Por: Stella Vanegas – Socia Vanegas Morales Consultores. Diciembre 2021.
Hablar de Habeas Data o de Derecho a la Protección de los Datos Personales en Colombia implica necesariamente conocer o buscar aprender acerca de la Ley 1266 de 2008, una ley estatutaria muy esperada en su momento y que finalmente nació 17 años después de haberse expedido la Constitución Política del 91, tras múltiples intentos en el Congreso y que finalmente logró ver la luz en diciembre del año 2008.
La Ley 1266 buscó regular de manera general el derecho al habeas data de los colombianos, un derecho fundamental si se quiere desconocido hasta ese momento, a pesar de haber sido consagrado en la Constitución del 91. ¿Qué busca este derecho? Que todos los ciudadanos colombianos y los residentes en Colombia puedan conocer, actualizar, corregir y, si es del caso, eliminar, la información personal que de ellos se haya recogido en bases de datos bien sean éstas automatizadas o no y que pueden ser administradas por entidades públicas y privadas.
Precisamente, fue a través de la expedición de esta ley que los colombianos empezamos a tomar más consciencia de la existencia de este derecho que nos permite ejercer algún tipo de control sobre nuestros datos, garantizándose así que podamos escoger libremente con quién compartimos nuestra información y para qué fines, entre otros. Autorizar la consulta y el reporte de nuestra información financiera y crediticia se constituyó en un derecho expresamente regulado por una Ley.
Más aún, con esta Ley entendimos que había una clasificación de los datos personales, y que la misma partía del grado de intimidad que ese dato pudiera tener respecto de la vida del Titular al cual correspondían. Se reconocieron entonces los datos de naturaleza privada, semiprivada, pública.
La Ley 1266, a pesar de tener un alcance bastante amplio, terminó centrándose en la administración de la información financiera, crediticia y la correspondiente al desarrollo y ejecución de obligaciones dinerarias, así como tuvo como principales protagonistas a los Operadores de Información Financiera y Crediticia, internacionalmente conocidos como Burós de Crédito, a las fuentes de esa información (por ejemplo los bancos y otros originadores de crédito), a los usuarios (Compañías de telecomunicaciones, Inmobiliarias) que requerían en razón del desarrollo de su objeto social conocer esos datos y al Titular de los Datos, es decir a la persona natural o jurídica cuya información estaba siendo recolectada y utilizada con el fin de establecer, monitorear o culminar una relación proveniente de un crédito, de una fianza, de un contrato de tracto sucesivo con obligaciones periódicas de pago como podría serlo un arrendamiento.
Cada definición y cada aspecto regulado por la Ley aportó claridad y les permitió a todos los actores: Fuentes, Usuarios, Operadores y Titulares empezar a actuar en un espacio más claro y con mayores garantías. Pues si bien la Corte Constitucional durante los años de 1991 a 2008 fue muy activa y generó precedentes de la mayor importancia, también es cierto que el acervo jurisprudencial formado a partir de la resolución de acciones de tutela exigía un mayor esfuerzo por parte de los ciudadanos del común para entender el alcance de sus derechos.
¿Cuáles fueron esos aspectos que podemos denominar claves para el desarrollo del derecho al Habeas Data en Colombia?
- Permanencia del dato negativo: regla general doble del tiempo de la mora si esta es igual o inferior a 2 años y 4 años si la mora es superior a los dos años.
- Permanencia indefinida de la información positiva.
- Acceso y circulación restringida de la información.
- Derecho a solicitar prueba de la existencia de la autorización para poder contener y reflejar información negativa en los Operadores de Información.
- Procedimientos de atención de peticiones quejas y reclamos como garantía para el ejercicio efectivo de los derechos de consulta, actualización, rectificación y/o supresión, los cuales debían ser implementados por los Operadores y las Fuentes.
- Democratización del crédito como principio orientador de la aplicación de la Ley, lo cual supone que la información recolectada y que se utiliza para definir quién puede ser o no sujeto de crédito deba ser amplia, y no estar centrada de manera exclusiva en un incumplimiento previo de obligaciones adquiridas por ese Titular.
- Deber de informar de manera previa al Titular de los Datos Personales del reporte negativo que la Fuente fuere a realizar ante los Operadores.
- El Acceso a la información de los usuarios basado en las siguientes finalidades: como elemento de análisis para establecer y mantener una relación contractual, cualquiera sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente. Para finalidades diferentes de las enunciadas en la ley cuando existiere autorización por parte del Titular.
- Dos Autoridades de supervisión: Superintendencia Financiera de Colombia y Superintendencia de Industria y Comercio.
- Régimen de transición para adecuarse por parte de las entidades obligadas y un plazo de gracia para que las personas que hubiesen tenido moras y estuvieren al día al momento de entrada en vigencia la ley y los que se pusieren al día dentro de los seis (6) meses siguientes a la entrada en vigencia.
La ley 2157, vigente a partir del 29 de octubre de 2021:
- Abre una nueva oportunidad a los colombianos que hubiesen incurrido en alguna mora en sus obligaciones y que, si se ponen al día, es decir si pagan, podrán ver eliminado su dato negativo de las centrales u operadores de información de acuerdo con la escala de tiempos establecida.
- Fortalece los mecanismos de alerta para evitar la suplantación. A nosotros los Titulares de los datos nos corresponde inscribirnos en las plataformas habilitadas por los Operadores para poder ser informados de manera pronta sobre la presencia de nuevas obligaciones a nuestro nombre.
- Establece nuevos deberes para las Fuentes respecto de la actualización de sus scorings, trazabilidad de sus acciones y en la adaptación de sus procesos de PQRs.
¿Qué cambió con la expedición de la Ley 2157 de 2021?
- El término de permanencia de las obligaciones insolutas, es decir de aquellas que hayan caído en mora y no se hayan pagado. Solamente podrá visualizarse el dato negativo en los bancos de datos de los Operadores por 8 años contados a partir de la entrada en mora de la obligación.
- En las obligaciones inferiores o iguales al 15% de un (1) salario mínimo legal mensual vigente, el dato negativo sólo podrá ser reportado a las Centrales después de cumplirse con al menos dos comunicaciones, ambas en días diferentes. Y debe mediar entre la última comunicación y el reporte 20 días calendario.
- Toda información negativa asociada al incumplimiento que se encuentre en bases de datos y se relacione con calificaciones, récord (scorings-score) deberá ser actualizada de manera simultánea con el retiro del dato negativo, o con la cesación del hecho que generó la disminución de la medición.
- La negación de un crédito deberá ser explicada de manera objetiva a su Titular.
- La consulta de la información por parte del Titular SERÁ SIEMPRE GRATUITA.
- La consulta de la información por parte del Titular y de los Usuarios no podrá afectar de manera negativa la calificación de riesgo, récord (scorings-score).
- En los casos en los que el Titular haya sido víctima de suplantación: petición de corrección ante la Fuente aportando las pruebas que lo demuestren. 10 días hábiles para que la Fuente coteje, vencido éste puede determinar proceder con la eliminación o mantener la leyenda de -Víctima de Falsedad Personal- y responder al reclamo dentro del término general establecido de 15 días hábiles, y de ser necesario adicionar los 8 días de prórroga.
- Mucho cuidado con la no atención oportuna de los reclamos, pues vencidos los 15 días hábiles siguientes a la fecha de su recibo, junto con su prórroga, si ésta fue solicitada y no se ha contestado, operará el silencio positivo, es decir se da por hecho que la solicitud ha sido aceptada.
- Operadores deberán habilitar plataforma para enviar notificaciones a los Titulares sobre adquisición de obligaciones a su nombre dentro de los 5 días siguientes a su ocurrencia.
- Continuar trabajando en la educación financiera.
- Aplicación del Principio de Accountability o de Responsabilidad Demostrada, que supone cumplir de fondo y no sólo de forma y obliga a Operadores, Fuentes y usuarios.
- Régimen de transición: Obligaciones en mora canceladas antes de la entrada en vigencia cuyo dato negativo haya permanecido por seis (6) meses en las bases de datos deberá ser eliminado. Obligaciones canceladas que no hayan cumplido los 6 meses citados, deberán esperar a que este plazo se cumpla para poder ser eliminadas. Obligaciones canceladas dentro de los 12 meses siguientes a la entrada en vigencia de la ley deberán esperar seis (6) meses reportados para que puedan ser eliminadas.
- Excepciones para sectores especiales:
Se consagraron excepciones asociadas al trámite que hubiese tenido el crédito en el primer año de pandemia, el tipo de sector y de actividad al que pertenecía el deudor, la entidad otorgante (Findeter, Icetex) y el tamaño de la empresa.
TIPS
- Revisar sus procedimientos de cálculo de riesgo crediticio en especial los scorings, adaptarlos para que se puedan actualizar simultáneamente con la historia de crédito del Titular y dejar evidencia documentada d ellos ajustes hechos al proceso.
- Adaptar sus procesos de PQR´s no sólo para reforzar el cumplimiento oportuno en las respuestas a los reclamos y evitar la materialización del silencio “positivo”, sino para incorporar herramientas que permitan hacer el cotejo derivado de las solicitudes de suplantación.
- Contrastar y combinar en lo posible las medidas adoptadas para cumplir con el principio de Accountability de la Ley 1581 de 2012 y extenderlo a las actividades que desarrollen bajo el marco de la ley 1266.
- Capacitar a sus funcionarios, tanto en las áreas de riesgo, fraude, atención de PQR´s, legal y procesos con el fin de identificar las dudas, facilitar el cumplimiento y dejar la trazabilidad de la diligencia.
Así que el 2022 será un año de aplicación efectiva de las normas en datos personales, es previsible que haya un mayor número de reclamos y solicitudes por parte de los Titulares, hay que estar preparados para aplicar la ley de manera clara y poder explicar de manera transparente y completa a los Titulares el alcance de las modificaciones incorporadas.
Para los equipos humanos de Fuentes, Usuarios y Operadores es una oportunidad más de integrar competencias, de preguntar lo que no está claro y de avanzar de manera decidida en revisar y ajustar los procesos, y fortalecer la cultura de cumplimiento y de respeto a este derecho fundamental.
Para los Titulares de datos que por alguna razón no hayan podido cumplir oportunamente sus obligaciones, es ésta una oportunidad inigualable para ponerse al día, demostrar su buena fe y su convicción en hacer un uso adecuado de los beneficios que ésta dispone y poder incluir en su historial crediticio estos cambios positivos que le permitirán reincorporarse al mercado de crédito.
Así ganamos todos.