo las cuales un usuario de información puede acceder a ella dentro del marco de esta norma.

Del análisis de este artículo, se tiene que, para acceder de manera legítima a la información crediticia de un Titular, el usuario de información debe poder probar que su actuación se enmarca en una de las causales señaladas en el artículo en cuestión y que, en caso de que no se encuadre dentro de ellas, se debe solicitar autorización para el tratamiento de los datos al Titular que corresponda.

Así lo señaló la Corte Constitucional en sentencia C 1011 del 2008 7, consideración “3.4.6. Acceso a la información por parte de los usuarios ”, en el siguiente sentido:

“El artículo 15 del Proyecto tiene como objetivo regular las finalidades que legitiman el acceso, por parte de los usuarios, a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que repose en bancos de datos.

“El artículo 15 del Proyecto tiene como objetivo regular las finalidades que legitiman el acceso, por parte de los usuarios, a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que repose en bancos de datos.

En ese propósito enuncia como finalidades admisibles las contempladas en las siguientes hipótesis: (i) la de servir como elemento de análisis para establecer una relación contractual de cualquier naturaleza, o evaluar el riesgo derivado de una relación contractual vigente, (ii) para hacer estudios de mercado, o investigaciones comerciales o estadísticas (inciso 3º); (iii) para el adelantamiento de cualquier trámite ante una autoridad públ ica o una persona privada, respecto del cual dicha información resulta pertinente (inciso 4°); y (iv) para cualquier otra finalidad, respecto de la cual de manera general o en forma particular, se haya obtenido autorización por parte del titular de la información (inciso 5º)..

(…)

En relación con el contenido de la norma objeto de análisis, una vez más reitera la Corte, que uno de los principios que guían el proceso de acopio, procesamiento y divulgación de información personal es el de la finalidad, el cual exige no solamente que tales procesos estén orientados hacia un fin constitucionalmente legítimo, sino, de manera particular, una definición clara, suficiente y previa de ese objetivo.

(…)

Bajo ese marco, encuentra la Corte que la norma examinad a se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal. En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se

enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal. En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se

6 Actuación radicada bajo el número 22-326240- -5 del 31 de octubre de 2022, 22-326240- -14 del 31 de marzo de 2023 y 22-326240- -16 del 30 de -abril de 2024. 7 Cfr. Corte Constitucional, sentencia C 1011 del 2008 de fecha 16 de octubre de 2008, M.P.:

JAIME CÓRDOBA TRIVIÑORESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 7 de 16

inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes. (...)” (Subrayado fuera del texto original).

Partiendo de lo señalado por la Corte, y de las circunstancias de l caso en concreto, es claro que el principio de fin alidad determina que el proceso de tratamiento de datos personales de contenido crediticio se realice con sujeción a un fin constitucionalmente legítimo y que el objetivo de este fin este definido de manera previa.

Así, se resalta la idea de que el usuario debe indicar de forma clara la finalidad para realizar el acceso a los datos para cada caso evento que señala la norma.

de manera previa.

Así, se resalta la idea de que el usuario debe indicar de forma clara la finalidad para realizar el acceso a los datos para cada caso evento que señala la norma.

En ese orden de ideas, se hará una explicación de cada uno de los incisos del artículo 15 para contratar si alguno de ellos se encuadra dentro de los parámetros facticos de este caso concreto. Veamos:

I. El inciso primero comprende la variable de establecer y mantener una relación contractual, cualquiera que sea su naturaleza.

Así, este primer inciso busca proveer a los operadores del sistema financiero de elementos de análisis para calcular el nivel de riesgo al momento de que el Titular contraiga obligaciones de carácter crediticio. En otras palabras, se busca brindar elementos de evaluación para el establecimiento o mantenimiento de una relación contractual con el usuario de información.

II. Por otro lado, la parte final del inciso primero señala el segundo evento en el cual se puede acceder a la información del Titular de la in formación; este es la facultad de poder acceder a la información crediticia al momento de valorar los riesgos derivados de una relación contractual vigente.

En este sentido, se parte del supuesto de que el Titular quisiera, dentro del marco de un contrato vigente suscrito con el usuario de información, acceder a otro servicio del usuario en cuyo caso este podría acceder a la información crediticia del Titular para evaluar si le otorga o no un nuevo crédito. En este sentido, se busca medir el nivel de riesgo de sus actuales y futuros clientes.

III. El inciso tercero del artículo comprende la posibilidad de que el usuario de información pueda acceder a la misma para efectos de realizar estudios de mercado o investigaciones comerciales o estadísticas, es decir act ividades de marketing.

III. El inciso tercero del artículo comprende la posibilidad de que el usuario de información pueda acceder a la misma para efectos de realizar estudios de mercado o investigaciones comerciales o estadísticas, es decir act ividades de marketing.

A partir de este inciso, se parte del caso en el que el usuario quiera promocionar un nuevo producto e informe concretamente de tal finalidad para efectos de acceder a la información crediticia.

IV. Por su parte, el inciso cuarto del a rtículo objeto de análisis señala que el usuario podrá acceder a la información crediticia para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente.

En este sentid o, el usuario cuando deba adelantar un trámite ante autoridad judicial o administrativa podrá acceder a la información crediticia de un Titular, siempre que la información a la que acceda sea la pertinente para el trámite que corresponda.

V. Por último, el inciso final del artículo analizado indica que el usuario podrá acceder a la información crediticia para cualquier otra finalidad, diferente de las anteriores, siempre que haya obtenido autorización por parte del titular de la información.RESOLUCIÓN NÚMERO 88799 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 8 de 16

Finalmente, el a rtículo señala que en caso de que la finalidad de acceso a la información no se enmarque en ninguna de las causales señaladas dentro de los incisos anteriores, el usuario de información deberá recolectar y conservar copia de la autorización del Titular de la información para poder acceder a ella.

Así, contrastadas las finalidades bajo las cuales el usuario de información puede

incisos anteriores, el usuario de información deberá recolectar y conservar copia de la autorización del Titular de la información para poder acceder a ella.

Así, contrastadas las finalidades bajo las cuales el usuario de información puede acceder de manera legítima a la información crediticia de un Titular, se encuentra que la sociedad MARBROC S.A.S. no acreditó ninguna de ellas, en tanto (i) no se demostró un ánimo de celebrar una relación contractual por parte de la Titular, (ii) no se acreditaron motivos para realizar una valoración de los riesgos derivados de una relación contractual vigente, (iii) no se realizaron estudios de mercado y (iv) el acceso no fue efectuado para adelantar un trámite ante autoridad judicial o administrativa.

De acuerdo con lo anterior, para este Despacho no solo se evidencia un incumplimiento a los deberes que contempla la Ley 1266 de 2008, sino también se presenta una la violación clara al derecho fundamental del titular, puesto que la consulta deja una huella en la historia de crédito de los titulares durante seis meses y aunque los operadores no puedan tomar este factor para calcular el score, es un dato que está visible para los usuarios de información y que puede tomarse como un signo de riesgo, ya que dicha consulta logra sugerir que el titular está buscando adquirir servicios que pueden llegar a afectar la capacidad crediticia, o inferir que le ha sido rechazado un se rvicio en otras entidades. Si bien es cierto, que la afectación son indicios, son cargas que no debe asumir el titular, más aun, cuando la consulta de información se realizó de forma ilegal.

Así las cosas es claro para este Despacho, que la la sociedad MARBROC S.A.S. violó el derecho de habeas data de la titular, puesto que realizó una consulta a

titular, más aun, cuando la consulta de información se realizó de forma ilegal.

Así las cosas es claro para este Despacho, que la la sociedad MARBROC S.A.S. violó el derecho de habeas data de la titular, puesto que realizó una consulta a su información crediticia sin tener una finalidad legítima y dicha consulta se mantuvo en la historia de crédito hasta el 18 de noviembre de 2022, sin que esta hubiese solicitado su eliminación.

Por ello, la sociedad debía contar con el soporte de la autorización de la Titular, la señora XXXXXXX XXXXXXXX XXXX XXXXXXX , a efectos de estar legitimada para acceder a su historial crediticio, documento que no fue allegado por la sociedad investigada dentro de la presente investigación pese a que se le requirió dentro de la indagación preliminar, se le notificó el inicio de la investigación y se le dio traslado para que presentara alegatos de conclusión, y en todas estas oportunidades guardó silencio.

Así las cosas, de acuerdo con el acervo probatorio, la sociedad investigada no demostró contar con la autorización de la Titular o tener una finalidad legítima, se concluye de manera razonable que el acceso realizado el día 18 de mayo de 2022 a la historia de crédito de la Titular fue un acceso ilegítimo.

Así las cosas, se impondrá la sanción correspondiente.

OCTAVO: CONCLUSIÓN

Por lo expuesto, es claro para esta Dirección que contrastadas las finalidades bajo las cuales el usuario de información puede acceder de manera legítima a la información crediticia de