TSDJ PEI SCF - 66170310300120240018401-(23-07-2024)

HABEAS DATA / PUBLICACIÓN DE DATOS / CENTRALES DE RIESGO / CONSENTIMIENTO INFORMADO … la controversia se circunscribe en establecer si las entidades competentes se atuvieron a los presupuestos normativos referentes al trámite previo al reporte negativo ante centrales de riesgo, en particular aquellos que exigen la obtención de consentimiento expreso e informado para la publicación de dicha clase de datos y el requerimiento de poner en conocimiento al deudor de la mora, so pena de realizar aquella inscripción. Para ese efecto es preciso señalar que según el artículo 4° de la Ley 1581 de 2012 “El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. (…) Sobre la primera de esas exigencias, la Corte Constitucional ha expresado: “De acuerdo con el principio de libertad, el tratamiento de los datos personales solo puede llevarse a cabo cuando exista un consentimiento libre, previo y expreso del titular (…) ST2-0276-2024

A SUNTO: S ENTENCIA DE SEGUNDO GRADO T IPO DE PROCESO: A CCIÓN DE TUTELA D EMANDANTE: M ANUEL DE J ESÚS M ORENO S EGURA D EMANDADOS: S UPERINTENDENCIA F INANCIERA, S UPERINTENDENCIA DE I NDUSTRIA Y C OMERCIO, A LMACENES F LAMINGO, S OLUCIONES E STRATÉGICAS S.A.S., F IDEICOMISO R ISK A & S, E XPERIAN C OLOMBIA S.A. (DATA C RÉDITO), T RANS U NIÓN C OLOMBIA

(CIFIN) Y P RO C RÉDITO

C OLOMBIA S.A. (DATA C RÉDITO), T RANS U NIÓN C OLOMBIA

(CIFIN) Y P RO C RÉDITO V INCULADOS: M EFÍA S.A.S. Y REPRESENTANTE LEGAL DE R ISK A ND T ECH A DVISORS S.A.S. (APODERADO DEL F IDECOMISO RISK – A&S.) P ROCEDENCIA: J UZGADO C IVIL DEL C IRCUITO DE D OSQUEBRADAS

R ADICACIÓN: 66170310300120240018401

T EMAS: H ÁBEAS DATA – I NEXISTENCIA DE COMUNICACIÓN PREVIA M AGISTRADO P ONENTE: C ARLOS M AURICIO G ARCÍA B ARAJAS

A PROBADA EN SESIÓN: 412 DE 23-07-2024

V EINTITRÉS (23) DE JULIO DE DOS MIL VEINTICUATRO (2024).

ASUNTO Procede la Sala a resolver la impugnación formulada contra el fallo proferido el 17 de junio pasado, en la tutela de la referencia.

ANTECEDENTES

1. Narró el demandante que presentó reclamación con la finalidad de obtener la eliminación del reporte negativo registrado en las centrales de riesgo, en virtud de que la fuente no realizó en debida forma el requerimiento de que trata el inciso 3º del artículo 12 de la Ley 1266 de 2008. Sin embargo, esa entidad insiste en mantener esa informaciónP á g i n a | 2 negativa.

Agregó que “ Tampoco se acreditó que la accionada cuente con la debida autorización suscrita física o electrónicamente para el tratamiento de mis datos personales y reporte ante centrales de riesgo” . Considera lesionados sus derechos al hábeas data y debido proceso, y para su protección

física o electrónicamente para el tratamiento de mis datos personales y reporte ante centrales de riesgo” . Considera lesionados sus derechos al hábeas data y debido proceso, y para su protección solicita se ordene a las demandadas eliminar aquel dato negativo y que las Superintendencias Financiera y de Industria y Comercio ejerzan la función de vigilancia frente a Almacenes Flamingo, Soluciones Estratégicas S.A.S. y Fideicomiso Risk A & S y se impongan las sanciones a que haya lugar1 .

2. Trámite: Por auto del 05 de junio de esta anualidad el juzgado de primera instancia admitió la acción constitucional.

La Superintendencia Financiera de Colombia indicó que no tiene bajo su vigilancia a las entidades responsables de realizar el reporte negativo en centrales de riesgo, tal cual fue informado al actor en comunicación del 24 de mayo pasado, luego no se puede acusar a esa Superintendencia de lesión alguna en este caso2 . El representante legal de Risk And Tech Advisors S.A.S. (Apoderado del Fidecomiso RISK – A&S) señaló que su poderdante adquirió la deuda que existe a nombre del tutelante y producto de esa cesión puede realizar el cobro de la deuda, así como la actualización del reporte ante las centrales de riesgo, inicialmente hecho por Mefía S.A.S. Agregó que es en virtud de la propia mora en que ha incurrido el actor, que se refleja el registro negativo y que en este caso se ha dado “ estricto cumplimiento a lo estipulado en la Ley 1266 de 2008”.

Finalmente dijo que todo ello fue informado al actor en respuesta por intermedio de la cual, además, se aportaron las constancias sobre el cumplimiento de la comunicación previa establecida en la Ley 1266 de 2008 y sobre la existencia y exigibilidad de la obligación3 . CIFIN S.A.S. y Experian Colombia S.A. refirieron que esas entidades, en su calidad de operadoras, se encargan de realizar los reportes que son generados por las fuentes de información, sin que sean responsables de la veracidad o calidad de los datos que registren estas últimas4 . Fenalco, regional Antioquia, alegó carecer de legitimación en la causa por pasiva, como quiera que de la revisión en su base de datos Procrédito no se evidenció que el actor posea historial crediticio por parte de la fuente accionada5 . La Superintendencia de Industria y Comercio manifestó que, en cumplimiento de las facultades otorgadas por la Ley 1266 de 2008, esa entidad se encuentra adelantando el trámite de rigor, a fin de establecer si existe mérito para sancionar a las entidades que

1 Archivo 03 del cuaderno de primera instancia 2 Archivo 07 del cuaderno de primera instancia 3 Archivo 08 del cuaderno de primera instancia 4 Archivos 09 y 10 del cuaderno de primera instancia 5 Archivo 11 del cuaderno de primera instanciaP á g i n a | 3 realizaron el reporte negativo correspondiente6 . Mefía S.A.S. y Almacenes Flamingo afirmaron que el crédito que adquirió el tutelante con

esas entidades fue cedido al Fidecomiso RISK – A&S, luego en la actualidad esta fiduciaria es la acreedora de esa obligación y, como tal, es la responsable de la respectiva información en centrales de riesgo. Adicionalmente informó que la comunicación previa al reporte negativo fue realizada en debida forma, desde el 07 de septiembre de 2018 “ a través de mensaje de texto al número telefónico que registra en la base de datos de la Compañía” y con respaldo en la autorización expresa que consta en la cláusula 23.6 del contrato de consumo suscrito por el accionante7 .

3. Sentencia impugnada: La primera instancia negó el amparo invocado tras considerar que, de conformidad con las pruebas incorporadas al expediente, la autorización para el reporte en centrales de riesgo fue expresamente concedida por el actor, según se evidencia cláusula 23.6 del correspondiente contrato. Así mismo obra constancia de que mediante mensaje de texto remitido el 07 de septiembre de 2018 fue puesto en conocimiento el actor acerca de que el crédito con la entidad Flamingo se encontraba vencido y que de no realizar el pago sería reportado de manera negativa ante las centrales de riesgo.

Por tanto, como las entidades competentes dieron cumplimento cabal a los presupuestos que regulan la materia, ninguna lesión de derechos se puede avizorar, máxime “ cuando al actor le dieron a conocer los documentos que soportan el reporte al momento de dar respuesta a la solicitud de eliminación del reporte presentada”8 .

4. Impugnación: La parte actora insistió en que la fuente no demostró haber agotado

el requerimiento previo de que trata el inciso 3º del artículo 12 de la Ley 1266 de 2008, pues ninguna certificación relativa a la entrega y lectura del correspondiente mensaje de datos se aportó. Así entonces se encuentra patente la vulneración al derecho al hábeas datas9 .

CONSIDERACIONES

1. En el caso concreto la queja constitucional se plantea, al amparo del artículo 86 de la Constitución Política, frente a las entidades accionadas por presuntamente mantener un registro negativo en centrales de riesgo, a pesar de que no se cumplió el trámite legal previo para ese efecto.

De conformidad con lo anterior, el problema jurídico consiste en determinar si resulta procedente la acción de amparo para dirimir tal controversia y, en caso positivo, si las entidades accionadas lesionaron los derechos fundamentales del demandante por cuenta de aquel proceder.

2. El señor Manuel de Jesús Moreno Segura está legitimado en la causa por activa, al ser la persona cuya información crediticia negativa se encuentra publicada en centrales de

6 Archivo 12 del cuaderno de primera instancia 7 Archivo 13 del cuaderno de primera instancia 8 Archivo 14 del cuaderno de primera instancia 9 Archivo 14 del cuaderno de primera instanciaP á g i n a | 4 riesgo, por lo que solicitó su eliminación. Por pasiva se encuentra legitimada la sociedad Risk And Tech Advisors S.A.S. (apoderada del Fidecomiso RISK – A&S), como entidad que figura como actual acreedora de la

obligación a cargo del demandante y que, en consecuencia, es la encargada de realizar dichos registros (fuente de información), así como de brindar respuesta a aquella petición. En cambio, dicha facultad no les asiste a la Superintendencia Financiera, a la Superintendencia de Industria y Comercio, a Fenalco, a Experian Colombia S.A. y a Cifin S.A.S., entidades que tienen, respectivamente, funciones de vigilancia y de publicación de los reportes correspondientes, las cuales, como tal, no guardan relación directa con la lesión de derechos aquí invocada, al quedar claro que es Risk And Tech Advisors S.A.S. la única responsable de aquella información. De igual forma, aunque Mefía S.A.S. y Almacenes Flamingo figuran como titulares iniciales del aludido crédito, al haberlo cedido, a la fecha ya no tienen injerencia sobre los efectos de esa relación contractual.

3. De cara a análisis de los demás requisitos de procedibilidad del amparo, es pertinente indicar que, según las pruebas aportadas, el pasado 17 de mayo el actor remitió petición con el objeto de que se eliminaran los reportes negativos ante centrales de riesgo, al no haberse surtido los trámites legales correspondientes10.

En respuesta del 24 de ese mismo mes, Mefía S.A.S. informó que: “ no hay lugar a la eliminación o modificación de la información reportada, toda vez que dicho reporte se realizó de conformidad con lo establecido en la normatividad vigente y se encuentra actualizado (...)

MEFÍA S.A.S como originador del crédito, y en su calidad de fuente de información financiera, al corte del mes de septiembre de 2018 la obligación 553422 registro mora de 30 días por lo que se efectuó el respectivo reporte negativo en centrales de riesgo, al respecto, MeFia S.A.S (...) le notificó a través de un (1) mensajes de texto enviado al número celular registrado en nuestra base de datos, que la obligación presentaba vencimiento y podría ser reportada a las centrales de información. Lo anterior, conforme la autorización expresa contenida en la cláusula 23.6 del contrato de apertura crédito rotativo y operaciones de crédito suscrito por usted (...) la tarjeta MeFía con número de cuenta 553422, misma que fue cedida a favor del FIDEICOMISO RISK – A&S, quien en consecuencia ostenta la calidad de acreedor de su obligación, tal y como se notificó en los días anteriores”11. En comunicado del 30 de mayo último, el representante legal de Risk And Tech Advisors S.A.S. (Apoderado del Fidecomiso RISK – A&S) puso en conocimiento el estado de la obligación, los datos generales de la misma, la fecha en que incurrió en mora y el monto adeudado. Así mismo se adjuntó el certificado de la notificación previa al reporte ante las centrales de riesgo y la autorización para el uso y manejo de datos personales, “en el cual usted faculta a el (sic) originador, cesionario y endosatario de la obligación para generar la consulta, actualización y reporte ante los operadores financieros (...)”12. Surge de lo anterior que la acción constitucional resulta procedente como quiera que al haber realizado el actor solicitud previa para obtener la eliminación del reporte negativo

10 Folios 01 a 03 del archivo 02 del cuaderno de primera instancia

Surge de lo anterior que la acción constitucional resulta procedente como quiera que al haber realizado el actor solicitud previa para obtener la eliminación del reporte negativo

10 Folios 01 a 03 del archivo 02 del cuaderno de primera instancia 11 Folios 04 a 06 del archivo 02 del cuaderno de primera instancia 12 Folios 07 y 08 del archivo 02 del cuaderno de primera instanciaP á g i n a | 5 que figuraba en su contra en las centrales de riesgo, se colma el requisito jurisprudencial aplicado respecto de la protección, por esta vía excepcional, del derecho al hábeas data13. También se satisface el presupuesto de la inmediatez, en consideración a que la solicitud de eliminación de aquel reporte data del mes de mayo pasado, por lo que, aún no han transcurrido más de seis meses, lapso que, en principio, se considera razonable para acudir al amparo.

4. Superado el anterior juicio de procedibilidad, se encuentra avalada la Sala para definir el fondo del asunto.

Para ello es de reiterarse que la controversia se circunscribe en establecer si las entidades competentes se atuvieron a los presupuestos normativos referentes al trámite previo al reporte negativo ante centrales de riesgo, en particular aquellos que exigen la obtención de consentimiento expreso e informado para la publicación de dicha clase de datos y el requerimiento de poner en conocimiento al deudor de la mora, so pena de realizar aquella inscripción. Para ese efecto es preciso señalar que según el artículo 4° de la Ley 1581 de 2012 “ El

Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. Así mismo el artículo 12 de la Ley 1266 de 2008 prescribe en su parte pertinente: “ En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y ésta aún no haya sido resuelta”.

5. Sobre la primera de esas exigencias, la Corte Constitucional ha expresado: “De acuerdo con el principio de libertad, el tratamiento de los datos personales solo puede llevarse a cabo cuando exista un consentimiento libre, previo y expreso del titular (…) Con este principio se pretende evitar que se recoja y divulgue información personal adquirida en forma ilícita, sin el consentimiento del titular, o sin una justificación legal o constitucional concreta. Además, este principio se refiere a “la potestad con la que cuenta el titular de disponer de la información y conocer su propia identidad informática”. Lo anterior consiste, básicamente, en el conocimiento de la recopilación de los datos, estar informado acerca de la finalidad del tratamiento y

contar con “herramientas efectivas para su conocimiento, actualización y rectificación” (Sentencia SU139 de 2021, criterio reiterado en la Sentencia T-184 de 2023) En el caso particular, se encuentra acreditado que el actor suscribió contrato de crédito rotativo entre cuyas cláusulas se encuentran las siguientes autorizaciones:

13 Cfr. Sentencia T-143 de 2022P á g i n a | 6 Así mismo, en documento aparte, también suscrito por el accionante, aparece el siguiente contenido:P á g i n a | 7

Analizado lo anterior, se puede apreciar el cumplimiento adecuado del requisito que se trata. En efecto, existe constancia de que el actor fue informado ampliamente sobre los términos en que autorizaba el uso de sus datos crediticios relacionados con la citada deuda, con miras a reportar sus hábitos de pago, sean negativos o positivos, en centrales de riesgo. A ello no solo se procedió en el documento contentivo del contrato de apertura de crédito, sino también en escrito aparte en el que se explicó de forma concreta, clara y directa las condiciones en que entregaba tal consentimiento. De ahí que el hecho tercero de la demanda, en el que expresamente se indica que “ Tampoco se acreditó que la accionada cuente con la debida autorización suscrita física o electrónicamente para el tratamiento de mis datos personales y reporte ante centrales de riesgo”, resulta ser contrario a la realidad.

6. Diferente panorama se observa sobre el cumplimiento de la segunda de aquellas obligaciones, es decir la relacionada con la remisión del requerimiento disuasorio de

pago, so pena de inclusión en central de riesgos del reporte respectivo, y que según el actor nunca recibió. Frente a ello, las entidades competentes hicieron alusión a que desde el el 07 de septiembre de 2018 se remitió tal requerimiento previo, vía mensaje de datos dirigido alP á g i n a | 8 celular del actor. Para demostrar ese hecho se aportaron las siguientes constancias: Es decir que para la comunicación del mencionado requerimiento se remitió mensaje de datos al teléfono móvil 3023465084. Sin embargo, no existe constancia de que ese número celular pertenezca al accionante y, por el contrario, al revisar los demás documentos que hacen parte de la relación contractual entre las partes se advierten estos datos:P á g i n a | 9 Significa todo lo anterior que, aunque el actor suministró un específico número de contacto, esto es el 3205833487, Mefía S.A.S. envió aquel requerimiento a uno distinto, el 3023465084, sin que obre constancia alguna de que este último estuviere asignado a él, que lo hubiere actualizado en las bases de datos del acreedor o que, por cualquier otro medio, hubiere autorizado la recepción de mensajes en ese abonado. En la incertidumbre sobre la adecuada remisión del disuasorio, se ahonda porque con posterioridad a ese hecho, más precisamente el 18 de agosto de 2021, esa misma entidad, para notificar al accionante sobre la cesión del crédito, no utilizó ese último número celular, sino aquel que consta en los archivos correspondientes, así:

Significa lo anterior que, a pesar de que el actor brindó un número telefónico a la entidad acreedora, esta envío el requerimiento previo a uno distinto, del cual se desconoce que también le perteneciera o que se tratara de un eventual cambio de línea celular que hubiere sido comunicada a esa entidad. Sin embargo, esto último queda refutado porque, como se vio, luego del envió del requerimiento se realizó otra comunicación al teléfono móvil inicialmente aportado. Así entonces, como no existe certeza sobre el adecuado trámite de requerimiento previo al reporte negativo, se puede concluir que la entidad responsable, incurrió en lesión al derecho al hábeas data, la cual debe ser remediada en esta sede constitucional, en los términos del parágrafo del artículo 12 de la Ley 1266 de 2008 que establece: “ En los casos en que se genere el reporte sin el cumplimiento de la comunicación y no se haya extinguido la obligación o cuota, se deberá retirar el reporte y cumplir con la comunicación antes de realizarlo nuevamente.”

7. De esta manera las cosas, se revocará la decisión recurrida y en su lugar se accederá al amparo invocado y se ordenará a la sociedad Risk And Tech Advisors S.A.S. adoptar las medidas correspondientes para garantizar la salvaguarda de la aludida garantía constitucional.

Así mismo, se declarará la improcedencia del amparo respecto de las demás entidades vinculadas, al carecer de legitimación en la causa, conforme lo arriba descrito.

8. Finalmente respecto de la pretensión dirigida a la Superintendencia de Industria y

Comercio para que investigue el proceder de la fuente, basta con indicar que la misma incumple el requisito de la subsidiariedad, como quiera que, según aquella entidad, laP á g i n a | 10 solicitud se encuentra en trámite, luego, frente a esa particular súplica, el trámite apenas se está surtiendo sin que se conozca que la accionada haya adoptado alguna decisión que impida su continuación. Por lo expuesto, la Sala Civil Familia del Tribunal Superior de Pereira, Risaralda, administrando justicia en nombre de la República y por autoridad de la ley, RESUELVE PRIMERO: Se REVOCA la sentencia impugnada de fecha y procedencia ya indicadas, en su lugar se concede el amparo al derecho al hábeas data de que es titular el actor y, en consecuencia, se ordena al representante legal de Risk And Tech Advisors S.A.S. (apoderado del Fidecomiso RISK – A&S.) retirar, en un término de 48 horas contadas a partir de la fecha en que sea notificada de esta providencia, la información negativa reportada a nombre del accionante en las bases de datos de Cifin y Datacredito , con ocasión del crédito No. 553422, en los términos del parágrafo del artículo 12 de la Ley 1266 de 2008. Se declara improcedente el amparo respecto de las demás entidades intervinientes.

SEGUNDO: Notificar a las partes lo aquí resuelto en la forma más expedita y eficaz posible. Comuníquese de igual forma al Juzgado de primera instancia.

TERCERO: Enviar oportunamente, el presente expediente a la honorable Corte

Constitucional para su eventual revisión. Notifíquese y cúmplase Los Magistrados, CARLOS MAURICIO GARCÍA BARAJAS DUBERNEY GRISALES HERRERA Ausente con causa justificada

EDDER JIMMY SÁNCHEZ CALAMBÁS