TSDJ PEI SCF - 66001311000320240000401-(26-08-2024)

HABEAS DATA / SUPRESIÓN DE INORMACIÓN NEGATIVA / CONSENTIMIENTO PREVIO … esta es una acción de tutela para la protección al derecho fundamental al habeas data (Art. 15 CN), frente a lo cual “(…) la Corte ha señalado que la acción de tutela es el mecanismo judicial procedente para solicitar la supresión de información contenida en bases de datos, siempre y cuando, el interesado lo haya solicitado previamente ante el sujeto responsable de su administración…” el objetivo de esta tutela no es controvertir la obligación que generó el reporte negativo, asunto que sí sería del resorte del juez ordinario, sino las irregularidades en que se incurrió a la hora de hacer ese reporte; específicamente en la de la obtención de consentimiento expreso e informado para la publicación de dicha clase de datos y la presunta omisión en la comunicación preliminar… TRATAMIENTO DE DATOS / CONSENTIMIENTO EXPRESO E INFORMADO DEL TITULAR / HABEAS DATA FINANCIERO / PRINCIPIOS En cuanto al tratamiento de datos, el artículo 4 de la Ley 1581 de 2012, dispuso que “El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. (…) Al respecto ha explicado la Corte Constitucional que: “(…) el derecho al habeas data en su dimensión de “habeas data financiero” está directamente relacionada con un conjunto

de principios de la administración de datos…, que permiten la satisfacción de los derechos de los titulares, las fuentes de información, los operadores de las bases de datos y los usuarios. Estos son: libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad.

T RIBUNAL S UPERIOR DE P EREIRA

S ALA C IVIL – F AMILIA

ST2-0317-2024

Asunto: Sentencia de tutela en segunda instancia Accionante: Stefani Ariza Agamez Accionado: Trans unión Colombia y otros

Procedencia: Juzgado Segundo de Familia de Dosquebradas, R.

Radicación: 66001311000320240000401

Temas: Habeas data Magistrado Ponente: Jaime Alberto Saraza Naranjo Aprobada en sesión: 477 del 26 de agosto de 2024

V EINTISÉIS (26) DE AGOSTO DE DOS MIL VEINTICUATRO (2024) Decide la Sala la impugnación elevada contra la sentencia proferida el 16 de julio de 2024, por el Juzgado Segundo de Familia de Dosquebradas, en esta acción de tutela formulada por Stefani Ariza Agamez contra la Superintendencia de Industria y Comercio, Kaiowa, Experian Colombia S.A. (Data Crédito), Trans Unión Colombia (Cifin) y Procrédito.

1. Antecedentes 1.1. Contó la demandante que presentó ante “ la fuente” una reclamación para que le sea

eliminado un reporte negativo en las centrales de riesgo ya que no realizó en debidaP á g i n a | 2 forma el requerimiento de que trata el inciso 3° del artículo 12 de la Ley 1266 de 2008. Agregó que la accionada no cuenta con autorización suscrita para el tratamiento de sus datos personales y reporte ante centrales de riesgo. Pidió, entonces, que se les ordene a las accionadas eliminar la información negativa que reposa en las centrales de riesgo respecto de sus obligaciones1 . 1.2. En primera instancia se dio impulso a la acción con auto del 4 de julio de 2024.2 1.3. Procrédito indicó que la accionante “ (…) no posee historial crediticio por parte de la fuente accionada (…)”.3 1.4. Kaiowa manifestó que, en respuesta a la reclamación presentada por la accionante, se le informo que se accedería a la eliminación del reporte negativo; sin embargo, ella cuenta con créditos en mora y podría generarse una nueva actualización del mismo. Del mismo modo, indicó que, la notificación previa al reporte fue enviada por mensaje de texto, así lo certificó Masivian S.A.S. En cuanto a la autorización de consulta reporte ante las centrales de riesgo, refirió que no fue posible hallarla.4 1.5. TransUnion – CIFIN S.A.S., informó que “(…)Una vez efectuada la verificación en la base de datos que administra CIFIN S.A.S (TransUnion ®) en calidad de Operador de

Información, en los términos del artículo 3 de la Ley 1266 de 2008, debemos señalar que en el historial de crédito de la accionante STEFANI ARIZA AGÁMEZ con cédula de ciudadanía 1.140.840.389, revisado el día 08 de julio de 2024 siendo las 09:19:46, frente a la Fuente de información KAIOWA, NO se evidencian datos negativos, esto es, información de obligaciones que se encuentren actualmente en mora o que habiendo estado en mora en el pasado.”5 1.6. Experian Colombia S.A. hizo saber que la accionante tiene un reporte generado por KAIOWA “ como Fuente de información – en estado abierta, vigente y como ESTADO EN MORA”, por las obligaciones identificadas con los números 000128876 y 000020478, y aseguro que la eliminación ese dato depende de la fuente, por lo que invocó su falta de legitimación en la causa por pasiva6 . 1.7. La SIC planteó que la accionante presentó una reclamación por la presunta vulneración de su derecho al habeas data financiero en contra de KAIOWA. Como consecuencia de lo anterior, esa entidad, la requirió para que aportara copia de la respuesta desfavorable suministrada por “la fuente”, encontrándose en espera de la respuesta por parte de la reclamante7 . 1.8. Sobrevino el fallo de primer grado que negó el amparo como quiera que “ no se evidencia acción u omisión de la accionada que pueda predicar violación a su derecho

1 Documento 03., C01Principal, 01PrimeraInstancia 2 Documento 12., Ibid. 3 Documento 15., Ibid. 4 Documento 16., Ibid. 5 Documento 17., Ibid. 6 Documento 19., Ibid.

1 Documento 03., C01Principal, 01PrimeraInstancia 2 Documento 12., Ibid. 3 Documento 15., Ibid. 4 Documento 16., Ibid. 5 Documento 17., Ibid. 6 Documento 19., Ibid. 7 Documento 18., Ibid.P á g i n a | 3 fundamental de habeas data o debido proceso, pues el reporte negativo en las centrales de riesgo es solamente atribuible a la accionante que tiene pendiente una obligación crediticia por pagar, y previo a su registro, la fuente acreedora procedió como la ley se lo ordena” .8 1.9. Impugnó la actora, quien insistió en que la demandada no cuenta con autorización suscrita para el tratamiento de datos personales y reporte ante centrales de riesgo, además que no se le notificó el aviso antes de realizar el reporte negativo, por lo que solicitó que disponer que las accionadas la eliminen.9

2. Consideraciones 2.1. Desde 1991, con la entrada en vigencia de la Constitución Política, el constituyente incluyó en el derecho positivo nacional la acción de tutela como un mecanismo preferente y sumario destinado a la protección de los derechos fundamentales de las personas, por parte de los jueces, cuando quiera que ellos se hallen amenazados o vulnerados por la acción o la omisión de una autoridad, o de un particular en ciertos eventos.

Acude en esta oportunidad la señora Ariza Agamez, en procura de la protección de su derecho fundamental al habeas data , presuntamente vulnerado por las autoridades accionadas, por un reporte negativo que aparece en las centrales de riesgo financiero.

2.2. En lo que respecta a los requisitos generales de procedencia de la acción de tutela se tiene lo siguiente: La legitimación por activa se cumple en relación con la demandante como titular de la información reportada en las centrales de riesgos cuya corrección se ruega, además, ella elevó la respectiva petición ante Kaiowa S.A.S. Por pasiva se supera solo respecto de esa entidad por ser la receptora de la solicitud y por ser la encargada de adelantar las gestiones ante las centrales de riesgos para la eliminación deprecada (Núm. 1°, 2° y 3°, Art. 8°, Ley 1266 de 2008). También está satisfecha la inmediatez, dado que la solicitud de eliminación del reporte se presentó el 23 de mayo de 202410, por lo que, desde esa fecha, aún no han transcurrido más de seis meses, lapso que, en principio, se considera proporcional para acudir al amparo. Y lo mismo sucede con la subsidiariedad, porque esta es una acción de tutela para la protección al derecho fundamental al habeas data (Art. 15 CN), frente a lo cual “ (…) la Corte ha señalado que la acción de tutela es el mecanismo judicial procedente para solicitar la supresión de información contenida en bases de datos, siempre y cuando, el interesado lo haya solicitado previamente ante el sujeto responsable de su administración11, conforme lo dispuesto en el artículo 15 de la Ley 1581 de 2012.”12. Y en este asunto la accionante elevó la respectiva solicitud.

8 Documento 21., Ibid. 9 Documento 23., Ibid. 10 Documento 02., Ibid. 11 Sentencias T-176A de 2014, y T-490 de 2018, entre otras. 12 Sentencia T-509/20P á g i n a | 4

8 Documento 21., Ibid. 9 Documento 23., Ibid. 10 Documento 02., Ibid. 11 Sentencias T-176A de 2014, y T-490 de 2018, entre otras. 12 Sentencia T-509/20P á g i n a | 4 Además, el numeral 6° del aparte II del artículo 16 de la Ley 1266 de 2008, señala que “ [S]in perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso de que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida (…)”. (se subraya). Y es precisamente eso lo que acá sucede, pues el objetivo de esta tutela no es controvertir la obligación que generó el reporte negativo, asunto que sí sería del resorte del juez ordinario13, sino las irregularidades en que se incurrió a la hora de hacer ese reporte; específicamente en la de la obtención de consentimiento expreso e informado para la publicación de dicha clase de datos y la presunta omisión en la comunicación preliminar de que trata el artículo 12 de la Ley 1266 de 2008, que, en lo pertinente, reza: En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la

información y sin perjuicio, si es del caso , de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta. PARÁGRAFO. <adicionado por el artículo 6 de la Ley 2157 de 2021. El nuevo texto es el siguiente:> El incumplimiento de la comunicación previa al titular de la información, en los casos en que la obligación o cuota ya haya sido extinguida, dará lugar al retiro inmediato del reporte negativo. En los casos en que se genere el reporte sin el cumplimiento de la comunicación y no se haya extinguido la obligación o cuota, se deberá retirar el reporte y cumplir con la comunicación antes de realizarlo nuevamente. (Destaca la Sala). En cuanto al tratamiento de datos, el artículo 4 de la Ley 1581 de 2012, dispuso que “ El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. Al respecto ha explicado la Corte Constitucional14 que: “(…) el derecho al habeas data en su dimensión de “ habeas data financiero ” está directamente relacionada con un conjunto de principios de la administración de datos, consagrados en el artículo 4 de la Ley Estatutaria 1266 de 2008 y desarrollados por la jurisprudencia constitucional, que permiten la satisfacción de los derechos de los titulares, las fuentes de información, HYPERLINK "https://www.corteconstitucional.gov.co/relatoria/2023/T-184-23.htm" \l "_ftn227" \o "" los operadores de las bases de datos y los usuarios. HYPERLINK

titulares, las fuentes de información, HYPERLINK "https://www.corteconstitucional.gov.co/relatoria/2023/T-184-23.htm" \l "_ftn227" \o "" los operadores de las bases de datos y los usuarios. HYPERLINK "https://www.corteconstitucional.gov.co/relatoria/2023/T-184-23.htm" \l "_ftn229" \o "" Estos son: libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad.

De acuerdo con el principio de libertad, el tratamiento de los datos personales solo puede llevarse a cabo cuando exista un consentimiento libre, previo y expreso del titular , a no ser que esté de por medio una obligación legal o judicial, que no requiera de dicho consentimiento. Con este principio se pretende evitar que se recoja y divulgue información personal adquirida en forma ilícita, sin el consentimiento del titular, o sin una justificación legal o constitucional concreta. Además, este principio se refiere a “la potestad con la que cuenta el titular de

13 Así lo explicó esta Corporación en la sentencia TSP. ST2-263-2021. 14 Sentencia T-184 de 2023.P á g i n a | 5 disponer de la información y conocer su propia identidad informática ”. Lo anterior consiste, básicamente, en el conocimiento de la recopilación de los datos, estar informado acerca de la finalidad del tratamiento y contar con “ herramientas efectivas para su conocimiento, actualización y rectificación”. (Destaca la Sala). Por último, vale la pena recordar que “ El derecho al habeas data está instituido en el artículo 15 de la Constitución, según el cual [t]odas las personas tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos

Por último, vale la pena recordar que “ El derecho al habeas data está instituido en el artículo 15 de la Constitución, según el cual [t]odas las personas tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas ”. Y además que “(…) ante el robustecimiento del poder informático -característico de la sociedad de información-, “el habeas data surge como un cuerpo normativo singular orientado a proteger las libertades individuales”15. 2.3. Superado lo anterior sigue el análisis del caso concreto en el que está probado lo siguiente: (i) La accionante adquirió con Kaiowa S.A.S como operador de crédito de la marca STOP las obligaciones 128876 del 8 de octubre de 2023 y 204780 del 6 de diciembre de 2023, respecto de las cuales entró en mora desde el 23 de octubre de 2023 y 5 de enero de 2024; por esa mora, la accionante fue reportada en las centrales de riesgo. (ii) El 23 de mayo de 2024, desde el correo abogadolegal777@hotmail.com, la accionante remitió un derecho de petición a Kaiowa S.A.S., con copia a la SIC, solicitando información sobre su crédito y, en concreto la “ (…) ELIMINACION DE REPORTES

NEGATIVOS ANTE CENTRALES DE RIESGO”16.

(iii) El 26 de junio de 2024, recibió respuesta de la accionada, allí se le informó “ (…) No hay lugar a la prescripción del dato negativo, sin embargo, la compañía accede a la eliminación

del reporte negativo, no obstante, los créditos registran activos y en mora y al generarse una nueva actualización en el reporte este saldrá negativo, por lo que le sugerimos comunicarse y generar un acuerdo de pago y posteriormente la cancelación de las obligaciones adquiridas”17. (iv) Kaiowa S.A.S en la contestación de la presente demanda, refirió, en primer lugar, que la entidad Masivian S.A.S emitió certificado donde se evidencia el envío de la notificación previa al reporte negativo ante las centrales de riesgo por mensaje de texto dirigido al número telefónico +57 310 405 5272, y luego mencionó que realizó la búsqueda correspondiente de la autorización de consulta y reporte ante las centrales de riesgo suscrita por la señora Ariza Agamez, la cual no encontró. De frente a ese derrotero, es criterio de la Sala que la sentencia impugnada debe ser revocada, porque Kaiowa S.A.S., no pudo desvirtuar la vulneración al derecho al habeas data del que es titular la aquí accionante. Así se afirma porque no hay evidencia de que el número de contacto al que se remitieron dichas comunicaciones perteneciera a la deudora, además no se aportó ningún documento que permitiera identificar los datos personales de la accionante, y tampoco se comprobó que ella hubiera suscrito autorización sobre el eventual reporte en centrales de riesgo, nótese que la misma demandada refirió en su contestación que no halló el consentimiento.

15 Sentencia T-041 de 2020. 16 Documento 02., Ibid. 17 Págs. 6 a 8, Documento 02., Ibid.P á g i n a | 6 En todo caso, si se logrará demostrar que la comunicación fue enviada efectivamente al abonado telefónico de la demandante, es preciso aclarar que, una cosa es el requerimiento previo, realizado dentro de la oportunidad contenida en el artículo 12 de la ley 1266 de 2008, para que cancele la obligación y con la advertencia del reporte negativo, y otro es la autorización expresa, que como se ha mencionado no se fue aportada en el presente trámite constitucional. Así las cosas, como el demandado no logró demostrar que la señora Stefani Ariza Agamez hubiese suscrito consentimiento para el reporte en centrales de riesgo, situación que evidentemente incumple los parámetros legales y jurisprudenciales que exigen que la existencia del mismo, se revocará la sentencia de primera instancia, y en su lugar se concederá el amparo, y en consecuencia se le ordenará a Kaiowa S.A.S., actual acreedora de la deuda, eliminar de las bases de datos de Experian Colombia S.A. (Data Crédito), Trans Unión Colombia (Cifin) y Procrédito la información reportada con ocasión a las obligaciones No. 128876 y 204780.

3. Decisión Por lo expuesto, el Tribunal Superior del Distrito Judicial de Pereira, Sala Civil Familia, administrando justicia en nombre de la República y por autoridad de la ley,

REVOCA el fallo de primera instancia. En su lugar, se CONCEDE la protección al derecho fundamental al habeas data de la demandante y, en consecuencia: Se le ORDENA a Kaiowa S.A.S, por medio de su funcionario a cargo que, en el término de diez (10) días siguientes a la notificación de esta providencia, realice todas las actuaciones administrativas, a efectos de que, dentro del mismo término, se elimine de las bases de datos de Experian Colombia S.A. (Data Crédito), Trans Unión Colombia (Cifin) y Procrédito, la información reportada, con ocasión de las obligaciones No. 128876 y 204780. Notifíquese esta decisión a las partes en la forma prevista en el artículo 5º del Decreto 306 de 1992. Oportunamente remítase el expediente a la Corte Constitucional para su eventual revisión. Los Magistrados,

JAIME ALBERTO SARAZA NARANJO

CARLOS MAURICIO GARCÍA BARAJAS

DUBERNEY GRISALES HERRERA