CORTE CONSTITUCIONAL SENTENCIA C-1011/2008, DE 16 DE OCTUBRE.
COMUNICADO DE PRENSA nº 46
EXPEDIENTE PE-029 - SENTENCIA C-1011/08
Magistrado
ponente: Dr. Jaime Córdoba Triviño
La Corte
Constitucional, en la sesión de la Sala Plena celebrada el día 16 de
octubre de 2008, profirió la sentencia mediante la cual efectuó la
revisión oficiosa e integral de constitucionalidad del
Proyecto de ley Estatutaria nº 27/2006 Senado – 221/2007 Cámara,
“por la cual se dictan las disposiciones generales del hábeas data y se
regula el manejo de la información contenida en bases de datos
personales, en especial la financiera, crediticia, comercial, de
servicio y las provenientes de terceros países y se dictan otras
disposiciones”. Las decisiones adoptadas en relación con este
proyecto, fueron las siguientes:
1.1. TRÁMITE
LEGISLATIVO
Examinado el trámite cursado en el Congreso de
la República por el presente proyecto de ley, la Corte constató que se
había cumplido cabalmente con las etapas y requisitos exigidos por la
Constitución Política para la adopción de una ley de naturaleza
estatutaria, específicamente, en cuanto concierne a su debate y
aprobación en una sola legislatura; la publicación de las ponencias y de
los textos aprobados en cada una de las cámaras; cumplimiento del
transcurso de los plazos constitucionales establecidos entre los
debates; la aprobación del proyecto de ley en todos los debates con la
mayoría absoluta y el anuncio previo y en sesión diferente de la
discusión y votación del proyecto de ley, tanto en las comisiones como
en las plenarias de ambas cámaras.
En relación con este último
aspecto, la Corte encontró que el Congreso de la República subsanó en
debida forma el vicio de procedimiento detectado inicialmente,
consistente en la omisión de dicho aviso en la plenaria de la Cámara de
Representantes. Así, se dio puntual cumplimiento a lo dispuesto en el
Auto 081/08 dictado por la Sala Plena de, conformidad con el
parágrafo del artículo 241 de la Constitución.
1.2. DECISIÓN
Primero.- Declarar
EXEQUIBLE, por su aspecto formal, el
Proyecto de Ley Estatutaria nº 27/06 Senado – 221/07 Cámara (Acum. 05/06
Senado) “por la cual se dictan las disposiciones generales
del Hábeas Data y se regula el manejo de la información contenida en
bases de datos personales, en especial la financiera, crediticia,
comercial, de servicios y la proveniente de terceros países y se dictan
otras disposiciones.”.
2.1. NORMAS REVISADAS
Título I. Objeto, Definición y Principios
Artículo 1º. Objeto.
La presente ley tiene por objeto
desarrollar el derecho constitucional que tienen todas las personas a
conocer, actualizar y rectificar las informaciones que se hayan recogido
sobre ellas en bancos de datos, y los demás derechos, libertades y
garantías constitucionales relacionadas con la recolección,
tratamiento y circulación de datos personales a que se refiere el
artículo 15 de la Constitución
Política, así como el derecho a la información establecido en el
artículo 20 de la Constitución
Política, particularmente en relación con la información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países.
Artículo 2º. Ambito de aplicación.
La presente ley
se aplica a todos los datos de información personal registrados en un
banco de datos, sean estos administrados por entidades de naturaleza
pública o privada.
Esta ley se aplicará sin perjuicio de
normas especiales que disponen la confidencialidad o reserva de ciertos
datos o información registrada en bancos de datos de naturaleza pública,
para fines estadísticos, de investigación o sanción de delitos o para
garantizar el orden público.
Se exceptúan de esta ley las
bases de datos que tienen por finalidad producir la Inteligencia de
Estado por parte del Departamento Administrativo de Seguridad, DAS, y de
la Fuerza Pública para garantizar la seguridad nacional interna y
externa.
Los registros públicos a cargo de las cámaras de
comercio se regirán exclusivamente por las normas y principios
consagrados en las normas especiales que las regulan.
Igualmente, quedan excluidos de la aplicación de la presente ley
aquellos datos mantenidos en un ámbito exclusivamente personal o
doméstico y aquellos que circulan internamente, esto es, que no se
suministran a otras personas jurídicas o naturales.
[…]
Artículo 4º. Principios de la administración de datos.
En el
desarrollo, interpretación y aplicación de la presente ley, se tendrán
en cuenta, de manera
armónica e integral, los principios que a
continuación se establecen:
a) Principio de veracidad o
calidad de los registros o datos. La información contenida en los
bancos de datos debe ser veraz, completa, exacta, actualizada,
comprobable y comprensible. Se prohíbe el registro y divulgación de
datos parciales, incompletos, fraccionados o que induzcan a error;
b) Principio de finalidad. La administración de datos personales
debe obedecer a una finalidad legítima de acuerdo con la Constitución y
la ley. La finalidad debe informársele al titular de la información
previa o concomitantemente con el otorgamiento de la autorización,
cuando ella sea necesaria o en general siempre que el titular solicite
información al respecto;
c) Principio de circulación
restringida. La administración de datos personales se sujeta a los
límites que se derivan de la naturaleza de los datos, de las
disposiciones de la presente ley y de los principios de la
administración de datos personales especialmente de los principios de
temporalida d de la información y la finalidad del banco de datos;
Los datos personales, salvo la información pública, no podrán ser
accesibles por Internet o por otros medios de divulgación o comunicación
masiva, salvo que el acceso sea técnicamente controlable para brindar un
conocimiento restringido sólo a los titulares o los usuarios autorizados
conforme a la presente ley;
d) Principio de temporalidad de
la información. La información del titular no podrá ser suministrada
a usuarios o terceros cuando deje de servir para la finalidad del banco
de datos;
e) Principio de interpretación integral de
derechos constitucionales. La presente ley se interpretará en el
sentido de que se amparen adecuadamente los derechos constitucionales,
como son el hábeas data, el derecho al buen nombre, el derecho a la
honra, el derecho a la intimidad y el derecho a la información. Los
derechos de los titulares se interpretarán en armonía y en un plano de
equilibrio con el derecho a la información previsto en el artículo 20 de
la
Constitución y con los
demás derechos
constitucionales aplicables;
f) Principio de seguridad.
La información que conforma los registros individuales constitutivos de los
bancos de datos a que se refiere la ley, así como la resultante de las
consultas que de ella hagan sus usuarios, se deberá manejar con las
medidas técnicas que sean necesarias para garantizar la seguridad de los
registros evitando su adulteración, pérdida, consulta o uso no
autorizado.
g) Principio de confidencialidad. Todas las
personas naturales o jurídicas que intervengan en la administración de
datos personales que no tengan la naturaleza de públicos están obligadas
en todo tiempo a garantizar la reserva de la información, inclusive
después de finalizada su relación con alguna de las labores que
comprende la administración de datos, pudiendo sólo realizar suministro
o
comunicación de datos cuando ello corresponda al desarrollo de las
actividades autorizadas en la presente ley y en los términos de la
misma.
[…]
Título III. Deberes de los
operadores, las fuentes y los usuarios de información
Artículo 7º. Deberes de los operadores de los bancos de datos.
Sin perjuicio del cumplimiento de las demás disposiciones contenidas en
la presente ley y otras que rijan su actividad, los operadores de los
bancos de datos están obligados a:
1. Garantizar, en todo
tiempo al titular de la información, el pleno y efectivo ejercicio del
derecho de hábeas data y de petición, es decir, la posibilidad de
conocer la información que sobre él exista o repose en el banco de
datos, y solicitar la actualiza ción o corrección de datos, todo lo cual
se realizará por conducto de los mecanismos de consultas o reclamos,
conforme lo previsto en la
presente ley.
2. Garantizar, que
en la recolección, tratamiento y circulación de datos, se respetarán los
demás derechos consagrados en la ley.
3. Permitir el acceso a
la información únicamente a las personas que, de conformidad con lo
previsto en esta ley, pueden tener acceso a ella.
4. Adoptar
un manual interno de políticas y procedimientos para garantizar el
adecuado cumplimiento de la presente ley y, en especial, para la
atención de consultas y reclamos por parte de los titulares.
5. Solicitar la certificación a la fuente de la existencia de la
autorización otorgada por el titular, cuando dicha autorización sea
necesaria, conforme lo previsto en la presente ley.
6.
Conservar con las debidas seguridades los registros almacenados para
impedir su deterioro, pérdida, alteración, uso no autorizado o
fraudulento.
7. Realizar periódica y oportunamente la
actualización y rectificación de los datos, cada vez que le reporten
novedades las fuentes, en los términos de la presente ley.
8.
Tramitar las peticiones, consultas y los reclamos formulados por los
titulares de la información, en los términos señalados en la presente
ley.
9. Indicar en el respectivo registro individual que
determinada información se encuentra en discusión por parte de su
titular, cuando se haya presentado la solicitud de rectificación o
actualización de la misma y no haya finalizado dicho trámite, en la
forma en que se regula en la presente ley.
10. Circular la
información a los usuarios dentro de los parámetros de la presente ley.
11. Cumplir las instrucciones y requerimientos que la autoridad de
vigilancia imparta en relación con el cumplimiento de la presente ley.
12. Los demás que se deriven de la Constitución o de la presente ley.
Artículo 8º. Deberes de las fuentes de la información.
Las fuentes de la información deberán cumplir las siguientes
obligaciones, sin perjuicio del
cumplimiento de las demás
disposiciones previstas en la presente ley y en otras que rijan su
actividad:
1. Garantizar que la información que se suministre
a los operadores de los bancos de datos o a los usuarios sea veraz,
completa, exacta, actualizada y comprobable.
2. Reportar, de
forma periódica y oportuna al operador, todas las novedades respecto de
los datos que previamente le haya suministrado y adoptar las demás
medidas necesarias para que la información suministrada a este se
mantenga actualizada.
3. Rectificar la información cuando sea
incorrecta e informar lo pertinente a los operadores.
4.
Diseñar e implementar mecanismos eficaces para reportar oportunamente la
información al operador.
5. Solicitar, cuando sea del caso, y
conservar copia o evidencia de la respectiva autorización otorgada por
los titulares de la información, y asegurarse de no suministrar a los
operadores ningún dato cuyo suministro no esté previamente autorizado,
cuando dicha autorización sea necesaria, de conformidad con lo previsto
en la presente ley.
6. Certificar, semestralmente al operador,
que la información suministrada cuenta con la autorización de
conformidad con lo previsto en la presente ley.
7. Resolver
los reclamos y peticiones del titular en la forma en que se regula en la
presente ley.
8. Informar al operador que determinada
información se encuentra en discusión por parte de su titular, cuando se
haya presentado la solicitud de rectificación o actualización de la
misma, con el fin de que el operador incluya en el banco de datos una
mención en ese sentido hasta que se haya finalizado dicho trámite.
9. Cumplir con las instrucciones que imparta la autoridad de control en
relación con el cumplimiento de la presente ley.
10. Los demás
que se deriven de la Constitución o de la presente ley.
Artículo 9º. Deberes de los usuarios.
Sin perjuicio del
cumplimiento de las disposiciones contenidas en la presente ley y demás
que rijan su actividad, los usuarios de la información deberán:
1. Guardar reserva sobre la información que les sea suministrada por los
operadores de los bancos de datos, por las fuentes o los titulares de la
información y utilizar la información únicamente para los fines para los
que le fue entregada, en los términos de la presente ley.
2.
Informar a los titulares, a su solicitud, sobre la utilización que le
está dando a la información.
3. Conservar con las debidas
seguridades la información recibida para impedir su deterioro, pérdida,
alteración, uso no autorizado o fraudulento.
4. Cumplir con
las instrucciones que imparta la autoridad de control, en relación con
el cumplimiento de la presente ley.
5. Los demás que se
deriven de la Constitución o de la presente ley.
Artículo 10. Principio de favorecimiento a una actividad de interés público.
La actividad de administración de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países está
directamente relacionada y favorece una actividad de interés público,
como lo es la actividad financiera propiamente, por cuanto ayuda a la
democratización del crédito, promueve el desarrollo de la actividad de
crédito, la protección de la confianza pública en el sistema financiero
y la estabilidad del mismo, y genera otros beneficios para la economía
nacional y en especial para la actividad financiera, crediticia,
comercial y de servicios del país.
Parágrafo 1º. La
administración de información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países, por parte de fuentes,
usuarios y operadores deberá realizarse de forma que permita favorecer
los fines de expansión y democratización del crédito. Los usuarios de
este tipo de información deberán valorar este tipo de información en
forma concurrente con otros factores o elementos de juicio que
técnicamente inciden en el estudio de riesgo y el análisis crediticio, y
no podrán basarse exclusivamente en la información relativa al
incumplimiento de obligaciones suministrada por los operadores para
adoptar decisiones frente a solicitudes de crédito.
La
Superintendencia Financiera de Colombia podrá imponer las sanciones
previstas en la presente ley a los usuarios de la información que
nieguen una solicitud de crédito basados exclusivamente en el reporte de
información negativa del solicitante.
Parágrafo 2º. La
consulta de la información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países por parte del titular
siempre será gratuita.
Título IV. De los Bancos de
Datos de información financiera, crediticia, comercial, de servicios y
la proveniente de terceros paises.
Artículo 11. Requisitos especiales para los operadores.
Los operadores de
bancos de datos de información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países que funcionen como entes
independientes a las fuentes de la información, deberán cumplir con los
siguientes requisitos especiales de funcionamiento:
1. Deberán
constituirse como sociedades comerciales, entidades sin ánimo de lucro,
o entidades cooperativas.
2. Deberán contar con un área de
servicio al titular de la información, para la atención de peticiones,
consultas y reclamos.
3. Deberán contar con un sistema de
seguridad y con las demás condiciones técnicas suficientes para
garantizar la seguridad y actualización de los registros, evitando su
adulteración, pérdida, consulta o uso no autorizado conforme lo previsto
en la presente ley.
4. Deberán actualizar la información
reportada por las fuentes con una periodicidad no superior a diez (10)
días calendario contados a partir del recibo de la misma.
Artículo 12. Requisitos especiales para fuentes.
Las fuentes
deberán actualizar mensualmente la información suministrada al operador,
sin perjuicio de lo dispuesto en el Título III de la presente ley.
El reporte de información negativa sobre incumplimiento de obligaciones
de cualquier naturaleza, que hagan las fuentes de información a los
operadores de bancos de datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, sólo
procederá previa comunicación al titular de la información, con el fin
de que este pueda demostrar o efectuar el pago de la obligación, así
como controvertir aspectos tales como el monto de la obligación o
cuota y la fecha de exigibilidad. Dicha comunicación podrá incluirse en
los extractos periódicos que las fuentes de información envíen a sus
clientes.
En todo caso, las fuentes de información podrán
efectuar el reporte de la información transcurridos veinte (20) días
calendario siguientes a la fecha de envío de la comunicación en la
última dirección de domicilio del afectado que se encuentre registrada
en los archivos de la fuente de la información y sin perjuicio, si es
del caso, de dar cumplimiento a la obligación de informar al operador,
que la
información se encuentra en discusión por parte de su titular,
cuando se haya presentado solicitud de rectificación o actualización y
esta aún no haya sido resuelta.
[…]
Artículo 15. Acceso a la información por parte de los usuarios.
La
información contenida en bancos de datos de información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países
podrá ser accedida por los usuarios únicamente con las siguientes
finalidades:
Como elemento de análisis para establecer y
mantener una relación contractual, cualquiera que sea su naturaleza, así
como para la evaluación de los riesgos derivados de una relación
contractual vigente.
Como elemento de análisis para hacer
estudios de mercado o investigaciones comerciales o estadísticas.
Para el adelantamiento de cualquier trámite ante una autoridad pública o
una persona privada, respecto del cual dicha información resulte
pertinente.
Para cualquier otra finalidad, diferente de las
anteriores, respecto de la cual y en forma general o para cada caso
particular se haya obtenido autorización por parte del titular de la
información.
Título V. Peticiones de consultas y
reclamos
Artículo 16. Peticiones, consultas y
reclamos.
I. Trámite de consultas.
Los titulares de la información o sus causa-habientes podrán consultar
la información personal del titular, que repose en cualquier banco de
datos, sea este del sector público o privado. El operador deberá
suministrar a estos, debidamente identificados, toda la información
contenida en el registro individual o que esté vinculada con la
identificación del titular.
La petición, consulta de
información se formulará verbalmente, por escrito, o por cualquier canal
de comunicación, siempre y cuando se mantenga evidencia de la consulta
por medios técnicos.
La petición o consulta será atendida en
un término máximo de diez (10) días hábiles contados a partir de la
fecha de recibo de la misma. Cuando no fuere posible atender la petición
o consulta dentro de dicho término, se informará al interesado,
expresando los motivos de la demora y señalando la fecha en que se
atenderá su petición, la cual en ningún caso podrá superar los cinco (5)
días hábiles siguientes al vencimiento del primer término.
Parágrafo.
La petición o consulta se deberá atender de fondo, suministrando
integralmente toda
la información solicitada.
II. Trámite de reclamos.
Los titulares de la información o
sus causahabientes que consideren que la información contenida en su
registro individual en un banco de datos debe ser objeto de corrección o
actualización podrán presentar un reclamo ante el operador, el cual será
tramitado bajo las siguientes reglas:
1. La petición o reclamo
se formulará mediante escrito dirigido al operador del banco de datos,
con la identificación del titular, la descripción de los hechos que dan
lugar al reclamo, la dirección, y si fuere el caso, acompañando los
documentos de soporte que se quieran hacer valer. En caso de que el
escrito resulte incompleto, se deberá oficiar al interesado para que
subsane las fallas.
Transcurrido un mes desde la fecha del
requerimiento, sin que el solicitante presente la información requerida,
se entenderá que ha desistido de la reclamación o petición.
2.
Una vez recibido la petición o reclamo completo el operador incluirá en
el registro individual en un término no mayor a dos (2) días hábiles una
leyenda que diga “reclamo en trámite” y la naturaleza del mismo.
Dicha información deberá mantenerse hasta que el reclamo sea decidido y
deberá incluirse en la información que se suministra a los usuarios.
3. El término máximo para atender la petición o reclamo será de quince
(15) días hábiles contados a partir del día siguiente a la fecha de su
recibo. Cuando no fuere posible atender la petición dentro de dicho
término, se informará al interesado, expresando los motivos de la demora
y señalando la fecha en que se atenderá su petición, la cual en ningún
caso podrá superar los ocho (8) días hábiles siguientes al vencimiento
del primer término.
4. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles.
En todo caso, la
respuesta deberá darse al titular por el operador en el término máximo
de quince
(15) días hábiles contados a partir del día siguiente a la
fecha de presentación de la reclamación, prorrogables por ocho (8) días
hábiles más, según lo indicado en el numeral anterior. Si el reclamo es
presentado ante la fuente, esta procederá a resolver directamente el
reclamo, pero deberá informar al operador sobre la recepción del reclamo
dentro de los dos (2) días hábiles siguientes a su recibo, de forma que
se pueda dar cumplimiento a la obligación de incluir la leyenda que diga
"reclamo en trámite" y la naturaleza del mismo dentro del registro
individual, lo cual deberá hacer el operador dentro de los dos (2) días
hábiles siguientes a haber recibido la información de la fuente.
5. Para dar respuesta a la petición o reclamo, el operador o la fuente,
según sea el caso, deberá realizar una verificación completa de las
observaciones o planteamientos del titular, asegurándose de revisar toda
la información pertinente para poder dar una respuesta completa al
titular.
6. En caso que el titular no se encuentre satisfecho
con la respuesta a la petición, podrá recurrir al proceso ordinario
dentro de los términos legales pertinentes para debatir lo pertinente en
la obligación reportada como incumplida. La demanda deberá ser
interpuesta contra la fuente de la información la cual, una vez
notificada de la misma, procederá a informar al operador dentro de los
dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento
a la obligación de incluir la leyenda que diga «información en
discusión judicial» y la naturaleza de la misma dentro del registro
individual, lo cual deberá hacer el operador dentro de los dos (2) días
hábiles siguientes a haber recibido la información de la fuente y por
todo el tiempo que tome obtener un fallo en firme.
Igual
procedimiento deberá seguirse en caso que la fuente inicie un proceso
judicial contra el titular de la información, referente a la obligación
reportada como incumplida, y éste proponga excepciones de mérito.
[…]
Artículo 18. Sanciones.
La Superintendencia de
Industria y Comercio y la Superintendencia Financiera podrán imponer a
los operadores, fuentes o usuarios de información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países
previas explicaciones de acuerdo con el procedimiento aplicable,
las
siguientes sanciones:
Multas de carácter personal e
institucional hasta por el equivalente a mil quinientos (1.500) salarios
mínimos mensuales legales vigentes al momento de la imposición de la
sanción, por violación a la presente ley, normas que la reglamenten, así
como por la inobservancia de las órdenes e instrucciones impartidas por
dicha Superintendencia. Las multas aquí previstaspodrán ser
sucesivas
mientras subsista el incumplimiento que las originó.
Suspensión
de las actividades del banco de datos, hasta por un término de seis (6)
meses, cuando se estuviere llevando a cabo la administración de la
información en violación grave de las condiciones y requisitos previstos
en la presente ley, así como por la inobservancia de las órdenes e
instrucciones impartidas por las Superintendencias mencionadas para
corregir tales violaciones.
Cierre o clausura de operaciones
del banco de datos cuando, una vez transcurrido el término de
suspensión, no hubiere adecuado su operación técnica y logística, y sus
normas y procedimientos a los requisitos de ley, de conformidad con lo
dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y
definitivo de la operación de bancos de datos que administren datos
prohibidos.
Artículo 19. Criterios para graduar las sanciones.
Las sanciones por infracciones a que se refiere el
artículo anterior se graduarán atendiendo los siguientes criterios, en
cuanto resulten aplicables:
a) La dimensión del daño o peligro
a los intereses jurídicos tutelados por la presente ley;
b) El
beneficio económico que se hubiere obtenido para el infractor o para
terceros, por la comisión de la infracción, o el daño que tal infracción
hubiere podido causar;
c) La reincidencia en la comisión de la
infracción;
d) La resistencia, negativa u obstrucción a la
acción investigadora o de vigilancia de la Superintendencia de Industria
y Comercio;
e) La renuencia o desacato a cumplir, con las
órdenes impartidas por la Superintendencia de Industria y Comercio;
f) El reconocimiento o aceptación expresos que haga el investigado sobre
la comisión de la infracción antes de la imposición de la sanción a que
hubiere lugar.
Título VII. De las disposiciones
finales
Artículo 20. Régimen de transición para las entidades de control.
La Superintendencia de Industria y
Comercio y la Superintendencia Financiera asumirán, seis (6) meses
después de la entrada en vigencia de la presente ley, las funciones aquí
establecidas. Para tales efectos, dentro de dicho término el Gobierno
Nacional adoptará las medidas necesarias para adecuar la estructura de
la Superintendencia de Industria, Comercio y Financiera dotándola de la
capacidad presupuestal y técnica necesaria para cumplir con dichas
funciones.
Artículo 21. Régimen de transición.
Para el cumplimiento de las disposiciones contenidas en la presente
ley, las personas que, a la fecha de su entrada en vigencia ejerzan
alguna de las actividades aquí reguladas, tendrán un plazo de
hasta
seis (6) meses para adecuar su funcionamiento a las disposiciones de la
presente ley.
Los titulares de la información que a la entrada
en vigencia de esta ley estuvieren al día en sus obligaciones objeto de
reporte, y cuya información negativa hubiere permanecido en los bancos
de datos por lo menos un año contado a partir de la cancelación de las
obligaciones, serán beneficiarios de la caducidad inmediata de la
información negativa.
A su vez, los titulares de la
información que se encuentren al día en sus obligaciones objeto de
reporte, pero cuya información negativa no hubiere permanecido en los
bancos de datos al menos un año después de canceladas las obligaciones,
permanecerán con dicha información negativa por el tiempo que les
hiciere falta para cumplir el año, contado a partir de la cancelación de
las
obligaciones.
Los titulares de la información que cancelen
sus obligaciones objeto de reporte dentro de los seis (6) meses
siguientes a la entrada en vigencia de la presente ley, permanecerán con
dicha información negativa en los bancos de datos por el término de un
(1) año, contado a partir de la fecha de cancelación de tales
obligaciones. Cumplido este plazo de un (1) año, el dato negativo deberá
ser retirado automáticamente de los bancos de datos.
El
beneficio previsto en este artículo se perderá en caso que el titular de
la información incurra nuevamente en mora, evento en el cual su reporte
reflejará nuevamente la totalidad de los incumplimientos pasados, en los
términos previstos en el artículo 13 de esta ley.
Artículo 22. Vigencia y derogatorias.
Esta ley rige a partir de la fecha de publicación y deroga las
disposiciones que le sean contrarias.
2.2. DECISIÓN
Segundo.- Declarar EXEQUIBLES los artículos 1º,
2º, 4º, 7º, 8º, 9º, 10, 11, 12, 15, 16, 18, 19, 20, 21 y 22 del
Proyecto de Ley Estatutaria objeto de revisión.
3.1. NORMA REVISADA
Artículo 3º. Definiciones.
Para los efectos de la presente ley, se entiende por:
a)
Titular de la información. Es la persona natural o jurídica a quien
se refiere la información que reposa en un banco de datos y sujeto del
derecho de hábeas data y demás derechos y garantías a que se refiere la
presente ley;
b) Fuente de información. Es la persona,
entidad u organización que recibe o conoce datos personales de los
titulares de la información, en virtud de una relación comercial o de
servicio o de cualquier otra índole y que, en razón de autorización
legal o del titular, suministra esos datos a un operador de información,
el que a su vez los entregará al usuario final. Si la fuente entrega la
información directamente a los usuarios y no, a través de un operador,
aquella tendrá la doble condición de fuente y operador y asumirá los
deberes y responsabilidades de ambos. La fuente de la información
responde por la calidad de los datos suministrados al operador la cual,
en cuanto tiene acceso y suministra información personal de terceros, se
sujeta al cumplimiento de los
deberes y responsabilidades previstas
para garantizar la protección de los derechos del titular de los datos;
c) Operador de información.
Se denomina operador de información a la persona, entidad u organización que
recibe de la fuente datos personales sobre varios titulares de la
información, los administra y los pone en conocimiento de los usuarios
bajo los parámetros de la presente ley.
Por tanto el operador,
en cuanto tiene acceso a información personal de terceros, se sujeta al
cumplimiento de los deberes y responsabilidades previstos para
garantizar la protección de los derechos del titular de los datos. Salvo
que el operador sea la misma fuente de la información, este no tiene
relación comercial o de servicio con el titular y por ende no es
responsable por la calidad de los datos que le sean suministrados por la
fuente;
d) Usuario. El usuario es la persona natural o
jurídica que, en los términos y circunstancias previstos en la presente
ley, puede acceder a información personal de uno o varios titulares de
la información suministrada por el operador o por la fuente, o
directamente por el titular de la información. El usuario, en cuanto
tiene acceso a información personal de terceros, se sujeta al
cumplimiento de los deberes y responsabilidades previstos para
garantizar la protección de los derechos del titular de los datos. En el
caso en que el usuario a su vez entregue la información directamente a
un operador, aquella tendrá la doble condición de usuario y fuente, y
asumirá los deberes y responsabilidades de ambos;
e) Dato
personal. Es cualquier pieza de información vinculada a una o varias
personas determinadas o determinables o que puedan asociarse con una
persona natural o jurídica. Los datos impersonales no se sujetan al
régimen de protección de datos de la presente ley. Cuando en la presente
ley se haga referencia a un dato, se presume que se trata de uso
personal. Los datos personales pueden ser públicos, semiprivados o
privados;
f) Dato público. Es el dato calificado como
tal según los mandatos de la ley o de la Constitución Política y todos
aquellos que no sean semiprivados o privados, de conformidacon la
presente ley. Son públicos, entre otros, los datos contenidos en
documentos públicos, sentencias judiciales debidamente ejecutoriadas que
no estén sometidos a reserva y los relativo al estado civil de las
personas;
g) Dato semiprivado. Es semiprivado el dato
que no tiene naturaleza íntima, reservada, ni pública y cuyo
conocimiento o divulgación puede interesar no sólo a su titular sino a
cierto sector o grupo de personas o a la sociedad en general, como el
dato financiero y crediticio de actividad comercial o de servicios a que
se refiere el Título IV de la presente ley;
h) Dato
privado. Es el dato que por su naturaleza íntima o reservada sólo es
relevante para el titular;
i) Agencia de información
comercial.
Es toda empresa legalmente constituida que tenga como actividad
principal la recolección, validación y procesamiento de información
comercial sobre las empresas y comerciantes específicamente solicitadas
por sus clientes, entendiéndose por información comercial aquella
información histórica y actual relativa a la situación financiera,
patrimonial, de mercado, administrativa, operativa, sobre el
cumplimiento de obligaciones y
demás información relevante para
analizar la situación integral de una empresa.
Para los
efectos de la presente ley, las agencias de información comercial son
operadores de información y fuentes de información;
Parágrafo.
A las agencias de información comercial, así como a sus fuentes o
usuarios, según sea el caso, no se aplicarán las siguientes
disposiciones de la presente ley: numerales 2 y 6 del artículo 8º,
artículo 12, y artículo 14.
j) Información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países.
Para todos los efectos de la presente ley se entenderá por información
financiera, crediticia, comercial de servicios y la proveniente de
terceros países, aquella referida al nacimiento, ejecución y extinción
de obligaciones dinerarias, independientemente de la naturaleza del
contrato que les
dé origen, así como la información relativa a las
demás actividades propias del sector financiero o sobre el manejo
financiero o los estados financieros del titular.
3.2. DECISIÓN
Tercero.-
Declarar EXEQUIBLE el artículo 3º del
Proyecto de Ley objeto de revisión, en el entendido que respecto
a lo previsto en el literal c) de este artículo, el operador es
responsable a partir de la recepción del dato suministrado por la
fuente, por el incumplimiento de los deberes de diligencia y cuidado en
relación con la calidad de la información personal, consagrados en esta
Ley
Estatutaria. Esta declaratoria de exequibilidad operará salvo la
expresión “así como la información relativa a las demás actividades
propias del sector financiero o sobre el manejo financiero o los estados
financieros del titular”,
contenida en el literal j) del artículo 3º del
Proyecto de Ley Estatutaria, que se declara INEXEQUIBLE.
4.1. NORMA REVISADA
Artículo 5º. Circulación de información.
La información personal
recolectada o suministrada de conformidad con lo dispuesto en la ley a
los operadores que haga parte del banco de datos que administra, podrá
ser entregada de manera
verbal, escrita, o puesta a disposición de
las siguientes personas y en los siguientes términos:
a) A los
titulares, a las personas debidamente autorizadas por estos y a sus
causahabientes mediante el procedimiento de consulta previsto en la
presente ley;
b) A los usuarios de la información, dentro de
los parámetros de la presente ley;
c) A cualquier autoridad
judicial, previa orden judicial;
d) A las entidades públicas del
poder ejecutivo, cuando el conocimiento de dicha información corresponda
directamente al cumplimiento de alguna de sus funciones;
e) A
los órganos de control y demás dependencias de investigación
disciplinaria, fiscal, o administrativa, cuando la información sea
necesaria para el desarrollo de una investigación en curso;
f)
A otros operadores de datos, cuando se cuente con autorización del
titular, o cuando sin ser necesaria la autorización del titular el banco
de datos de destino tenga la misma finalidad o una finalidad que
comprenda la que tiene el operador que entrega los datos. Si el receptor
de la información fuere un banco de datos extranjero, la entrega sin
autorización del titular sólo podrá realizarse dejando constancia
escrita de la entrega de la información y previa verificación por parte
del operador de que las leyes del país respectivo o el receptor otorgan
garantías suficientes para la protección de los derechos del titular.
4.2. DECISIÓN
Cuarto.-
Declarar EXEQUIBLE el artículo 5º del
Proyecto de Ley objeto de revisión, en el entendido que respecto
a lo previsto en el literal d) de este artículo, las entidades públicas
del poder ejecutivo, cuando acceden al dato personal, quedan sometidas a
los deberes y responsabilidades previstos por la Ley Estatutaria para
los usuarios de la información.
5.1. NORMA
REVISADA
Título II. Derechos de los
titulares de información
Artículo 6º. Derechos de los titulares de la información.
Los titulares tendrán los
siguientes derechos:
1. Frente a los operadores de los bancos
de datos:
1.1 Ejercer el derecho fundamental al hábeas data en
los términos de la presente ley, mediante la utilización de los
procedimientos de consultas o reclamos, sin perjuicio de los demás
mecanismos constitucionales y legales.
1.2 Solicitar el
respeto y la protección de los demás derechos constitucionales o
legales, así como de las demás disposiciones de la presente ley,
mediante la utilización del procedimiento de reclamos y peticiones.
1.3 Solicitar prueba de la certificación de la existencia de la
autorización expedida por la fuente o por el usuario.
1.4
Solicitar información acerca de los usuarios autorizados para obtener
información.
Parágrafo.
La administración de información pública no requiere autorización del
titular de los datos, pero se sujeta al cumplimiento de los principios
de la administración de datos personales y a las demás disposiciones de
la presente ley.
La administración de datos semiprivados y
privados requiere el consentimiento previo y expreso del titular de los
datos, salvo en el caso del dato financiero, crediticio, comercial, de
servicios y el proveniente de terceros países el cual no requiere
autorización del titular. En todo caso, la administración de datos
semiprivados y privados se sujeta al cumplimiento de los principios de
la
administración de datos personales y a las demás disposiciones de
la presente ley.
2. Frente a las fuentes de la información:
2.1 Ejercer los derechos fundamentales al hábeas data y de petición,
cuyo cumplimiento se podrá realizar a través de los operadores, conforme
lo previsto en los procedimientos de consultas y reclamos de esta ley,
sin perjuicio de los demás mecanismos constitucionales o legales.
2.2 Solicitar información o pedir la actualización o rectificación de
los datos contenidos en la base de datos, lo cual realizará el operador,
con base en la información aportada por la fuente, conforme se establece
en el procedimiento para consultas, reclamos y peticiones.
2.3
Solicitar prueba de la autorización, cuando dicha autorización sea
requerida conforme lo previsto en la presente ley.
3. Frente a
los usuarios:
3.1 Solicitar información sobre la utilización
que el usuario le está dando a la información, cuando dicha información
no hubiere sido suministrada por el operador.
3.2 Solicitar
prueba de la autorización, cuando ella sea requerida conforme lo
previsto en la presente ley.
Parágrafo. Los titulares de
información financiera y crediticia tendrán adicionalmente los
siguientes derechos:
Podrán acudir ante la autoridad de
vigilancia para presentar quejas contra las fuentes, operadores o
usuarios por violación de las normas sobre administración de la
información financiera y crediticia.
Así mismo, pueden acudir
ante la autoridad de vigilancia para pretender que se ordene a un
operador o fuente la corrección o actualización de sus datos personales,
cuando ello sea procedente conforme lo establecido en la presente ley.
5.2. DECISIÓN
Quinto.-
Declarar EXEQUIBLE
el artículo 6º del Proyecto de Ley
objeto de revisión, en el entendido que respecto a lo previsto en el
numeral 2.1. de este artículo, la fuente tiene la obligación de informar
a los titulares los datos que suministra al operador, para los fines
previstos en el inciso 2º del artículo 12 de la
Ley Estatutaria.
6.1. NORMA
REVISADA
Artículo 13. Permanencia de la información.
La información de carácter positivo permanecerá
de manera indefinida en los bancos de datos de los operadores de
información.
Los datos cuyo contenido haga referencia al
tiempo de mora, tipo de cobro, estado de la cartera, y en general,
aquellos datos referentes a una situación de incumplimiento de
obligaciones, se regirán por un término máximo de permanencia, vencido
el cual deberá ser retirada de los bancos de datos por el operador, de
forma que los usuarios no puedan acceder o consultar dicha información.
El término de permanencia de esta información será de cuatro (4) años
contados a partir de la fecha en que sean pagadas las cuotas vencidas o
sea pagada la obligación vencida.
6.2.
DECISIÓN
Sexto.-
Declarar EXEQUIBLE el artículo 13 del
Proyecto de Ley objeto de revisión, en el entendido que la
caducidad del dato financiero en caso de mora inferior a dos años, no
podrá exceder el doble de la mora, y que el término de permanencia de
cuatro años también se contará a partir del momento en que se extinga la
obligación por cualquier modo.
7.1. NORMA
REVISADA
Artículo 14. Contenido de la información.
El Gobierno Nacional establecerá la forma en la
cual los bancos de datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, deberán
presentar la
información de los titulares de la información. Para
tal efecto, deberá señalar un formato que permita identificar, entre
otros aspectos, el nombre completo del deudor, la condición en que
actúa, esto es, como deudor principal, deudor solidario, avalista o
fiador, el monto de la obligación o cuota vencida, el tiempo de mora y
la fecha del pago, si es del caso.
El Gobierno Nacional al
ejercer la facultad prevista en el inciso anterior deberá tener en
cuenta que en el formato de reporte deberá establecer que:
a)
Se presenta reporte negativo cuando la(s) persona(s) naturales o
jurídicas efectivamente se encuentran en mora en sus cuotas u
obligaciones;
b) Se presenta reporte positivo cuando la(s)
persona(s) naturales y jurídicas están al día en sus obligaciones.
El incumplimiento de la obligación aquí prevista dará lugar a la
imposición de las máximas sanciones previstas en la presente ley.
Parágrafo 1 º. Para los efectos de la presente ley se entiende que
una obligación ha sido voluntariamente pagada, cuando su pago se ha
producido sin que medie sentencia judicial que así lo ordene.
Parágrafo 2º. Las consecuencias previstas en el presente artículo
para el pago voluntario de las obligaciones vencidas, será predicable
para cualquier otro modo de extinción de las obligaciones, que no sea
resultado de una sentencia judicial.
Parágrafo 3º.
Cuando un usuario consulte el estado de un titular en las bases de datos
de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países, estas tendrán que dar información exacta
sobre su estado actual, es decir, dar un reporte positivo de los
usuarios que en el momento de la consulta están al día en sus
obligaciones y uno negativo de los
que al momento de la consulta se
encuentren en mora en una cuota u obligaciones.
El resto de la
información contenida en las bases de datos financieros, crediticios,
comercial, de servicios y la proveniente de terceros países hará parte
del historial crediticio de cada usuario, el cual podrá ser consultado
por el usuario, siempre y cuando hubiere sido informado sobre el estado
actual.
Parágrafo 4º. Se prohíbe la administración de
datos personales con información exclusivamente desfavorable.
7.2. DECISIÓN
Séptimo.-
Declarar EXEQUIBLE el artículo 14 del
Proyecto de Ley, en el entendido que las expresiones “reporte
negativo”
y “reporte positivo” de los literales a. y b. hacen referencia
exclusivamente al cumplimiento o incumplimiento de la obligación, y que
el reporte deberá contener la información histórica, integral, objetiva
y veraz del comportamiento crediticio del titular.
8.1. NORMA REVISADA
Título VI. Vigilancia de los
destinatarios de la Ley
Artículo 17. Función de vigilancia.
La Superintendencia de Industria y Comercio ejercerá la función de
vigilancia de los operadores, las fuentes y los usuarios de información
financiera, crediticia, comercial, de servicios y la proveniente de
terceros países, en cuanto se refiere a la actividad de administración
de datos
personales que se regula en la presente ley.
En
los casos en que la fuente, usuario u operador de información sea una
entidad vigilada por la Superintendencia Financiera de Colombia, esta
ejercerá la vigilancia e impondrá las sanciones correspondientes, de
conformidad con las facultades que le son propias, según lo establecido
en el Estatuto Orgánico del Sistema Financiero y las demás normas
pertinentes y las establecidas en la
presente ley.
Para el
ejercicio de la función de vigilancia a que se refiere el presente
artículo, la Superintendencia de Industria y Comercio y la
Superintendencia Financiera de Colombia, según el caso, tendrán en
adición a las propias las siguientes facultades:
1. Impartir
instrucciones y órdenes sobre la manera como deben cumplirse las
disposiciones de la presente ley relacionadas con la administración de
la información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países fijar los criterios que faciliten su
cumplimiento y señalar procedimientos para su cabal aplicación.
2. Velar por el cumplimiento de las disposiciones de la presente ley, de
las normas que la reglamenten y de las instrucciones impartidas por la
respectiva Superintendencia.
3. Velar porque los operadores y
fuentes cuenten con un sistema de seguridad y con las demás condiciones
técnicas suficientes para garantizar la seguridad y actualización de los
registros, evitando su adulteración, pérdida, consulta o uso no
autorizado conforme lo previsto en la presente ley.
4. Ordenar
a cargo del operador, la fuente o usuario la realización de auditorías
externas de sistemas para verificar el cumplimiento de las disposiciones
de la presente ley.
5. Ordenar de oficio o a petición de parte
la corrección, actualización o retiro de datos personales cuando ello
sea procedente, conforme con lo establecido en la presente ley. Cuando
sea a petición de parte, se deberá acreditar ante la Superintendencia
que se surtió el trámite de un reclamo por los mismos hechos ante el
operador o la fuente, y que el mismo no fue atendido o fue atendido
desfavorablemente.
6. Iniciar de oficio o a petición de parte
investigaciones administrativas contra los operadores, fuentes y
usuarios de información financiera, crediticia, comercial, de servicios
y la proveniente de terceros países, con el fin de establecer si existe
responsabilidad administrativa derivada del incumplimiento de las
disposiciones de la presente ley o de las órdenes o instrucciones
impartidas por el organismo de vigilancia respectivo, y si es del caso
imponer sanciones u ordenar las medidas
que resulten pertinentes.
8.2. DECISIÓN
Octavo.- Declarar
EXEQUIBLE
el artículo 17 del Proyecto de Ley
objeto de revisión, en el entendido que las Superintendencias, en todo
caso, deben actuar con independencia y autonomía en su función de
vigilancia.
9. REMISIÓN DEL PROYECTO DE LEY
Noveno.- ENVIAR copia auténtica de esta sentencia a los Presidentes
del Senado de la República y de la Cámara de Representantes para su
conocimiento, y con el fin de que remitan al Presidente de la República
el texto del proyecto de ley, para los efectos del correspondiente
trámite constitucional.
HUMBERTO ANTONIO SIERRA
PORTO
Presidente