Actualizaciones a la Circular Única de la SIC en los temas relacionados con la Protección de Datos Personales – octubre de 2022

Con el fin de verificar el cumplimiento de lo dispuesto en el numeral 5 del artículo 7 de la Ley 1266 de 2008, los operadores de información deben cumplir las siguientes instrucciones:

a)Dentro de los diez (10) primeros días hábiles de los meses de febrero y agosto de cada año deben enviar a la Delegatura para la Protección de Datos Personales de esta Superintendencia una constancia, con corte a 31 de diciembre y 30 de junio, suscrita por su representante legal, en la que se manifieste expresamente que cumplieron con el deber de solicitar a las fuentes de información la certificación semestral de la existencia de la autorización previa y expresa para el reporte de información en sus bases de datos.

b) Dentro de los diez (10) primeros días hábiles de los meses de marzo y septiembre de cada año deben remitir a la Delegatura para la Protección de Datos Personales de esta Superintendencia, en medio magnético, editable, en formatos de Excel, la relación de las fuentes que no cumplieron con la obligación de certificar la existencia de la autorización previa y expresa para el reporte de información de sus titulares. La citada relación debe contener, por lo menos:

(i) El nombre y/o razón social de la fuente de información incumplida.

(ii) El número de identificación.

(iii) La última dirección registrada por la fuente.

(iv) La fecha en la cual se envió la solicitud de remisión de la certificación de la existencia de la autorización previa y expresa.

c) En caso de que las fuentes no envíen la certificación semestral establecida en el numeral 5 del artículo 7 de la Ley 1266 de 2008, dentro del término previsto en el literal a) anterior, los operadores deberán bloquear toda la información reportada sobre la cual la fuente no haya remitido la certificación de que cuenta con autorización. Los operadores procederán a efectuar el bloqueo de la información en un término máximo de veinte (20) días hábiles siguientes al vencimiento del plazo respectivo. Una vez la fuente de información aporte la certificación semestral, el operador deberá desbloquear la información.

Con el fin de verificar el cumplimiento de lo dispuesto en el numeral 5 del artículo 7 de la Ley Estatutaria 1266 de 2008, los Operadores de información deben cumplir las siguientes instrucciones.

a) Dentro de los diez (10) primeros días hábiles de los meses de febrero y agosto de cada año, deben realizar el reporte a la Delegatura para la Protección de Datos Personales, a través del enlace, sistema o herramienta que disponga esta Superintendencia, con corte a 31 de diciembre y 30 de junio, en el que se manifieste expresamente que cumplieron con el deber de solicitar a las Fuentes de información la certificación semestral de la existencia de la autorización previa y expresa para el reporte de información en sus bases de datos.

b) Dentro de los diez (10) primeros días hábiles de los meses de marzo y septiembre de cada año deben reportar a la Delegatura para la Protección de Datos Personales, mediante el enlace, sistema o herramienta que disponga esta Superintendencia, la relación de las Fuentes que no cumplieron con la obligación de certificar la existencia de la autorización previa y expresa para el reporte de la información de sus Titulares.

c) En caso de que las Fuentes no envíen la certificación semestral establecida en el numeral 5 del artículo 7 de la Ley Estatutaria 1266 de 2008, dentro del término previsto en el literal a) de este numeral, los Operadores deberán bloquear toda la información reportada sobre la cual la Fuente no haya remitido la certificación de que cuenta con la mencionada autorización. Los Operadores procederán a efectuar el bloqueo de la información en un término máximo de veinte (20) días hábiles siguientes al vencimiento del plazo respectivo. Una vez la Fuente de información aporte la certificación semestral, el Operador deberá desbloquear la información y reportar de manera inmediata a la Delegatura para la Protección de Datos Personales mediante el enlace, sistema o herramienta que disponga esta Superintendencia, las Fuentes bloqueadas y actualizar la información cuando estas sean desbloqueadas.

Con fundamento en el deber establecido en el numeral 9 del artículo 7 de la Ley 1266 de 2008 y teniendo en cuenta que la información que reposa en las bases de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible, los operadores deben incluir en el historial crediticio de los titulares todas las leyendas relacionadas con la discusión sobre su información.

Las leyendas de advertencia relacionadas con la discusión sobre la existencia y condiciones de la obligación a cargo del titular y la posible suplantación de su identidad, deben permanecer en el historial crediticio hasta que exista pronunciamiento definitivo de la autoridad judicial competente o de la Superintendencia de Industria y Comercio, cuando sea el caso, o cuando caduque el reporte negativo, lo que ocurra primero.

Con fundamento en el deber establecido en el numeral 9 del artículo 7 de la Ley Estatutaria 1266 de 2008 y teniendo en cuenta que la información que reposa en las bases de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible, los Operadores deben incluir en el historial crediticio de los Titulares todas las leyendas relacionadas con la discusión sobre su información.

Las leyendas de advertencia relacionadas con la discusión sobre la existencia y condiciones de la obligación a cargo del Titular y Víctima de Falsedad Personal, deben permanecer en el historial crediticio hasta que la Fuente lo solicite, previa evaluación y pronunciamiento sobre la petición del Titular, exista decisión definitiva de la autoridad judicial competente o de la Superintendencia de Industria y Comercio, cuando sea el caso, o cuando caduque el reporte negativo, lo que ocurra primero.

Se adiciona como requisito para la no permanencia en el historial de la leyenda de advertencia en el historial crediticio, que la Fuente lo solicite, previa evaluación y pronunciamiento sobre la petición del Titular.

 1.3.1. Deber de garantizar la calidad de la información que las fuentes suministran a los operadores de los bancos de datos y/o a los usuarios

Las fuentes de información deberán observar los siguientes lineamientos, tendientes a garantizar la calidad de la información que suministran a los operadores de los bancos de datos y/o a los usuarios:

a) Las personas, entidades u organizaciones que actúen como fuentes de información deben tener un vínculo comercial, de servicio o de cualquier otra índole con el titular cuya información reporta y, además, tener disponibles las pruebas necesarias para demostrarlo.

b) La información que reporten a los operadores debe corresponder a las condiciones reales de la obligación al momento del reporte, por lo que la información suministrada debe ser veraz, completa, exacta, actualizada y comprobable y estar sustentada mediante los soportes que permitan demostrar la existencia y las condiciones de la obligación a su favor. No puede reportarse información que carezca de los soportes que demuestren el origen, existencia y condiciones de la obligación. En caso de haberse efectuado el reporte sin contar con los soportes que permitan acreditar la existencia y condiciones de la obligación, deberá eliminarse la información una vez surtido el trámite del reclamo respectivo.

 1.3.1. Deber de garantizar la calidad de la información que las fuentes suministran a los operadores de los bancos de datos y/o a los usuarios

En virtud de lo dispuesto en los artículos 19 A y 19 B de La Ley Estatutaria 1266 de 2008, adicionados por la Ley Estatutaria 2157 de 2021, las Fuentes de información deberán documentar e implementar los siguientes procesos, tendientes a garantizar la calidad de la información que suministran a los Operadores de los bancos de datos y/o a los Usuarios.

a) Las personas, entidades u organizaciones que actúen como Fuentes de información deben tener un vínculo comercial, de servicio o de cualquier otra índole con el Titular cuya información fue reportada y deben tener disponibles las pruebas necesarias para demostrarlo. Adicionalmente, deben implementar mecanismos apropiados, efectivos y verificables para establecer la real identidad de las personas con miras a evitar situaciones de suplantación de identidad.

b) La información que reporten a los Operadores debe corresponder a las condiciones reales de la obligación al momento del reporte, por lo que la información suministrada debe ser veraz, completa, exacta, actualizada y comprobable y estar sustentada mediante los soportes que permitan demostrar la existencia y las condiciones de la obligación a su favor. No puede reportarse información que carezca de las pruebas que demuestren el origen, existencia y condiciones de la obligación. En caso de haberse efectuado el reporte sin contar con las pruebas que permitan acreditar la existencia y condiciones de la obligación, deberá eliminarse la información una vez surtido el trámite del reclamo respectivo.

La certificación a la que se refiere el numeral 6 del artículo 8 de la Ley 1266 de 2008 puede ser emitida en forma general por las fuentes, manifestando que la información suministrada a los operadores cuenta con la respectiva autorización. Previamente a la expedición de la certificación, la fuente debe verificar la existencia de las correspondientes autorizaciones para cada uno de los datos que informa a los operadores.

La certificación a la que se refiere el numeral 6 del artículo 8 de la Ley Estatutaria 1266 de 2008, puede ser emitida en forma general por las Fuentes, manifestando que la información suministrada a los Operadores cuenta con la respectiva autorización. Previamente a la expedición de la certificación, la Fuente debe verificar la existencia de las correspondientes autorizaciones para cada uno de los datos que informa a los Operadores.

Con fundamento en el deber establecido en el numeral 8 del artículo 8 de la Ley 1266 de 2008, corresponde a las fuentes informar al operador que determinada información se encuentra en discusión por parte de su titular para que incluya la leyenda de “reclamo en trámite”. Si la fuente de información resuelve el reclamo presentado por el titular de información dentro de los dos (2) días hábiles siguientes a la fecha de radicación, no habrá lugar a informar al operador que el reporte se encuentra en discusión.

Al informar al operador sobre la discusión de la información por parte del titular, las fuentes de información deben indicarle la causa de la discusión, de acuerdo al cuadro de tipologías establecido en el numeral 1.9.2 del Capítulo Primero del Título V de esta Circular.

Cuando la Superintendencia de Industria y Comercio comunique a la fuente el inicio de una actuación administrativa o le notifique la apertura de una investigación tendiente a determinar la procedencia de la eliminación, actualización o rectificación del dato de un titular específico, ésta deberá informar al operador dentro de los dos (2) días hábiles siguientes para que éste incluya la leyenda de “actuación administrativa o investigación en trámite”, la cual permanecerá hasta que quede en firme la decisión de la Entidad.

En los casos en que el titular reclame por suplantación de identidad, la fuente debe informar al operador para que incluya la leyenda respectiva respecto del titular y de la obligación u obligaciones que afectan a éste con la suplantación. En todo caso, la fuente debe adelantar el trámite correspondiente con el fin de establecer si hay indicios que lleven a eliminar el reporte de información, tanto positiva como negativa, en el historial crediticio. Si como resultado del trámite determina que no procede la eliminación de la información, el titular podrá acudir a la Superintendencia de Industria y Comercio para que ésta se pronuncie.

Con fundamento en el deber establecido en el numeral 8 del artículo 8 de la Ley 1266 de 2008, corresponde a las fuentes informar al operador que determinada información se encuentra en discusión por parte de su titular para que incluya la leyenda de “reclamo en trámite”. Si la fuente de información resuelve el reclamo presentado por el titular de información dentro de los dos (2) días hábiles siguientes a la fecha de radicación, no habrá lugar a informar al operador que el reporte se encuentra en discusión.

Al informar al operador sobre la discusión de la información por parte del titular, las fuentes de información deben indicarle la causa de la discusión, de acuerdo al cuadro de tipologías establecido en el numeral 1.9.2 del Capítulo Primero del Título V de esta Circular.

Cuando la Superintendencia de Industria y Comercio comunique a la fuente el inicio de una actuación administrativa o le notifique la apertura de una investigación tendiente a determinar la procedencia de la eliminación, actualización o rectificación del dato de un titular específico, ésta deberá informar al operador dentro de los dos (2) días hábiles siguientes para que éste incluya la leyenda de “actuación administrativa o investigación en trámite”, la cual permanecerá hasta que quede en firme la decisión de la Entidad.

Cuando el Titular de la información reclame afirmando ser víctima del delito de falsedad personal, la Fuente de información deberá proceder como lo dispone el numeral 7 del artículo 16 de la Ley Estatutaria 1266 de 2008, adicionado por el artículo 7 de la Ley Estatutaria 2157 de 2021. Las Fuentes de información, una vez radicada la solicitud de rectificación por falsedad personal, deberán informar inmediatamente al Operador para que incluya la leyenda de “Víctima de Falsedad Personal”, respecto del Titular y de la obligación u obligaciones que relacionan a éste con el hecho punible.

En caso de que el titular alegue ser Víctima de Falsedad Personal, la Fuente únicamente deberá informar al Operador y este solo deberá dejar la nota

En caso de que la Superintendencia de Industria y Comercio requiera a la fuente para que allegue la prueba del envío de la comunicación previa a que hace referencia el artículo 12 de la Ley 1266 de 2008, ésta debe aportar lo siguiente:

a) Copia de la comunicación escrita enviada al titular de la información con la certificación de haber sido remitida a la última dirección registrada ante la fuente y la fecha de envío, o copia del extracto o de la factura enviada al titular de la información, en el cual se incluyó la comunicación previa al reporte, con la certificación de haber sido remitido a la última dirección registrada ante la fuente y la fecha de envío. En este último evento, cuando la comunicación previa se incluya en el extracto o en la factura, el texto de la misma debe ser claro, legible, fácilmente comprensible y ubicarse en un lugar visible del documento.

b) En los casos en que se utilicen otros mecanismos de remisión de la comunicación, se debe allegar la prueba que acredite que la fuente acordó previamente con el titular un mecanismo diferente para informar sobre el eventual reporte negativo a efectuar.

c) En los casos en los que las fuentes de información hayan adquirido la obligación objeto de reporte mediante compraventa, subrogación, cesión de derechos o cualquier otra forma de transferencia del derecho de dominio, se tendrá como válida la comunicación previa remitida por el cedente u originador del crédito, siempre que la información haya continuado en el tiempo y el vendedor de la obligación no la haya eliminado del historial crediticio. En los casos en los cuales el reporte efectuado por el cedente u originador del crédito haya sido realizado antes de la entrada en vigencia de la Ley 1266 de 2008, no se les exigirá dicha comunicación previa.

Cuando la Superintendencia de Industria y Comercio profiera una orden de eliminación de un reporte, como resultado de una actuación administrativa o de una investigación en la que no se haya acreditado la remisión al titular de la comunicación previa, la fuente deberá informar al operador que no cumplió con este requisito y eliminar el reporte negativo hasta tanto se cumpla con él. Cuando la eliminación del reporte tenga como causa el incumplimiento del deber de remitir la comunicación previa, la fuente no podrá reportar esa obligación con información positiva y, en consecuencia, las casillas o vectores correspondientes deberán aparecer sin información.

En caso que la Superintendencia de Industria y Comercio requiera a la Fuente para que allegue la prueba del envío de la comunicación previa a que hacen referencia el artículo 12 de la Ley Estatutaria 1266 de 2008 y el artículo 2 de la Ley Estatutaria 2157 de 2021, ésta última debe aportar lo siguiente:

a) Copia de la comunicación escrita enviada al Titular de la información con el soporte de haber sido remitida a la última dirección física o electrónica informada por el Titular ante la Fuente y la fecha de envío, o copia del extracto o de la factura enviada al Titular de la información, en el cual se haya incluido la comunicación previa al reporte, con el soporte de haber sido remitida a la última dirección física o electrónica informada por el Titular ante la Fuente y la fecha de envío. En este último evento, cuando la comunicación previa se incluya en el extracto o en la factura, el texto de la misma debe ser claro, legible, fácilmente comprensible y ubicarse en un lugar visible del documento.

b) En los casos en los que las Fuentes de información hayan adquirido la obligación objeto de reporte mediante compraventa, subrogación, cesión de derechos o cualquier otra forma de transferencia del derecho de dominio, se tendrá como válida la comunicación previa remitida por el cedente u originador del crédito, siempre que la información haya continuado en el tiempo y el vendedor de la obligación no la haya eliminado del historial crediticio. En los casos en los cuales el reporte efectuado por el cedente u originador del crédito haya sido realizado antes de la entrada en vigencia de la Ley Estatutaria 1266 de 2008, no se les exigirá dicha comunicación previa

c) Las dos comunicaciones previas solo operan frente a obligaciones inferiores o iguales al 15% del SMLMV. Si el monto completo de la obligación (no su saldo) es superior al 15% del SMLMV, bastará con efectuarse una comunicación previa al reporte negativo.

Parágrafo Primero: En los casos en que se utilicen mensajes de datos, la Fuente deberá acreditar que dicho mensaje cumple con los requisitos jurídicos establecidos en la Ley 527 de 1999 o la norma que la adicione, modifique, sustituya o reglamente y debe conservar plena prueba del envío del mismo.

Parágrafo Segundo: Las dos comunicaciones a que se refiere el literal d) de este numeral, deben enviarse en dos (2) días diferentes. Una vez surtida la segunda comunicación se contabiliza el término de veinte (20) días para adelantar el reporte en Centrales de Riesgo, cuando haya lugar a ello.

Parágrafo Tercero: Cuando la Superintendencia de Industria y Comercio profiera una orden de eliminar un reporte, como resultado de una actuación administrativa o de una investigación en la que no se haya acreditado la remisión de la comunicación previa al Titular, la Fuente deberá eliminar el reporte negativo, de conformidad con lo dispuesto en el parágrafo del artículo 12 de la Ley Estatutaria 1266 de 2008, adicionado por el artículo 6 de la Ley Estatutaria 2157 de 2021.

Impone la obligación de acreditar que el mensaje de datos cumpla con los requisitos de Ley.

Establece los días de diferencia con los que se deben enviar las dos comunicaciones previas.

Ahora la Fuente no debe informar al operador, sino que debe eliminar el reporte negativo directamente.

Las Fuentes y los Operadores deberán actualizar la información negativa o desfavorable que se encuentre en sus bases de datos y se relacione con calificaciones, récord (scorings-score), o cualquier tipo de medición financiera, comercial o crediticia.

Adicionalmente, deberán adoptar medidas eficaces, idóneas y verificables que garanticen que dicha actualización se realiza de manera inmediata y simultánea con el retiro del dato negativo o con la cesación del hecho que generó la disminución de la medición, de acuerdo con lo establecido en el parágrafo 3 del artículo 13 de la Ley Estatutaria 1266 de 2008, adicionado por la Ley Estatutaria 2157 de 2021.

El usuario de información sólo podrá consultar la historia crediticia de un titular en cumplimiento de los principios de finalidad y circulación restringida de la administración de datos personales, establecidos en los literales b) y c) del artículo 4 de la Ley 1266 de 2008. Si la finalidad para la cual consulta la información es diferente al cálculo del riesgo crediticio, deberá acreditar que cuenta con la correspondiente autorización previa y expresa del titular.

El Usuario de información sólo podrá consultar la historia crediticia de un Titular en cumplimiento de los principios de finalidad y circulación restringida de la administración de datos personales, establecidos en los literales b) y c) del artículo 4 de la Ley Estatutaria 1266 de 2008. En ningún caso se podrá consultar la información para fines de toma de decisiones laborales, y no podrá utilizarse para propósitos diferentes al análisis o cálculo del riesgo crediticio del Titular del dato.

Se establece la prohibición de consultar la información para decisiones laborales.

La permanencia de la información negativa está sujeta a las siguientes reglas:

a) El término de permanencia de la información negativa no podrá exceder el doble de la mora reportada, cuando la misma sea inferior a dos (2) años.

b) En el caso en que la mora reportada sea igual o superior a dos (2) años, el dato negativo permanecerá por cuatro (4) años más, contados a partir de la fecha en que se extinga la obligación por cualquier modo.

 c) En los casos en que la obligación permanezca insoluta, el término de caducidad de los datos negativos de un titular de información será de catorce (14) años contados a partir de la fecha de exigibilidad de la obligación.

Cuando el titular de información presente un reclamo, corresponderá a la fuente pronunciarse dentro del término legal establecido para ello. Si el titular de información no está de acuerdo con la respuesta de la fuente podrá presentar su reclamo ante la Superintendencia de Industria y Comercio para que ésta se pronuncie.

La permanencia de la información negativa está sujeta a las siguientes reglas:

a)El término de permanencia de la información negativa no podrá exceder el doble de la mora reportada, cuando la misma sea inferior a dos (2) años.

b) Si la mora reportada es igual o superior a dos (2) años, el dato negativo permanecerá por cuatro (4) años, contados a partir de la fecha en que se extinga la obligación por cualquier modo.

c) En los casos en que la obligación permanezca insoluta, el término de caducidad de los datos negativos de un Titular de información será de ocho (8) años contados a partir de la fecha en que entre en mora la obligación, tal como lo señala el parágrafo 1 del artículo 13 de la Ley Estatutaria 1266 de 2008, adicionado por la Ley Estatutaria 2157 de 2021.

Parágrafo: Cuando el Titular de información presente un reclamo, corresponderá a la Fuente pronunciarse dentro del término legal establecido para ello. Si el Titular de información no está de acuerdo con la respuesta de la Fuente, podrá presentar su reclamo ante la Superintendencia de Industria y Comercio para que esta se pronuncie.

En el procedimiento para atender las peticiones, consultas y reclamos, los operadores y las fuentes de información deberán atender las siguientes instrucciones:

a) Los operadores de información deben contar en sus sedes con un área de servicios para la atención de peticiones, consultas y reclamos e implementar mecanismos adicionales, como líneas de atención telefónica o medios virtuales, que garanticen la recepción de las peticiones, consultas y reclamos, de modo ágil y eficaz.

b) Las peticiones, consultas y reclamos presentados ante los operadores y/o las fuentes deben ser resueltas de fondo. La respuesta correspondiente debe ser clara, precisa y congruente con lo solicitado.

c) Las respuestas a las peticiones, consultas y reclamos presentados ante los operadores y/o las fuentes deben ser comunicadas al titular de la información, dentro del término establecido en la ley. Tales respuestas deben ser remitidas a la dirección señalada por el titular en el momento de presentar su solicitud y, en el caso de que no la haya especificado, a la última dirección registrada. En caso de que las peticiones o los reclamos se presenten por medios electrónicos o verbalmente, podrán resolverse por el mismo medio, para lo cual se debe conservar copia de la respuesta o la grabación respectiva.

De acuerdo con lo señalado en el literal b) del numeral 1.5 del Capítulo Primero del Título V de esta Circular, las consultas podrán atenderse por canales electrónicos, siempre y cuando sea posible verificar la identidad del titular y garantizar la seguridad de la información.

La remisión de las peticiones, consultas y reclamos por parte de los operadores a las fuentes de información no exime a los operadores del deber de responder al titular todas y cada una de las cuestiones planteadas dentro del término señalado en la ley. En tal sentido, los operadores deben informar al titular todo lo manifestado por la fuente expresamente.

Parágrafo Primero: Para garantizar el ejercicio del derecho de los titulares a solicitar rectificaciones, actualizaciones o eliminaciones de sus datos contenidos en las bases de datos, los operadores y fuentes de información deben implementar un sistema para presentar reclamos utilizando diferentes medios informáticos, como internet o correo electrónico y crear formularios claros y sencillos para dicha presentación. En este sistema, además, deberá generarse un número de radicación y una confirmación automática de recepción del reclamo presentado para que el ciudadano pueda hacer seguimiento a su solicitud.

Parágrafo Segundo: Las adecuaciones ordenadas deben realizarse dentro de los seis (6) meses siguientes a la incorporación de las modificaciones introducidas al presente Título.

En el procedimiento para atender las peticiones, consultas y reclamos, los Operadores y las Fuentes de información deberán atender las siguientes instrucciones:

a) Los Operadores de información deben contar en sus sedes con un área de servicios para la atención de peticiones, consultas y reclamos e implementar mecanismos adicionales, como líneas de atención telefónica o medios virtuales, que garanticen la recepción de las peticiones, consultas y reclamos, de modo ágil y eficaz.

b) Las peticiones, consultas y reclamos presentados ante los Operadores y/o las Fuentes deben ser resueltas de fondo. La respuesta correspondiente debe ser clara, precisa y congruente con lo solicitado.

c) Las respuestas a las peticiones, consultas y reclamos presentados ante los Operadores y/o las Fuentes deben ser comunicadas al Titular de la información, dentro del término establecido en la ley. Tales respuestas deben ser remitidas a la dirección señalada por el Titular en el momento de presentar su solicitud y, en el caso de que no la haya especificado, a la última dirección registrada. En caso de que las peticiones o los reclamos se presenten por medios electrónicos o verbalmente, podrán resolverse por el mismo medio, para lo cual se debe conservar copia de la respuesta o la grabación respectiva.

De acuerdo con lo señalado en el literal b) del numeral 1.5 del Capítulo Primero del Título V de esta Circular, las consultas podrán atenderse por canales electrónicos, siempre y cuando sea posible verificar la identidad del Titular y garantizar la seguridad de la información.

La remisión de las peticiones, consultas y reclamos por parte de los Operadores a las Fuentes de información no exime a los Operadores del deber de responder al Titular todas y cada una de las cuestiones planteadas dentro del término señalado en la ley. En tal sentido, los Operadores deben informar al Titular todo lo manifestado por la Fuente expresamente.

Parágrafo Primero: Para garantizar el ejercicio del derecho de los Titulares a solicitar rectificaciones, actualizaciones o eliminaciones de sus datos contenidos en las bases de datos, los Operadores y Fuentes de información deben implementar un sistema para presentar reclamos utilizando diferentes medios informáticos, como internet o correo electrónico y crear formularios claros y sencillos para dicha presentación. En este sistema, además, deberá generarse un número de radicación y una confirmación automática de recepción del reclamo presentado para que el ciudadano pueda hacer seguimiento a su solicitud.

Parágrafo Segundo: Las adecuaciones ordenadas deben realizarse dentro de los seis (6) meses siguientes a la incorporación de las modificaciones introducidas al presente Título.

Parágrafo Tercero: Para efectos de garantizar la efectividad de los principios aplicables en materia de protección de datos personales y demás disposiciones previstas en la Ley Estatutaria 1266 de 2008, los sujetos que intervienen en la administración de datos personales deberán: (i) contestar en tiempo, de manera completa y de fondo las peticiones o reclamos formulados en ejercicio del derecho del hábeas data; (ii) en el evento de que las Fuentes o los Operadores, según el caso, no contesten en tiempo esas peticiones, se entenderá, para todos los efectos, que la respectiva solicitud ha sido aceptada y; (iii) la existencia de la figura del silencio, y su cumplimiento, no impide que, con posterioridad, las Fuentes continúen reportando la respectiva información financiera y crediticia ante el Operador.

Lo anterior, siempre y cuando se garantice la efectividad de los principios que regulan la administración de datos personales y demás deberes que tienen las Fuentes para efectos de reportar ante el Operador, información completa, íntegra, veraz y pertinente para el cálculo del riesgo financiero y crediticio, en los términos de la Ley Estatutaria 1266 de 2008.

De la misma manera, el Titular de la información que no esté conforme con la respuesta recibida por parte de Fuente o los Operadores, o con la continuidad del reporte por parte de la Fuente, puede acudir a la Superintendencia de Industria y Comercio para presentar la respectiva queja con el fin de que se inicie la actuación administrativa correspondiente.

Se establece que a la solicitud que no se le de trámite o respuesta se entiende aceptada.

Cuando se elimine el reporte de un Titular por no haber atendido una solicitud, no se prohíbe generar un nuevo reporte si la obligación no se ha extinguido.

Faculta al Titular para presentar la respectiva queja ante la SIC cuando la respuesta no le satisfaga.

 1.9.1. Remisión de información por parte de los operadores

Dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, los operadores de información deben remitir a la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio un informe en medio magnético, editable, en Excel, en el que suministren la siguiente información, relacionada con el semestre calendario inmediatamente anterior (enero – junio y julio – diciembre):

a) El número de reclamos presentados por los titulares directamente ante el operador, especificando el nombre e identificación de la fuente y/o el usuario de información y la causa del reclamo, de acuerdo con las tipologías establecidas en el numeral 1.9.2 siguiente. Cuando se trate de reclamos presentados con base en el reporte de información realizado por una fuente, se deberá informar el número total de titulares reportados por esa fuente.

b) El número de reclamos presentados por los titulares directamente ante las fuentes y/o usuarios de información y registrados en el sistema del operador, especificando el nombre e identificación de la fuente y/o usuario y la causa del reclamo, de acuerdo con las tipologías establecidas en el numeral 1.9.2 siguiente. Cuando se trate de reclamos presentados con base en el reporte de información realizado por una fuente, se deberá informar el número total de titulares reportados por esa fuente.

Para la remisión a la Superintendencia de Industria y Comercio de la información a que se refiere el literal b), el operador deberá adaptar su sistema de información con el fin de que las fuentes y/o usuarios puedan indicar la causa de la reclamación presentada por el titular ante ellos, de acuerdo con las tipologías establecidas en el numeral 1.9.2 siguiente.

Parágrafo: El primer informe que los operadores de información deberán presentar a la Superintendencia de Industria y Comercio será el correspondiente al semestre comprendido entre el 1 de enero y el 30 de junio de 2013 y deberá ser entregado a más tardar dentro de los diez (10) días hábiles siguientes del mes de agosto. A partir del primero (1) de enero de 2013 las fuentes deberán empezar a reportar a los operadores los reclamos presentados ante éstas de acuerdo con las tipologías establecidas en el numeral 1.9.2 siguiente.

 1.9.1 Remisión de información por parte de los operadores

Dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, los Operadores de información deben realizar el reporte a la Dirección de Investigación de Protección de Datos Personales, a través del enlace, sistema o herramienta que disponga esta Superintendencia, en el que suministren la información, relacionada con el semestre calendario inmediatamente anterior (enero – junio y julio – diciembre).

La información a que se refiere el inciso anterior corresponde al número de reclamos presentados por los Titulares directamente ante el Operador, las Fuentes y/o Usuarios de información registrados en el sistema del Operador, especificando el nombre e identificación de la Fuente y/o el Usuario de información y la causa del reclamo. Cuando se trate de reclamos presentados con base en el reporte de información realizado por una Fuente, se deberá informar el número total de titulares reportados por esa Fuente. El reporte se hará en la herramienta o medio dispuesto por la Superintendencia.

Se unificaron los literales a) y b)

Se suprimió el parágrafo, puesto que las fechas para realizar el primer reporte ya se cumplieron.

Los Operadores de información dispondrán de un aplicativo digital y gratuito, para que los Titulares de la información, previa validación, registren su correo electrónico y reciban comunicaciones cuando se reporta una nueva obligación en la historia de crédito. La comunicación deberá enviarse dentro de un término de 5 días hábiles siguientes al reporte de la obligación, de acuerdo con lo establecido en artículo 10 de la Ley Estatutaria 2157 de 2021.

Parágrafo Primero. Los Operadores de información deberán informar a los Titulares sobre la existencia del aplicativo digital y gratuito, así como la forma acceder al mismo. Para el efecto, en un lugar visible y fácilmente accesible e identificable de su página web, App o cualquier otra herramienta tecnológica que utilice, deberá colocar un anuncio que diga “Conozca el sistema de alertas de obligaciones nuevas en la historia crediticia para mitigar suplantaciones de identidad”.

Parágrafo Segundo. Los Operadores sólo podrán solicitar la información mínima requerida para poder garantizar el acceso a sus plataformas y la remisión de la alerta. Dicha información únicamente podrá ser usada para esta finalidad.