Preguntas Frecuentes

15. La Ley 1266 de 2008 y sus principales aspectos

  1. ¿Cuáles son los sujetos que intervienen en la administración y tratamiento de los datos de carácter financiero?
  2. ¿Cuáles son los derechos y deberes que la ley reconoció a los sujetos que intervienen en la administración y tratamiento de los datos de carácter financiero?
  3. ¿Siempre se debe otorgar autorización para el reporte de un dato personal de carácter financiero?
  4. ¿Qué quiere decir que un dato tiene carácter semiprivado?
  5. ¿Qué otra condición es necesaria para que pueda proceder al reporte de información de titular?
  6. ¿Cómo puede el titular ejercer sus derechos?
  7. ¿Cuánto tiempo puede permanecer la información negativa de un titular en una base de datos?
  8. ¿Qué otras autoridades intervienen en la protección de datos personales de carácter crediticio o financiero?

Las personas que intervienen en la administración y tratamiento del dato financiero o crediticio son: el titular, la fuente, el operador y el usuario de la información:

1. Titular: Es la persona natural o jurídica a quien se refiere la información que reposa en un determinado banco de datos. Es el sujeto del derecho de Hábeas Data.

Por ejemplo, es titular de información, quien toma un crédito con un banco o quien contrata el servicio de telefonía móvil celular con una compañía que ofrece éstos servicios.

2. La fuente de información: Es la persona, entidad u organización que recibe o conoce datos personales debido a una relación comercial, de servicio o de cualquier otra índole que tiene establecida con el titular y que en virtud de autorización que éste le proporciona, la suministra a un operador.

En el ejemplo anterior, es fuente de información el banco que otorgó el crédito o la compañía de telefonía móvil celular, que reportan información del titular al operador.

3. El operador de información: Es la persona, entidad u organización que recibe, administra y pone en conocimiento de los usuarios la información.

4. El usuario de la información: Es la persona natural o jurídica que puede acceder a determinada información personal, que le es suministrada por el titular, la fuente o el operador.

En el ejemplo expuesto en primera instancia, son usuarios de la información, el banco que otorgó el crédito o la compañía de telefonía móvil celular. De acuerdo con lo anterior, una persona, compañía o entidad puede ser a la vez fuente y usuario de la información aunque no necesariamente.
Ir arriba
La Ley 1266 de 2008 sólo reconoció deberes a los operadores, fuentes y usuarios de la información, los cuales están contenidos en los artículos 7, 8 y 9 respectivamente.

Al titular por el contrario, no le reconoció deberes sino los siguientes derechos:

1. Frente a los operadores:

- Ejercer el derecho fundamental al hábeas data, mediante la utilización de consultas, peticiones o reclamos.
- Solicitar certificación de la existencia de la autorización expedida por la fuente o por el usuario.
- Solicitar información acerca de los usuarios autorizados para obtener información.
- Consultar de manera gratuita su historia de crédito al menos una vez al mes.

2. Frente a las fuentes:

- Ejercer los derechos fundamentales al hábeas data y de petición, mediante consultas, peticiones y reclamos.
- Solicitar la actualización o rectificación de los datos contenidos en la base de datos que administraran los operadores.
- Solicitar prueba de la autorización previa, voluntaria y expresa que fue otorgada a la fuente para el reporte de su información.
- Ser avisado, por lo menos con 20 días de anticipación, de que será reportado en una base de datos.

3. Frente a los usuarios:

- Solicitar información respecto a la utilización que el usuario le está dando a sus datos, cuando esta no fue suministrada por el operador.
- Solicitar prueba de la autorización, cuando esta se requiera según lo previsto en la Ley 1266 de 2008.
Ir arriba
Si, la ley y la jurisprudencia han considerado que el dato personal de carácter financiero tiene carácter semiprivado y en esa medida, para efectos de ser reportado ante un operador de información, se debe haber recaudado de manera previa y expresa la autorización del titular.
Ir arriba
La ley definió que los datos personales son de tres clases: privados, semiprivados y públicos.

El dato semiprivado es aquel que no tiene naturaleza privada ni pública y cuyo conocimiento le interesa sólo a cierto grupo de personas, como por ejemplo, a aquellas que están interesadas en establecer una relación crediticia con una determinada persona.
Ir arriba
Además de haber recaudado la autorización del titular de manera previa al reporte, la fuente debe haberle comunicado por escrito que procederá en tal sentido. Lo anterior, con el fin de que el titular pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Así las cosas, el reporte sólo podrá realizarse, transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación a la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de información.
Ir arriba
El titular puede ejercer sus derechos a través de los mecanismos de consulta y reclamos, previstos por la ley.

1. La consulta:

a. Para conocer la información personal que de él reposa en un banco o base de datos, el titular, las personas que autorice o sus causahabientes, pueden dirigirse ante el Operador y presentar una consulta, bien sea de manera verbal o escrito.

b. El operador cuenta con 10 días hábiles, contados a partir del recibo de la comunicación para atender la consulta. La materia de la consulta deberá ser resuelta de fondo de manera integra y completa.

c. Si no es posible para el Operador responder en el término antes señalado, este deberá informar al peticionario el motivo de la demora y la fecha en que dará respuesta, la cual no podrá ser superior a cinco (5) días hábiles siguientes al vencimiento del primer término.

2. El reclamo:

a. Cuando el titular de la información que reposa en un banco o base de datos considera que ésta debe ser actualizada, aclarada o corregida, puede dirigirse ante el Operador de información o directamente ante la fuente y reclamar con tal fin. Pueden también realizar el reclamo sus causahabientes.

b. El reclamo debe presentarse por escrito y debe incluir la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección y los documentos de soporte que quiera hacer valer.

c. Si el reclamo se presenta ante el Operador, este deberá dentro de los dos (2) días siguientes a su recibo, incluir el registro individual del titular la advertencia "reclamo en trámite". Si el reclamo es presentado directamente ante la fuente, esta deberá proceder a resolverlo pero deberá informar al Operador dentro de los dos (2) días siguientes para que incluya la advertencia anteriormente mencionada.

d. El reclamo debe ser atendido por el Operador o la fuente, dentro de los quince (15) días hábiles siguientes a su recibo. Cuando no sea posible atender el reclamo dentro de este término, se debe informar al reclamante el motivo de la demora y la fecha cierta en que se hará, la cual no puede ser superior a ocho (8) días hábiles, contados desde el vencimiento del primer término.

e. En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo antes indicado.

f. El mecanismo fundamental de la tutela (acción judicial) para amparar el derecho fundamental de hábeas data, procede sin perjuicio de la reclamación que se haga ante el operador o la fuente.
Ir arriba
Ante todo, es necesario señalar que existe "información negativa" o "reporte negativo" cuando el titular se encuentra en mora en sus cuotas u obligaciones.
Ahora bien, existen unas reglas de permanencia del dato negativo en las bases de datos, así:

a. Para las obligaciones con un término de mora inferior a dos (2) años, el tiempo de permanencia de la información negativa será igual al doble de la mora.

b. Para las obligaciones que hubieren tenido una mora igual o superior a dos (2) años, el tiempo de permanencia de la información negativa será de cuatro (4) años.
Ir arriba
Además de los jueces de la República, quienes pueden conocer de una acción de tutela para proteger el derecho fundamental de hábeas data de un ciudadano, la ley 1266 de 2008 previó que la Superintendencia de Industria y Comercio y financiera deben vigilar administrativamente a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios.

La Superintendencia Financiera de Colombia tiene la competencia para ejercer la función de vigilancia, sólo si el operador, la fuente o el usuario de la información, es una entidad vigilada por ésta.

La Superintendencia de Industria y Comercio tiene la función de vigilancia en todos los demás casos (competencia residual).

El titular deberá dirigirse ante la Superintendencia Financiera de Colombia o ante la Superintendencia de Industria y Comercio según la regla de competencia anterior, para presentar una queja por violación al derecho de hábeas data o a las disposiciones contenidas en la Ley 1266 de 2008.

En caso de que las Superintendencias de Industria y Comercio o Financiera de Colombia verifiquen el incumplimiento de lo establecido por la Ley 1266 de 2008 por parte de algún operador, fuente o usuario de información personal, podrán imponer las siguientes sanciones:

- Multas de carácter personal e institucional hasta por 1.500 s.m.m.l.v.
- Suspensión de las actividades hasta por 6 meses.
- Cierre o clausura de las operaciones del banco de datos si no hubiere adecuado su operación técnica y logística.
- Cierre inmediato y definitivo del banco de datos que administre datos prohibidos.

Si la petición que se presenta ante la Superintendencia respectiva es con el fin de que se ordene a la fuente o al operador la aclaración, modificación o retiro de información personal en una base de datos, es necesario haber presentado previamente, reclamo ante el operador o la fuente, por los mismos hechos que motivan la queja.

Si el objeto de la queja no es el anteriormente señalado, no se requiere demostrar el requisito de haberse dirigido previamente ante el operador o la fuente para reclamar.

La queja puede ser presentada verbalmente ante la Superintendencia de Industria y Comercio, por escrito en medio físico (carta) o a través de la página de Internet de la Entidad en la dirección www.sic.gov.co, en el link "Servicios de Información al Ciudadano - Denuncias/Quejas"
Ir arriba
Acerca de este Portal Nexura