Sentencia C 1011 de 2008

Sentencia C-1011/08
Referencia: expediente PE-029
Revisión de constitucionalidad del Proyecto
de Ley Estatutaria No. 27/06 Senado221/07 Cámara (Acum. 05/06 Senado) “por
la cual se dictan las disposiciones generales
del hábeas data y se regula el manejo de la
información contenida en bases de datos
personales, en especial la financiera,
crediticia, comercial, de servicios y la
proveniente de terceros países y se dictan
otras disposiciones.”
Magistrado Ponente:
Dr. JAIME CÓRDOBA TRIVIÑO
Bogotá, D.C., dieciséis (16) de octubre de dos mil ocho (2008).
La Sala Plena de la Corte Constitucional, en ejercicio de sus atribuciones
constitucionales y legales, en especial las previstas en los artículos 153 y 241,
numeral 8, de la Constitución Política, y cumplidos todos los trámites y
requisitos contemplados en el Decreto 2067 de 1991, ha proferido la siguiente
SENTENCIA
dentro del proceso de revisión del Proyecto de Ley Estatutaria No. 27/06
Senado-221/07 Cámara (Acum. 05/06 Senado) “por la cual se dictan las
disposiciones generales del hábeas data y se regula el manejo de la
información contenida en bases de datos personales, en especial la financiera,
crediticia, comercial, de servicios y la proveniente de terceros países y se
dictan otras disposiciones.”.
I. TEXTO DE LA NORMA
El Proyecto de Ley en mención fue remitido a la Corte por la Presidente del
Senado de la República, a través de comunicación radicada en la Secretaría
General de esta Corporación el 4 de julio de 2007. El texto de la norma objeto
de análisis es el siguiente:
“PROYECTO DE LEY ESTATUTARIA NÚMERO 221 DE 2007 CAMARA, 027
DE 2006 SENADO ACUMULADO
CON EL NÚMERO 05 DE 2006 SENADO

por la cual se dictan las disposiciones generales del Hábeas Data y se regula el
manejo de la información contenida en bases de datos personales, en especial
la financiera, crediticia, comercial, de servicios y la proveniente de terceros
países
y se dictan otras disposiciones.
Artículo 1°. Objeto. La presente ley tiene por objeto desarrollar el derecho
constitucional que tienen todas las personas a conocer, actualizar y rectificar
las informaciones que se hayan recogido sobre ellas en Bancos de Datos, y los
demás derechos, libertades y garantías constitucionales relacionadas con la
recolección, tratamiento y circulación de datos personales a que se refiere el
artículo 15 de la Constitución Política, así como el derecho a la información
establecido en el artículo 20 de la Constitución Política, particularmente en
relación con la información financiera y crediticia, comercial, de servicios y la
proveniente de terceros países.
Artículo 2°. Ámbito de aplicación. La presente ley se aplica a todos los
datos de información personal registrados en un Banco de Datos, sean estos
administrados por entidades de naturaleza pública o privada.
Esta ley se aplicará sin perjuicio de normas especiales que disponen la
confidencialidad o reserva de ciertos datos o información registrada en Bancos
de datos de naturaleza pública, para fines estadísticos, de investigación o
sanción de delitos o para garantizar el orden público.
Se exceptúan de esta ley las bases de datos que tienen por finalidad producir
la Inteligencia de Estado por parte del Departamento Administrativo de
Seguridad, DAS, y de la Fuerza Pública para garantizar la seguridad nacional
interna y externa.
Los registros públicos a cargo de las cámaras de comercio se regirán
exclusivamente por las normas y principios consagrados en las normas
especiales que las regulan.
Igualmente, quedan excluidos de la aplicación de la presente ley aquellos datos
mantenidos en un ámbito exclusivamente personal o doméstico y aquellos que
circulan internamente, esto es, que no se suministran a otras personas
jurídicas o naturales.
Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende
por:
a) Titular de la información. Es la persona natural o jurídica a quien se refiere
la información que reposa en un Banco de Datos y sujeto del derecho de
Hábeas Data y demás derechos y garantías a que se refiere la presente ley;
b) Fuente de información. Es la persona, entidad u organización que recibe o
conoce datos personales de los titulares de la información, en virtud de una

relación comercial o de servicio o de cualquier otra índole y que, en razón de
autorización legal o del titular, suministra esos datos a un operador de
información, el que a su vez los entregará al usuario final. Si la fuente entrega
la información directamente a los usuarios y no, a través de un operador,
aquella tendrá la doble condición de fuente y operador y asumirá los deberes y
responsabilidades de ambos. La fuente de la información responde por la
calidad de los datos suministrados al operador la cual, en cuanto tiene acceso
y suministra información personal de terceros, se sujeta al cumplimiento de los
deberes y responsabilidades previstas para garantizar la protección de los
derechos del titular de los datos;
c) Operador de información. Se denomina operador de información a la
persona, entidad u organización que recibe de la fuente datos personales sobre
varios titulares de la información, los administra y los pone en conocimiento de
los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en
cuanto tiene acceso a información personal de terceros, se sujeta al
cumplimiento de los deberes y responsabilidades previstos para garantizar la
protección de los derechos del titular de los datos. Salvo que el operador sea la
misma fuente de la información, este no tiene relación comercial o de servicio
con el titular y por ende no es responsable por la calidad de los datos que le
sean suministrados por la fuente;
d) Usuario. El usuario es la persona natural o jurídica que, en los términos y
circunstancias previstos en la presente ley, puede acceder a información
personal de uno o varios titulares de la información suministrada por el
operador o por la fuente, o directamente por el titular de la información. El
usuario, en cuanto tiene acceso a información personal de terceros, se sujeta
al cumplimiento de los deberes y responsabilidades previstos para garantizar la
protección de los derechos del titular de los datos. En el caso en que el usuario
a su vez entregue la información directamente a un operador, aquella tendrá la
doble condición de usuario y fuente, y asumirá los deberes y responsabilidades
de ambos;
e) Dato personal. Es cualquier pieza de información vinculada a una o varias
personas determinadas o determinables o que puedan asociarse con una
persona natural o jurídica. Los datos impersonales no se sujetan al régimen de
protección de datos de la presente ley. Cuando en la presente ley se haga
referencia a un dato, se presume que se trata de uso personal. Los datos
personales pueden ser públicos, semiprivados o privados;
f) Dato público. Es el dato calificado como tal según los mandatos de la ley o
de la Constitución Política y todos aquellos que no sean semiprivados o
privados, de conformidad con la presente ley. Son públicos, entre otros, los
datos contenidos en documentos públicos, sentencias judiciales debidamente
ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil
de las personas;

g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima,
reservada, ni pública y cuyo conocimiento o divulgación puede interesar no
solo a su titular sino a cierto sector o grupo de personas o a la sociedad en
general, como el dato financiero y crediticio de actividad comercial o de
servicios a que se refiere el Título IV de la presente ley.
h) Dato privado. Es el dato que por su naturaleza íntima o reservada solo es
relevante para el titular;
i) Agencia de Información Comercial. Es toda empresa legalmente constituida
que tenga como actividad principal la recolección, validación y procesamiento
de información comercial sobre las empresas y comerciantes específicamente
solicitadas por sus clientes, entendiéndose por información comercial aquella
información histórica y actual relativa a la situación financiera, patrimonial, de
mercado, administrativa, operativa, sobre el cumplimiento de obligaciones y
demás información relevante para analizar la situación integral de una
empresa. Para los efectos de la presente ley, las agencias de información
comercial son operadores de información y fuentes de información.
Parágrafo. A las agencias de información comercial, así como a sus fuentes o
usuarios, según sea el caso, no se aplicarán las siguientes disposiciones de la
presente ley: Numerales 2 y 6 del artículo 8°, artículo 12 y artículo 14;
j) Información financiera, crediticia, comercial, de servicios y la proveniente de
terceros países.
Para todos los efectos de la presente ley se entenderá por información
financiera, crediticia, comercial, de servicios y la proveniente de terceros
países, aquella referida al nacimiento, ejecución y extinción de obligaciones
dinerarias, independientemente de la naturaleza del contrato que les dé
origen, así como la información relativa a las demás actividades propias del
sector financiero o sobre el manejo financiero o los estados financieros del
titular.
Artículo 4°. Principios de la administración de datos. En el desarrollo,
interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera
armónica e integral, los principios que a continuación se establecen:
a) Principio de veracidad o calidad de los registros o datos. La información
contenida en los Bancos de Datos debe ser veraz, completa, exacta,
actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación
de datos parciales, incompletos, fraccionados o que induzcan a error;
b) Principio de finalidad. La administración de datos personales debe obedecer
a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad
debe informársele al titular de la información previa o concomitantemente con
el otorgamiento de la autorización, cuando ella sea necesaria o en general
siempre que el titular solicite información al respecto;

c) Principio de circulación restringida. La administración de datos personales se
sujeta a los límites que se derivan de la naturaleza de los datos, de las
disposiciones de la presente ley y de los principios de la administración de
datos personales especialmente de los principios de temporalidad de la
información y la finalidad del Banco de Datos.
Los datos personales, salvo la información pública, no podrán ser accesibles
por Internet o por otros medios de divulgación o comunicación masiva, salvo
que el acceso sea técnicamente controlable para brindar un conocimiento
restringido solo a los titulares o los usuarios autorizados conforme a la
presente ley;
d) Principio de temporalidad de la información. La información del titular no
podrá ser suministrada a usuarios o terceros cuando deje de servir para la
finalidad del Banco de Datos;
e) Principio de interpretación integral de derechos constitucionales. La presente
ley se interpretará en el sentido de que se amparen adecuadamente los
derechos constitucionales, como son el Hábeas Data, el derecho al buen
nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la
información. Los derechos de los titulares se interpretarán en armonía y en un
plano de equilibrio con el derecho a la información previsto en el artículo 20 de
la Constitución y con los demás derechos constitucionales aplicables;
f) Principio de seguridad. La información que conforma los registros
individuales constitutivos de los Bancos de Datos a que se refiere la ley, así
como la resultante de las consultas que de ella hagan sus usuarios, se deberá
manejar con las medidas técnicas que sean necesarias para garantizar la
seguridad de los registros evitando su adulteración, pérdida, consulta o uso no
autorizado;
g) Principio de confidencialidad. Todas las personas naturales o jurídicas que
intervengan en la administración de datos personales que no tengan la
naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva
de la información, inclusive después de finalizada su relación con alguna de las
labores que comprende la administración de datos, pudiendo solo realizar
suministro o comunicación de datos cuando ello corresponda al desarrollo de
las actividades autorizadas en la presente ley y en los términos de la misma.
Artículo 5°. Circulación de información. La información personal
recolectada o suministrada de conformidad con lo dispuesto en la ley a los
operadores que haga parte del Banco de datos que administra, podrá ser
entregada de manera verbal, escrita, o puesta a disposición de las siguientes
personas y en los siguientes términos:

a) A los titulares, a las personas debidamente autorizadas por estos y a sus
causahabientes mediante el procedimiento de consulta previsto en la presente
ley;
b) A los usuarios de la información, dentro de los parámetros de la presente
ley;
c) A cualquier autoridad judicial, previa orden judicial;
d) A las entidades públicas del poder ejecutivo, cuando el conocimiento de
dicha información corresponda directamente al cumplimiento de alguna de sus
funciones;
e) A los órganos de control y demás dependencias de investigación
disciplinaria, fiscal, o administrativa, cuando la información sea necesaria para
el desarrollo de una investigación en curso;
f) A otros operadores de datos, cuando se cuente con autorización del titular, o
cuando sin ser necesaria la autorización del titular el Banco de Datos de
destino tenga la misma finalidad o una finalidad que comprenda la que tiene el
operador que entrega los datos. Si el receptor de la información fuere un
Banco de Datos extranjero, la entrega sin autorización del titular solo podrá
realizarse dejando constancia escrita de la entrega de la información y previa
verificación por parte del operador de que las leyes del país respectivo o el
receptor otorgan garantías suficientes para la protección de los derechos del
titular;
g) A otras personas autorizadas por la ley.
TITULO II
DERECHOS DE LOS TITULARES DE LA INFORMACION
Artículo 6°. Derechos de los titulares de la información. Los titulares
tendrán los siguientes derechos:
1. Frente a los operadores de los Bancos de Datos:
1.1 Ejercer el derecho fundamental al Hábeas Data en los términos de la
presente ley, mediante la utilización de los procedimientos de consultas o
reclamos, sin perjuicio de los demás mecanismos constitucionales y legales.
1.2 Solicitar el respeto y la protección de los demás derechos constitucionales o
legales, así como de las demás disposiciones de la presente ley, mediante la
utilización del procedimiento de reclamos y peticiones.
1.3 Solicitar prueba de la certificación de la existencia de la autorización
expedida por la fuente o por el usuario.

1.4 Solicitar información acerca de los usuarios autorizados para obtener
información.
Parágrafo. La administración de información pública no requiere autorización
del titular de los datos, pero se sujeta al cumplimiento de los principios de la
administración de datos personales y a las demás disposiciones de la presente
ley.
La administración de datos semi-privados y privados requiere el
consentimiento previo y expreso del titular de los datos, salvo en el caso del
dato financiero, crediticio, comercial, de servicios y el proveniente de terceros
países el cual no requiere autorización del titular. En todo caso, la
administración de datos semi-privados y privados se sujeta al cumplimiento de
los principios de la administración de datos personales y a las demás
disposiciones de la presente ley.
2. Frente a las fuentes de la información:
2.1 Ejercer los derechos fundamentales al Hábeas Data y de petición, cuyo
cumplimiento se podrá realizar a través de los operadores, conforme lo
previsto en los procedimientos de consultas y reclamos de esta ley, sin
perjuicio de los demás mecanismos constitucionales o legales.
2.2 Solicitar información o pedir la actualización o rectificación de los datos
contenidos en la base de datos, lo cual realizará el operador, con base en la
información aportada por la fuente, conforme se establece en el procedimiento
para consultas, reclamos y peticiones.
2.3 Solicitar prueba de la autorización, cuando dicha autorización sea requerida
conforme lo previsto en la presente ley.
3. Frente a los usuarios:
3.1 Solicitar información sobre la utilización que el usuario le está dando a la
información, cuando dicha información no hubiere sido suministrada por el
operador.
3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo
previsto en la presente ley.
Parágrafo. Los titulares de información
adicionalmente los siguientes derechos:

financiera

y

crediticia

tendrán

Podrán acudir ante la autoridad de vigilancia para presentar quejas contra las
fuentes, operadores o usuarios por violación de las normas sobre
administración de la información financiera y crediticia.

Así mismo, pueden acudir ante la autoridad de vigilancia para pretender que se
ordene a un operador o fuente la corrección o actualización de sus datos
personales, cuando ello sea procedente conforme lo establecido en la presente
ley.
TITULO III
DEBERES DE LOS OPERADORES, LAS FUENTES
Y LOS USUARIOS DE INFORMACION
Artículo 7°. Deberes de los operadores de los Bancos de Datos. Sin
perjuicio del cumplimiento de las demás disposiciones contenidas en la
presente ley y otras que rijan su actividad, los operadores de los Bancos de
Datos están obligados a:
1. Garantizar, en todo tiempo al titular de la información, el pleno y efectivo
ejercicio del derecho de Hábeas Data y de petición, es decir, la posibilidad de
conocer la información que sobre él exista o repose en el Banco de Datos, y
solicitar la actualización o corrección de datos, todo lo cual se realizará por
conducto de los mecanismos de consultas o reclamos, conforme lo previsto en
la presente ley.
2. Garantizar, que en la recolección, tratamiento y circulación de datos, se
respetarán los demás derechos consagrados en la ley.
3. Permitir el acceso a la información únicamente a las personas que, de
conformidad con lo previsto en esta ley, pueden tener acceso a ella.
4. Adoptar un manual interno de políticas y procedimientos para garantizar el
adecuado cumplimiento de la presente ley y, en especial, para la atención de
consultas y reclamos por parte de los titulares.
5. Solicitar la certificación a la fuente de la existencia de la autorización
otorgada por el titular, cuando dicha autorización sea necesaria, conforme lo
6. Conservar con las debidas seguridades los registros almacenados para
impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento.
7. Realizar periódica y oportunamente la actualización y rectificación de los
datos, cada vez que le reporten novedades las fuentes, en los términos de la
presente ley.
8. Tramitar las peticiones, consultas y los reclamos formulados por los titulares
de la información, en los términos señalados en la presente ley.
9. Indicar en el respectivo registro individual que determinada información se
encuentra en discusión por parte de su titular, cuando se haya presentado la

solicitud de rectificación o actualización de la misma y no haya finalizado dicho
trámite, en la forma en que se regula en la presente ley.
10. Circular la información a los usuarios dentro de los parámetros de la
presente ley.
11. Cumplir las instrucciones y requerimientos que la autoridad de vigilancia
imparta en relación con el cumplimiento de la presente ley.
12. Los demás que se deriven de la Constitución o de la presente ley.
Artículo 8°. Deberes de las fuentes de la información. Las fuentes de la
información deberán cumplir las siguientes obligaciones, sin perjuicio del
cumplimiento de las demás disposiciones previstas en la presente ley y en
otras que rijan su actividad:
1. Garantizar que la información que se suministre a los operadores de los
Bancos de Datos o a los usuarios sea veraz, completa, exacta, actualizada y
comprobable.
2. Reportar, de forma periódica y oportuna al operador, todas las novedades
respecto de los datos que previamente le haya suministrado y adoptar las
demás medidas necesarias para que la información suministrada a este se
mantenga actualizada.
3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los
operadores.
4. Diseñar e implementar mecanismos eficaces para reportar oportunamente la
información al operador.
5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva
autorización otorgada por los titulares de la información, y asegurarse de no
suministrar a los operadores ningún dato cuyo suministro no esté previamente
autorizado, cuando dicha autorización sea necesaria, de conformidad con lo
6. Certificar, semestralmente al operador, que la información suministrada
cuenta con la autorización de conformidad con lo previsto en la presente ley.
7. Resolver los reclamos y peticiones del titular en la forma en que se regula
en la presente ley.
8. Informar al operador que determinada información se encuentra en
discusión por parte de su titular, cuando se haya presentado la solicitud de
rectificación o actualización de la misma, con el fin de que el operador incluya
en el Banco de Datos una mención en ese sentido hasta que se haya finalizado
dicho trámite.

9. Cumplir con las instrucciones que imparta la autoridad de control en relación
con el cumplimiento de la presente ley.
Artículo 9°. Deberes de los usuarios. Sin perjuicio del cumplimiento de las
disposiciones contenidas en la presente ley y demás que rijan su actividad, los
usuarios de la información deberán:
1. Guardar reserva sobre la información que les sea suministrada por los
operadores de los Bancos de Datos, por las fuentes o los titulares de la
información y utilizar la información únicamente para los fines para los que le
fue entregada, en los términos de la presente ley.
2. Informar a los titulares, a su solicitud, sobre la utilización que le está dando
a la información.
3. Conservar con las debidas seguridades la información recibida para impedir
su deterioro, pérdida, alteración, uso no autorizado o fraudulento.
4. Cumplir con las instrucciones que imparta la autoridad de control, en
relación con el cumplimiento de la presente ley.
TITULO IV
DE LOS BANCOS DE DATOS DE INFORMACION FINANCIERA,
CREDITICIA, COMERCIAL, DE SERVICIOS Y LA PROVENIENTE DE
TERCEROS PAISES
Artículo 10. Principio de favorecimiento a una actividad de interés
público. La actividad de administración de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países está directamente
relacionada y favorece una actividad de interés público, como lo es la actividad
financiera propiamente, por cuanto ayuda a la democratización del crédito,
promueve el desarrollo de la actividad de crédito, la protección de la confianza
pública en el sistema financiero y la estabilidad del mismo, y genera otros
beneficios para la economía nacional y en especial para la actividad financiera,
crediticia, comercial y de servicios del país.
Parágrafo 1°. La administración de información financiera, crediticia, comercial,
de servicios y la proveniente de terceros países, por parte de fuentes, usuarios
y operadores deberá realizarse de forma que permita favorecer los fines de
expansión y democratización del crédito. Los usuarios de este tipo de
información deberán valorar este tipo de información en forma concurrente con
otros factores o elementos de juicio que técnicamente inciden en el estudio de
riesgo y el análisis crediticio, y no podrán basarse exclusivamente en la

información relativa al incumplimiento de obligaciones suministrada por los
operadores para adoptar decisiones frente a solicitudes de crédito.
La Superintendencia Financiera de Colombia podrá imponer las sanciones
previstas en la presente ley a los usuarios de la información que nieguen una
solicitud de crédito basados exclusivamente en el reporte de información
negativa del solicitante.
Parágrafo 2º. La consulta de la información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países por parte del titular, será gratuita
al menos una (1) vez cada mes calendario.
Artículo 11. Requisitos especiales para los operadores. Los operadores
de Bancos de Datos de información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países que funcionen como entes
independientes a las fuentes de la información, deberán cumplir con los
siguientes requisitos especiales de funcionamiento:
1. Deberán constituirse como sociedades comerciales, entidades sin ánimo de
lucro, o entidades cooperativas.
2. Deberán contar con un área de servicio al titular de la información, para la
atención de peticiones, consultas y reclamos.
3. Deberán contar con un sistema de seguridad y con las demás condiciones
técnicas suficientes para garantizar la seguridad y actualización de los
registros, evitando su adulteración, pérdida, consulta o uso no autorizado
4. Deberán actualizar la información reportada por las fuentes con una
periodicidad no superior a diez (10) días calendario contados a partir del recibo
de la misma.
Artículo 12. Requisitos especiales para fuentes. Las fuentes deberán
actualizar mensualmente la información suministrada al operador, sin perjuicio
de lo dispuesto en el Título III de la presente ley.
El reporte de información negativa sobre incumplimiento de obligaciones de
cualquier naturaleza, que hagan las fuentes de información a los operadores de
Bancos de Datos de información financiera, crediticia, comercial, de servicios y
la proveniente de terceros países, sólo procederá previa comunicación al titular
de la información, con el fin de que este pueda demostrar o efectuar el pago
de la obligación, así como controvertir aspectos tales como el monto de la
obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá
incluirse en los extractos periódicos que las fuentes de información envíen a
sus clientes.

En todo caso, las fuentes de información podrán efectuar el reporte de la
información transcurridos veinte (20) días calendario siguientes a la fecha de
envío de la comunicación en la última dirección de domicilio del afectado que
se encuentre registrada en los archivos de la fuente de la información y sin
perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al
operador, que la información se encuentra en discusión por parte de su titular,
cuando se haya presentado solicitud de rectificación o actualización y esta aún
no haya sido resuelta.
Artículo 13. Permanencia de la información. La información de carácter
positivo permanecerá de manera indefinida en los Bancos de Datos de los
operadores de información.
Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro,
estado de la cartera, y en general, aquellos datos referentes a una situación de
incumplimiento de obligaciones, se regirán por un término máximo de
permanencia, vencido el cual deberá ser retirada de los Bancos de Datos por el
operador, de forma que los usuarios no puedan acceder o consultar dicha
información. El término de permanencia de esta información será de cuatro (4)
años contados a partir de la fecha en que sean pagadas las cuotas vencidas o
sea pagada la obligación vencida.
Artículo 14. Contenido de la información. El Gobierno Nacional establecerá
la forma en la cual los Bancos de Datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, deberán presentar
la información de los titulares de la información. Para tal efecto, deberá señalar
un formato que permita identificar, entre otros aspectos, el nombre completo
del deudor, la condición en que actúa, esto es, como deudor principal, deudor
solidario, avalista o fiador, el monto de la obligación o cuota vencida, el tiempo
de mora y la fecha del pago, si es del caso.
El Gobierno Nacional al ejercer la facultad prevista en el inciso anterior deberá
tener en cuenta que en el formato de reporte deberá establecer que:
a) Se presenta reporte negativo cuando la(s) persona(s) naturales o jurídicas
efectivamente se encuentran en mora en sus cuotas u obligaciones;
b) Se presenta reporte positivo cuando la(s) persona(s) naturales y jurídicas
están al día en sus obligaciones.
El incumplimiento de la obligación aquí prevista dará lugar a la imposición de
las máximas sanciones previstas en la presente ley.
Parágrafo 1°. Para los efectos de la presente ley se entiende que una
obligación ha sido voluntariamente pagada, cuando su pago se ha producido
sin que medie sentencia judicial que así lo ordene.

Parágrafo 2°. Las consecuencias previstas en el presente artículo para el pago
voluntario de las obligaciones vencidas, será predicable para cualquier otro
modo de extinción de las obligaciones, que no sea resultado de una sentencia
judicial.
Parágrafo 3°. Cuando un usuario consulte el estado de un titular en las bases
de datos de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países, estas tendrán que dar información exacta
sobre su estado actual, es decir, dar un reporte positivo de los usuarios que en
el momento de la consulta están al día en sus obligaciones y uno negativo de
los que al momento de la consulta se encuentren en mora en una cuota u
obligaciones.
El resto de la información contenida en las bases de datos financieros,
crediticios, comercial, de servicios y la proveniente de terceros países harán
parte del historial crediticio de cada usuario, el cual podrá ser consultado por el
usuario, siempre y cuando hubiere sido informado sobre el estado actual.
Parágrafo 4°. Se prohíbe la administración
información exclusivamente desfavorable.

de

datos

personales

con

Artículo 15. Acceso a la información por parte de los usuarios. La
información contenida en Bancos de Datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países podrá ser accedida
por los usuarios únicamente con las siguientes finalidades:
Como elemento de análisis para establecer y mantener una relación
contractual, cualquiera que sea su naturaleza, así como para la evaluación de
los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones
comerciales o estadísticas.
Para el adelantamiento de cualquier trámite ante una autoridad pública o una
persona privada, respecto del cual dicha información resulte pertinente.
Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y
en forma general o para cada caso particular se haya obtenido autorización por
parte del titular de la información.
TITULO V
PETICIONES DE CONSULTAS Y RECLAMOS
Artículo 16. Peticiones, consultas y reclamos.
I. Trámite de consultas. Los titulares de la información o sus causahabientes
podrán consultar la información personal del titular, que repose en cualquier
Banco de Datos, sea este del sector público o privado. El operador deberá

suministrar a estos, debidamente identificados, toda la información contenida
en el registro individual o que esté vinculada con la identificación del titular.
La petición, consulta de información se formulará verbalmente, por escrito, o
por cualquier canal de comunicación, siempre y cuando se mantenga evidencia
de la consulta por medios técnicos.
La petición o consulta será atendida en un término máximo de diez (10) días
hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere
posible atender la petición o consulta dentro de dicho término, se informará al
interesado, expresando los motivos de la demora y señalando la fecha en que
se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días
hábiles siguientes al vencimiento del primer término.
Parágrafo. La petición o consulta se deberá atender de fondo, suministrando
integralmente toda la información solicitada.
II. Trámite de reclamos. Los titulares de la información o sus causahabientes
que consideren que la información contenida en su registro individual en un
Banco de Datos debe ser objeto de corrección o actualización podrán presentar
un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:
1. La petición o reclamo se formulará mediante escrito dirigido al operador del
Banco de Datos, con la identificación del titular, la descripción de los hechos
que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los
documentos de soporte que se quieran hacer valer. En caso de que el escrito
resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.
Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante
presente la información requerida, se entenderá que ha desistido de la
reclamación o petición.
2. Una vez recibido la petición o reclamo completo el operador incluirá en el
registro individual en un término no mayor a dos (2) días hábiles una leyenda
que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información
deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la
información que se suministra a los usuarios.
3. El término máximo para atender la petición o reclamo será de quince (15)
días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando
no fuere posible atender la petición dentro de dicho término, se informará al
se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días
4. En los casos en que exista una fuente de información independiente del
operador, este último deberá dar traslado del reclamo a la fuente en un
término máximo de dos (2) días hábiles, la cual deberá resolver e informar la
respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo

caso, la respuesta deberá darse al titular por el operador en el término máximo
de quince (15) días hábiles contados a partir del día siguiente a la fecha de
presentación de la reclamación, prorrogables por ocho (8) días hábiles más,
según lo indicado en el numeral anterior. Si el reclamo es presentado ante la
fuente, esta procederá a resolver directamente el reclamo, pero deberá
informar al operador sobre la recepción del reclamo dentro de los dos (2) días
hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la
obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza
del mismo dentro del registro individual, lo cual deberá hacer el operador
dentro de los dos (2) días hábiles siguientes a haber recibido la información de
la fuente.
5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según
sea el caso, deberá realizar una verificación completa de las observaciones o
planteamientos del titular, asegurándose de revisar toda la información
pertinente para poder dar una respuesta completa al titular.
6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho
fundamental del Hábeas Data, en caso que el titular no se encuentre satisfecho
con la respuesta a la petición, podrá recurrir al proceso judicial
correspondiente dentro de los términos legales pertinentes para debatir lo
relacionado con la obligación reportada como incumplida. La demanda deberá
ser interpuesta contra la fuente de la información la cual, una vez notificada de
la misma, procederá a informar al operador dentro de los dos (2) días hábiles
siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir
la leyenda que diga “información en discusión judicial” y la naturaleza de la
misma dentro del registro individual, lo cual deberá hacer el operador dentro
de los dos (2) días hábiles siguientes a haber recibido la información de la
fuente y por todo el tiempo que tome obtener un fallo en firme. Igual
procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial
contra el titular de la información, referente a la obligación reportada como
incumplida, y este proponga excepciones de mérito.
TITULO VI
VIGILANCIA DE LOS DESTINATARIOS DE LA LEY
Artículo 17. Función de vigilancia. La Superintendencia de Industria y
Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los
usuarios de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países, en cuanto se refiere a la actividad de
administración de datos personales que se regula en la presente ley.
En los casos en que la fuente, usuario u operador de información sea una
entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá
la vigilancia e impondrá las sanciones correspondientes, de conformidad con
las facultades que le son propias, según lo establecido en el Estatuto Orgánico

del Sistema Financiero y las demás normas pertinentes y las establecidas en la
presente ley.
Para el ejercicio de la función de vigilancia a que se refiere el presente artículo,
la Superintendencia de Industria y Comercio y la Superintendencia Financiera
de Colombia, según el caso, tendrán en adición a las propias las siguientes
facultades:
1. Impartir instrucciones y órdenes sobre la manera como deben cumplirse las
disposiciones de la presente ley relacionadas con la administración de la
información financiera, crediticia, comercial, de servicios y la proveniente de
terceros países fijar los criterios que faciliten su cumplimiento y señalar
procedimientos para su cabal aplicación.
2. Velar por el cumplimiento de las disposiciones de la presente ley, de las
normas que la reglamenten y de las instrucciones impartidas por la respectiva
Superintendencia.
3. Velar porque los operadores y fuentes cuenten con un sistema de seguridad
y con las demás condiciones técnicas suficientes para garantizar la seguridad y
actualización de los registros, evitando su adulteración, pérdida, consulta o uso
no autorizado conforme lo previsto en la presente ley.
4. Ordenar a cargo del operador, la fuente o usuario la realización de auditorías
externas de sistemas para verificar el cumplimiento de las disposiciones de la
presente ley.
5. Ordenar de oficio o a petición de parte la corrección, actualización o retiro
de datos personales cuando ello sea procedente, conforme con lo establecido
en la presente ley. Cuando sea a petición de parte, se deberá acreditar ante la
Superintendencia que se surtió el trámite de un reclamo por los mismos
hechos ante el operador o la fuente, y que el mismo no fue atendido o fue
atendido desfavorablemente.
6. Iniciar de oficio o a petición de parte investigaciones administrativas contra
los operadores, fuentes y usuarios de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, con el fin de
establecer si existe responsabilidad administrativa derivada del incumplimiento
de las disposiciones de la presente ley o de las órdenes o instrucciones
impartidas por el organismo de vigilancia respectivo, y si es del caso imponer
sanciones u ordenar las medidas que resulten pertinentes.
Artículo 18. Sanciones. La Superintendencia de Industria y Comercio y
Superintendencia Financiera podrán imponer a los operadores, fuentes
usuarios de información financiera, crediticia, comercial, de servicios y
proveniente de terceros países previas explicaciones de acuerdo con
procedimiento aplicable, las siguientes sanciones:

la
o
la
el

Multas de carácter personal e institucional hasta por el equivalente a mil
quinientos (1.500) salarios mínimos mensuales legales vigentes al momento
de la imposición de la sanción, por violación a la presente ley, normas que la
reglamenten, así como por la inobservancia de las órdenes e instrucciones
impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser
sucesivas mientras subsista el incumplimiento que las originó.
Suspensión de las actividades del Banco de Datos, hasta por un término de
seis (6) meses, cuando se estuviere llevando a cabo la administración de la
información en violación grave de las condiciones y requisitos previstos en la
presente ley, así como por la inobservancia de las órdenes e instrucciones
impartidas por las Superintendencias mencionadas para corregir tales
violaciones.
Cierre o clausura de operaciones del Banco de Datos cuando, una vez
transcurrido el término de suspensión, no hubiere adecuado su operación
técnica y logística, y sus normas y procedimientos a los requisitos de ley, de
conformidad con lo dispuesto en la resolución que ordenó la suspensión.
Cierre inmediato y definitivo de la operación de Bancos de Datos que
administren datos prohibidos.
Artículo 19. Criterios para graduar las sanciones. Las sanciones por
infracciones a que se refiere el artículo anterior se graduarán atendiendo los
siguientes criterios, en cuanto resulten aplicables:
a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la
presente ley;
b) El beneficio económico que se hubiere obtenido para el infractor o para
terceros, por la comisión de la infracción, o el daño que tal infracción hubiere
podido causar;
c) La reincidencia en la comisión de la infracción;
d) La resistencia, negativa u obstrucción a la acción investigadora o de
vigilancia de la Superintendencia de Industria y Comercio;
e) La renuencia o desacato a cumplir, con las órdenes impartidas por la
Superintendencia de Industria y Comercio;
f) El reconocimiento o aceptación expresos que haga el investigado sobre la
comisión de la infracción antes de la imposición de la sanción a que hubiere
lugar.
Artículo 20. Régimen de transición para las Entidades de Control. La
Superintendencia de Industria y Comercio y la Superintendencia Financiera
asumirán, seis (6) meses después de la entrada en vigencia de la presente ley,
las funciones aquí establecidas. Para tales efectos, dentro de dicho término el
Gobierno Nacional adoptará las medidas necesarias para adecuar la estructura

de la Superintendencia de Industria, Comercio y Financiera dotándola de la
capacidad presupuestal y técnica necesaria para cumplir con dichas funciones.
TITULO VII
DE LAS DISPOSICIONES FINALES
Artículo 21. Régimen de transición. Para el cumplimiento de las
disposiciones contenidas en la presente ley, las personas que, a la fecha de su
entrada en vigencia ejerzan alguna de las actividades aquí reguladas, tendrán
un plazo de hasta seis (6) meses para adecuar su funcionamiento a las
Los titulares de la información que a la entrada en vigencia de esta ley
estuvieren al día en sus obligaciones objeto de reporte, y cuya información
negativa hubiere permanecido en los Bancos de Datos por lo menos un año
contado a partir de la cancelación de las obligaciones, serán beneficiarios de la
caducidad inmediata de la información negativa.
A su vez, los titulares de la información que se encuentren al día en sus
obligaciones objeto de reporte, pero cuya información negativa no hubiere
permanecido en los Bancos de Datos al menos un año después de canceladas
las obligaciones, permanecerán con dicha información negativa por el tiempo
que les hiciere falta para cumplir el año, contado a partir de la cancelación de
las obligaciones.
Los titulares de la información que cancelen sus obligaciones objeto de reporte
dentro de los seis (6) meses siguientes a la entrada en vigencia de la presente
ley, permanecerán con dicha información negativa en los Bancos de Datos por
el término de un (1) año, contado a partir de la fecha de cancelación de tales
obligaciones. Cumplido este plazo de un (1) año, el dato negativo deberá ser
retirado automáticamente de los Bancos de Datos.
El beneficio previsto en este artículo se perderá en caso que el titular de la
información incurra nuevamente en mora, evento en el cual su reporte
reflejará nuevamente la totalidad de los incumplimientos pasados, en los
términos previstos en el artículo 13 de esta ley.
Artículo 22. Vigencia y derogatorias. Esta ley rige a partir de la fecha de
publicación y deroga las disposiciones que le sean contrarias.”
II. INTERVENCIONES
1. Intervenciones oficiales
1.1. Intervención de la Defensoría del Pueblo.

Luego de presentar unos comentarios generales sobre la protección de datos, y
las características de algunos escenarios normativos internacionales que
regulan el derecho a la información, la Defensoría del Pueblo, por medio del
Delegado (E) para Asuntos Constitucionales, se pronunció a favor de la
exequibilidad de algunas disposiciones del Proyecto de Ley objeto de análisis,
en tanto que advirtió la inconstitucionalidad de otras, de acuerdo con las
consideraciones que a continuación se presentan:
1.1.1. En relación con el artículo 1º del Proyecto que establece el objeto de la
Ley, manifiesta la Defensoría del Pueblo que la expresión “así como el derecho
a la información establecido en el artículo 20 de la Constitución Política,
particularmente en relación con la información financiera y crediticia,
comercial, de servicios, y la proveniente de terceros países” contraría los
artículos 15, 20 y 158 de la Constitución por el hecho de concentrarse en el
dato financiero, en tanto que la Carta establece un derecho fundamental que
debe ser regulado en su integridad. De la redacción consignada en el Proyecto
de Ley, se desprenden consecuencias como la asignación de este derecho
fundamental a las entidades financieras, lo que constituye una distorsión
conceptual que hace del derecho a la información un “insumo o mercancía
susceptible de tráfico comercial”.
En el mismo sentido, señala que el derecho a la información es un “derecho
fundamental de naturaleza específica y autónoma, que debe ser objeto de una
ley propia sometida a sus propios principios o reglas”. Además, indica que
“pese a la mención expresa del artículo 1, el articulado [del Proyecto de
Ley] no desarrolla el derecho a la información sino sólo hace menciones
esporádicas al mismo, con el ánimo de amparar la actividad de tratamiento de
datos”.
En síntesis, considera que el artículo 1º vulnera los artículos 15 y 20
constitucionales, al darle al derecho un alcance diferente del que fue previsto
por la Carta Política. De acuerdo con el objeto del Proyecto, el derecho
fundamental a la información se confunde con la actividad de tratamiento de
información y, de esta forma se afecta su estructura al desplazar su titularidad
desde el ciudadano a las compañías encargadas del manejo de los datos. Por
tales razones, debe declararse su inexequibilidad.
1.1.2. Argumenta que el inciso 3º del artículo 2º del Proyecto no se ajusta a la
Constitución, dado que establece algunas excepciones en el ámbito de
aplicación de la Ley, a pesar de que el artículo 15 de la Carta no establece
limitaciones al ejercicio del derecho a la protección de los datos. Señala que si
bien algunos datos pueden ser objeto de reserva, ello no implica que ésta se
predique frente a los titulares de los datos. Hacerlo equivaldría, en la práctica,
a que existirían serios obstáculos para “actualizar y rectificar” la información
que reposa en las bases de datos de determinadas instituciones estatales, lo
cual atentaría con el núcleo esencial del derecho. En el mismo sentido, la
Defensoría encuentra que “no existe justificación para excluir de la aplicación

de la ley a las Cámaras de Comercio”, como ocurre en el inciso 4º del artículo
2º del Proyecto bajo estudio.
1.1.3. Solicita, así mismo, la inexequibilidad parcial del inciso 5º del artículo 2º
que excluye del ámbito de aplicación de la ley a los datos mantenidos en un
ambiente personal, doméstico, “y aquellos que circulan internamente, esto es,
que no se suministran a otras personas jurídicas o naturales”. La
inconformidad se dirige al aparte subrayado, y consiste en que “si la ley no se
aplica a los datos que ‘no se suministran a otras personas’ lógicamente no
puede decirse que esos datos estén ‘circulando’”. Esta contradicción y la
vaguedad de la palabra “internamente” justifican la inexequibilidad del
apartado mencionado.
1.1.4. Considera que ciertos apartados de las definiciones contenidas en el
artículo 3º del Proyecto, presentan problemas en relación con algunos
preceptos constitucionales. Entre las definiciones cuestionadas parcialmente se
encuentran: ‘fuente
de
información’,
‘operador
de
información’,
‘usuario’, y ‘dato público’. Habida cuenta de que el Proyecto de Ley se refiere a
‘información financiera, crediticia, comercial, de servicios, y la proveniente de
terceros países’ la Defensoría solicita que la Corte emita un fallo modulado en
relación a la expresión ‘de servicios’, “en el sentido de que su
constitucionalidad está condicionada a que se entienda que no procede el
reporte de información relacionada con obligaciones generadas en la
prestación de servicios de educación, salud, o servicios públicos domiciliarios,
sino sólo de servicios onerosos de carácter estrictamente comercial”.
1.1.5. Argumenta que la expresión “del banco de datos”, contenida en el literal
c) y literal d) del artículo 4º del Proyecto, desconoce el artículo 15 de la
Constitución, por “negar el principio mismo de temporalidad y desconocer el
derecho al olvido o a la caducidad del dato, esencial al tratamiento”.
1.1.6. Indica que la parte final del literal f) del artículo 5º del Proyecto, referido
al tema de la circulación de la información a instituciones extranjeras vulnera
el numeral 2º del artículo 189 de la Constitución, en tanto la dirección de las
relaciones internacionales está en cabeza del Presidente quien puede, en
ejercicio de esta atribución constitucional y de acuerdo a los procedimientos
establecidos en nuestro ordenamiento, conceder o reconocer una prerrogativa
a otro Estado en función del principio de reciprocidad.
La disposición mencionada, al establecer que entidades extranjeras encargadas
del manejo de datos deben verificar si las leyes del país respectivo otorgan
“garantías suficientes para la protección del derecho” resulta ajena a la
Constitución, pues una verificación de ese tipo no puede ser delegada en
“agentes privados” que carecen de la autoridad y los medios necesarios para
certificar la adecuación de tales garantías. La evaluación y certificación de las
mismas, entonces, deben estar en cabeza del propio Estado, a través de sus
diferentes instituciones.

1.1.7. Para la Defensoría, el inciso segundo del parágrafo del numeral 1.4 del
artículo 6º, que establece que la administración de datos privados y
semiprivados requerirá la autorización del titular de la información, “salvo en
el caso del dato financiero, crediticio, comercial, de servicios, y el proveniente
de terceros países el cual no requiere autorización del titular”, es contrario a la
Constitución debido a que, de acuerdo con los parámetros de las Naciones
Unidas y la OCDE, la autorización del titular debe ser la regla en el manejo de
los datos. Al establecer la excepción citada, empero, se excluye de la
regulación general a la mayor parte de los datos, especialmente si se toma en
cuenta que el énfasis del proyecto está en el dato financiero. De esta forma, se
convierte la excepción en regla y se vulnera el núcleo esencial del derecho a la
información. Por lo tanto, el aparte debe ser declarado inexequible por
contravenir “las garantías constitucionales cuyo respeto impone el artículo 15
de la Carta”.
1.1.8. Manifiesta que la expresión “o a los usuarios” del numeral 1º del artículo
8º es inexequible, en tanto “las fuentes de información no pueden convertirse
en fuentes para otros usuarios sino sólo para los operadores de bancos de
datos, por razón de que (sic) se conformaría una cadena de cesiones de
información que imposibilitaría el control sobre el tratamiento (de los datos) y
acabaría por hacer nugatorias las garantías propias de la autodeterminación
informática”.
1.1.9. Señala que el inciso primero del artículo 13, que determina que la
información positiva permanecerá indefinidamente en las bases de datos es
inexequible debido a que contraría el principio de temporalidad o caducidad del
dato. Adicionalmente, expresa que si el titular es soberano de su información
ello “implica la disposición de tales datos cuando ellos han dejado de tener
utilidad social, según la finalidad del tratamiento a que fueron sometidos”.
1.1.10 En relación al artículo 14, en virtud del cual se establece que el
Gobierno Nacional definirá la forma en que se presentará la información, “la
Defensoría encuentra que el inciso 2 y sus literales a) y b) van más allá del
simple registro y organización de datos objetivos relacionados con la
trayectoria del deudor, y facultan al gobierno para ‘calificar’ esto es para trazar
un perfil, precario, parcial e injustificado de la persona.” (…) “Por las mismas
razones la expresión ‘es decir, dar un reporte positivo de los usuarios que en el
momento de la consulta están al día en sus obligaciones y uno negativo de los
que en el momento de la consulta se encuentren en mora en una cuota u
obligaciones’ contenida en la parte final del parágrafo 3 del artículo 14 (…) es
contraria a los artículos 13 y 15 de la Carta”.
1.1.11. Solicita se declare inexequible el inciso 4º del artículo 15 (relativo al
acceso a la información por parte de los usuarios) del Proyecto de Ley, así
como la expresión “y en forma general” del inciso 5º del mismo artículo. En
relación con el inciso 4º manifiesta que es impreciso y vago, de forma que
resulta incompatible con el artículo 15 de la Carta, pues la protección del
derecho a la información debe guiarse por los principios de finalidad,

consentimiento, lealtad, legalidad, proporcionalidad de los registros de datos,
entre otros. De acuerdo con estos principios, tanto la regulación legal como las
limitaciones establecidas frente a los destinatarios de la Ley deben ser
precisas, y deben delimitarse con mayor claridad en relación con aquellos que
tienen a su cargo el tratamiento de los datos. Sobre la expresión cuestionada
del inciso 5º del artículo 15, sostiene que toda autorización debe manifestar
expresamente la finalidad para la cual se concede, por lo que una autorización
otorgada “en forma general” está en contraposición con los principios de
manejo del dato desarrollados por la propia Ley y la Constitución.
1.1.12. Indica que algunos apartados del artículo 17 del Proyecto, que define el
sistema de control y vigilancia de las violaciones al contenido de la Ley deben
ser considerados inexequibles, con base en dos tesis: (i) en el Proyecto se
configura una omisión legislativa, en tanto únicamente se contempló un
régimen de control para aquellos operadores de información crediticia,
financiera, de servicios y proveniente de terceros países, dejando de lado la
protección de los titulares de la información no financiera, y a los titulares
afectados por el tratamiento que llevan a cabo las entidades del sector público;
por ello, (ii) sugiere la declaratoria de la inexequibilidad de algunas
expresiones del texto de tal manera que en la redacción final del artículo se
contemple un sistema general de protección para todos los titulares de
cualquier clase de información.
1.1.13. Por último, solicita declarar la inexequibilidad del inciso 2º del artículo
17 del Proyecto, por considerar que “el control dual, en cabeza de dos
entidades milita contra el principio de igualdad, (puesto que) plantea la
posibilidad real de que dos situaciones de hecho sustancialmente iguales, sean
tratadas y resueltas de manera diferente”. En el mismo sentido y con el fin de
preservar la unidad normativa, solicita se declaren inexequibles las expresiones
de los artículos 18 y 20 en las que se hace referencia a la Superintendencia
Financiera.
1.2. Intervención del Ministerio del Interior y de Justicia.
La Directora del Ordenamiento Jurídico del Ministerio del Interior y de Justicia
manifestó que el procedimiento legislativo que surtió el Proyecto de Ley objeto
de revisión, respetó todos los trámites requeridos para convertirse en Ley
Estatutaria de la República. Además, realizó una exposición de las razones por
las cuales no encontró reparos de orden constitucional al texto. Estas razones,
en síntesis, se relacionan con la protección al derecho fundamental al buen
nombre, en la medida en que se garantiza la veracidad del dato; el
establecimiento de principios generales conforme a la jurisprudencia
constitucional sobre el manejo de la información (cita la sentencia SU-082 de
1995); y, finalmente, en que el contenido de la ley se ajusta a la potestad de
configuración del legislador estatutario. En consecuencia, solicitó a la Corte
Constitucional pronunciarse a favor de la exequibilidad del mismo.
1.3. Intervención del Ministerio de Relaciones Exteriores.

El Ministerio de Relaciones Exteriores, por intermedio del Jefe de la Oficina de
Asesoría Jurídica, indicó no tener observaciones sobre el contenido del
Proyecto de Ley Estatutaria que se analiza en el presente caso.
1.4. Intervención del Ministerio de Hacienda y Crédito Público.
Luego de realizar una presentación sobre cada una de las disposiciones que
integran el Proyecto de Ley y reseñar algunos antecedentes jurisprudenciales
sobre los cuales están fundados varios de sus artículos, concluye el Ministerio
de Hacienda y Crédito Público que “el fondo y la forma del proyecto de
ley (…) se encuentran ajustados a las disposiciones superiores”, motivo por el
cual solicita a la Corte se pronuncie a favor de su exequibilidad.
1.5. Intervención de la Superintendencia Financiera de Colombia.
Por intermedio de apoderada judicial, la Superintendencia Financiera de
Colombia manifestó que el Proyecto de Ley Estatutaria recoge en sus
disposiciones “los lineamientos básicos que sobre el Derecho Fundamental del
Hábeas Data [que ha fijado esta] Corporación en reiterados fallos sobre la
materia”. Tras una descripción del rol de las centrales de información
financiera y la necesidad de regular el ejercicio de sus actividades, solicitó que
se declare la constitucionalidad del Proyecto de Ley Estatutaria de Hábeas
Data.
1.6. Intervención de la Superintendencia de Industria y Comercio.
La Jefe de la Oficina Asesora Jurídica de la Superintendencia de Industria y
Comercio presentó un escrito mediante el cual formula varios reparos a la
redacción y estructura de algunas disposiciones del Proyecto de Ley. Sin
embargo, ninguno de ellos está encaminado directamente a cuestionar la
constitucionalidad del texto del Proyecto.
1.7. Intervención de la Alcaldía Mayor de Bogotá D.C.
El Subdirector de Estudios de la Dirección Jurídica Distrital de la Secretaría
General de la Alcaldía Mayor de Bogotá sostuvo que varios de los artículos del
Proyecto de Ley Estatutaria vulneran el núcleo esencial del derecho al Hábeas
Data.
Considera que la forma en que quedó estructurado el Proyecto (a) “no ofrece
un nivel adecuado de protección de datos al desconocer principios
fundamentales que deben informar el proceso de administración de datos
personales”. (b) “Viola el derecho a la autodeterminación informática y el
principio de circulación restringida porque limita el poder jurídico de las
personas titulares de la información para conocer e incidir sobre el contenido,
uso y difusión de la información personal que les concierne y que se encuentra
archivada en un banco de datos”, y (c) “Restringe el ejercicio del derecho

fundamental al hábeas data al establecer una tarifa por consultar en más de
una ocasión los datos registrados sobre sí misma” dejando al arbitrio del
operador la fijación y cobro de dicha tarifa.
Por lo anterior, solicita a la Corte declare la inconstitucionalidad de: (i) los
literales d) y f) del artículo 5º; (ii) de la expresión “salvo en el caso del dato
financiero, crediticio, comercial, de servicios y proveniente de terceros países
el cual no requiere autorización expresa del titular”, contenida en el parágrafo
2º del artículo 6º; y, (iii) de la expresión “El término máximo de permanencia
de esta información será de cuatro (4) años contados a partir de la fecha en
que sean pagadas las cuotas vencidas o pagada la obligación vencida”,
contenidas en el artículo 13 del Proyecto de Ley Estatutaria.
1.8. Intervención de los senadores Luis Fernando Velasco y Juan
Fernando Cristo.
Los Senadores de la República mencionados manifestaron que el Proyecto de
Ley surtió con rigor todos los trámites propios de una Ley Estatutaria.
Posteriormente, describieron con detalle las finalidades y estructura del texto
del Proyecto de Ley. Sin embargo, exponen dos consideraciones sobre el texto
final del Proyecto: (a) defienden la constitucionalidad de la expresión “que no
sea resultado de una sentencia judicial” contenida en el parágrafo 2º del
artículo 14, debido a que al no declararlo constitucional “se condenaría a
cadena perpetua a aquellos ciudadanos que arreglaron su obligación, pero que
para ese arreglo se preciso (sic) de una sentencia judicial”; y (b), sostuvieron
que el tiempo máximo de permanencia de la información negativa definido en
el proyecto de cuatro (4) años resulta desproporcionado, y por ello sugieren
que se declare que el límite de dicho término no debe ser superior a dos (2)
años.
2. Intervenciones institucionales
2.1. Intervención de la Asociación Colombiana de Call Centers.
La Asociación Colombiana de Call Centers allegó a la Secretaría General de
esta Corporación un documento en el cual presenta un cuadro comparativo
entre las disposiciones del Proyecto de Ley objeto de análisis, y las
disposiciones de la Directiva 95/46/CE del Parlamento Europeo y
del Consejo de 24 de octubre de 1995. En dicho cuadro, se incluyen
observaciones particulares sobre cada disposición, ilustrándose el alcance de
cada concepto, relacionándolo con la jurisprudencia constitucional, y se
expresan anotaciones especiales sobre cada norma.
Según el Director Ejecutivo de esta Asociación, de este documento “se deduce
que el proyecto aprobado no incurre en vicios de inconstitucionalidad material
y cumple con la Directiva 95/46/CE del Parlamento Europeo y del
Consejo (…) y que además el país proporciona un nivel de protección adecuado

sobre los datos de carácter personal que sean transferidos a Colombia desde
los países de la UE”.
2.2. Intervención de la Asociación Bancaria y de Entidades Financieras
de Colombia.
La Asociación Bancaria y de Entidades Financieras de Colombia, Asobancaria,
mediante apoderado judicial, presentó sus consideraciones sobre el Proyecto
de Ley Estatutaria de Hábeas Data.
La primera parte de la intervención contiene una amplia y detallada
presentación de las generalidades del derecho de hábeas data, refiriéndose a
aspectos como la fundamentabilidad del derecho, las semejanzas y diferencias
entre el contenido del mismo y el de otros derechos fundamentales como la
intimidad, la honra y el buen nombre, así como las relaciones que se presentan
entre éstos y el derecho de hábeas data. Posteriormente, se refiere a los
diferentes ámbitos de aplicación del derecho fundamental al hábeas data y
explica a la luz de la jurisprudencia constitucional y del texto del Proyecto de
Ley, los principios que irradian el ejercicio del mismo.
Concluida la exposición preliminar, efectúa un análisis sobre la
constitucionalidad de algunas disposiciones específicas del Proyecto de Ley. La
argumentación de Asobancaria se basa en unos presupuestos de lo que
consideran es el derecho al hábeas corpus: “(i) ... es un derecho fundametal
innominado, autónomo e independiente; (ii) ... tiene conexiones con los
derechos fundamentales a la intimidad, a la honra y al buen nombre (aunque
también) se diferencia de ellos; (iii) tiene un ámbito de protección prima facie,
y un ámbito de protección definitivo; (iv) El ámbito de protección inicial ... está
conformado ... por ciertos principios acerca de la administración del dato ...;
(v) ... el ámbito de protección definitiva (sic) ... corresponde a lo que queda
del mismo después de que ha sido restringido, y siempre y cuando esas
limitaciones respeten ... el principio de proporcionalidad”. Dentro de ese
marco:
2.2.1. Solicita a la Corte proferir una sentencia a favor de la constitucionalidad
de la excepción contenida en el numeral 1º del artículo 6º, mediante la cual no
es exigible la autorización previa y expresa por parte del titular para que sus
datos financieros, crediticios, de servicios y provenientes de terceros países
sean administrados, pues considera que la regulación descrita en esta
disposición constituye una restricción legítima al derecho de autodeterminación
informática
en
tanto
respeta
“los
elementos
del
principio
de
proporcionalidad”, y
los “sub-principios
de
idoneidad,
necesidad,
y
proporcionalidad en sentido estricto”.
Al respecto, indica que el consentimiento previo y expreso del titular de los
datos para su administración es parte del al ámbito de protección prima
facie del derecho fundamental al hábeas data y que la disposición establece
una restricción a esa garantía. Sin embargo, considera que la medida respeta

el criterio de proporcionalidad, en tanto que (i) esidónea para favorecer la
protección de un bien constitucional reconocido por la jurisprudencia de esta
Corporación, como lo es la estabilidad financiera, y “de más de un derecho” (se
refiere a los derechos subjetivos de los ahorradores, de acuerdo con
consideraciones ulteriores), y persigue otros fines constitucionalmente
legítimos, como “fomentar la bancarización y la competencia entre entidades
financieras”; (ii) es necesaria pues no existen medidas alternativas para
perseguir esos fines: “no hay lugar siquiera a analizar ... medios
alternativos (para perseguir los fines descritos), por la sencilla razón de que no
existen”; y, por último, (iii) es proporcional en sentido estricto pues, en el caso
concreto, “es fácil constatar que la medida implica una afectación leve del
derecho fundamental al Habeas Data (sic). Por el contrario, representa un
favorecimiento intenso del bien constitucional de la estabilidad financiera y del
derecho de acceso a la información.”
La intensidad leve de la afectación al derecho se deduce de los siguientes
elementos: la disposición sólo se refiere a los datos financieros, manteniendo
la necesidad de autorización para otros datos; se trata de datos de naturaleza
semiprivada, y no de otros más cercanos a la esfera íntima de la persona; no
afecta los demás principios que guían la administración de datos; y no
desprotege el derecho al buen nombre, porque el dato financiero está ligado al
comportamiento del titular. Por su parte, afirma que se favorece intensamente
la estabilidad financiera, porque contribuye a la prevención de riesgos para las
entidades bancarias, y fomenta la recolección de información adecuada;
promueve la bancarización y la competencia entre las entidades financieras, y
coadyuva a la finalidad preventiva que informa el manejo adecuado de la
información crediticia.
2.2.2. Presenta una serie de argumentos encaminados a justificar los criterios
temporales definidos por el artículo 13 del Proyecto para la permanencia
máxima de la información negativa una vez se han extinguido las obligaciones
vigentes. Uno de los referentes a través del cual defiende la razonabilidad de la
medida, tiene que ver con los estándares internacionales sobre la materia, de
acuerdo con lo establecido en otras legislaciones (anexa cuadro). En el mismo
sentido, argumenta que es una medida razonable en cuanto se asocia a
disminuir el riesgo en el manejo del ahorro, contribuye a la estabilidad
financiera, y se compadece con los criterios definidos por la jurisprudencia
constitucional sobre permanencia del dato en el tiempo. Además, se trata de
una determinación que se encuentra dentro del margen de libre configuración
del legislador.
2.2.3. Sostiene que el artículo 18 del Proyecto de Ley que establece algunas
sanciones para los operadores, fuentes o usuarios de la información financiera,
debe ser declarado inexequible por varias razones, entre las que se encuentran
el irrespeto del principio de legalidad en la expresión “por violación a la
presente ley”, debido a que el supuesto de hecho de la sanción es
indeterminado, por ser “excesivamente abierto”; el desconocimiento de la
reserva de ley y del principio de legalidad en la expresión “normas que la

reglamenten”; la transgresión al principio de proporcionalidad de la sanción, en
la medida en que ésta podría ser aplicada son la configuración efectiva de un
daño, o con independencia de éste. “En conclusión, ... el apartado
normativo ... es inconstitucional, por cuanto existen afectaciones de la ley que,
en casos concretos, no producen daños y por tanto pueden ser corregidos a
través de mecanismos y cerramientos que no tienen vocación
sancionatoria”. La expresión “normas que la reglamenten”, es inconstitucional
pues permite que la sanción se aplique a la reglamentación de la ley y a las
órdenes e instrucciones impartidas por la Superintendencia, lo que constituye
una concesión muy amplia a la administración para regular materias que no se
contemplaron en la ley estatutaria. Por último, el apartado normativo
“inobservancia de las órdenes e instrucciones impartidas por dicha
superintendencia” es contrario al principio de legalidad pues “Si bien es cierto
que las Superintendencias están facultadas para imponer sanciones y regular
las conductas que sean objeto de éstas, tal situación sólo puede ocurrir cuando
existan lineamientos claros ofrecidos por la ley”, lo que no sucede frente a la
disposición cuestionada.
Para finalizar, explica las razones por las cuales considera que los incisos 2º,
3º, 4º y 5º del artículo 21, en virtud del cual se establece un régimen de
transición, deben ser declarados inexequibles, por “violación de los principios
de identidad y consecutividad”, y por violación del principio de estabilidad del
sistema financiero, establecido en los artículos 20 y 335 de la C.P.
En lo concerniente a los principios de identidad y consecutividad, indica que se
introdujeron modificaciones dentro del trámite legislativo, contrariando los
mandatos constitucionales sobre la forma en que se deben elaborar las leyes
en nuestro ordenamiento y, específicamente, los artículos 157 y 160 de la
Constitución.
Sobre la vulneración al principio de estabilidad financiera, afirma que se ve
afectado por el establecimiento de un régimen de transición en el artículo 21
del Proyecto, que permite a aquellas personas que paguen sus deudas dentro
de los seis meses siguientes a la promulgación de la ley, beneficiarse con la
caducidad de la información negativa un año después de efectuado el pago. La
vulneración radica en que esa posibilidad afecta gravemente, y sin justificación
alguna, la estabilidad del sistema financiero y el derecho a la información veraz
e imparcial que tienen las entidades financieras.
Este beneficio previsto por la ley no es apto para cumplir ningún propósito
constitucionalmente legítimo y, en particular, no asegura la democratización
del crédito, pues la ausencia de información disminuye el crédito; no fomenta
el crecimiento económico, pues no expande el crédito, y considera discutible
que promueva una mayor recuperación de cartera. Conceptúa que, aún en
caso de que esa posibilidad tuviera sustento empírico, no sería proporcional, en
sentido estricto, con la afectación a la estabilidad económica producida por la
medida.

2.3. Intervención de la Comisión Colombiana de Juristas.
La Comisión Colombiana de Juristas presentó un escrito en el cual defiende y
justifica de manera detallada-a la luz de los estándares internacionales
definidos en los Sistemas Interamericano y Universal de protección de los
Derechos Humanos-, la necesidad de expedir una Ley Estatutaria que “regule
la autodeterminación informativa y al hábeas data de las personas reportadas
en los archivos de inteligencia”, teniendo en cuenta que esta dimensión del
derecho de hábeas data fue desconocida por completo en el Proyecto de Ley
materia de estudio. Anuncia la entrega de un documento posterior en el que
solicitará la inconstitucionalidad del artículo 13 del Proyecto de Ley; sin
embargo este documento no fue allegado a esta Corporación.
2.4. Intervención de la Universidad de los Andes.
El profesor Nelson Remolina Angarita, investigador del Grupo de Estudios en
Internet, Comercio Electrónico, Telecomunicaciones e Informática de la
Facultad de Derecho de la Universidad de los Andes, solicitó a esta
Corporación:
2.4.1 Declarar la inexequibilidad del aparte del artículo 13 del Proyecto
(permanencia del dato) que establece “El término de permanencia de esta
información será de cuatro (4) años contados a partir de la fecha en que sean
pagadas las cuotas vencidas o sea pagada la obligación vencida”. La norma es
inconstitucional porque vulnera el principio de igualdad contenido en el artículo
13 de la Carta, en la medida en que establece un término único de vigencia del
dato, sin contemplar las diferentes situaciones que lo pudieron originar
(duración de la mora, modos de pago, etc.).
2.4.2. Declarar la inexequibilidad parcial del parágrafo 2º del artículo 10 del
Proyecto de Ley, que limita la gratuidad de la consulta de la información por
parte del titular a que ésta se realice una vez por mes, por considerar que
contraría los artículos 1, 13, 15 y 338 de la Constitución.
La disposición desconoce el artículo 15 de la Constitución porque éste no
establece que se cobre a las personas por conocer actualizar y rectificar sus
datos, de forma que se establece un obstáculo injustificado al ejercicio del
derecho; en el mismo sentido, este cobro no es compatible con el artículo 1º
Superior porque hace prevalecer los intereses de los operadores sobre el
interés general, y se contrapone al artículo 13 de la Carta, ya que los costos
serán más más gravosos para las personas pobres.
2.4.3. Declarar la inexequibilidad del aparte del literal j) del artículo 3º del
Proyecto, según el cual “los estados financieros del titular” se entenderán como
información financiera.Considera que en el Proyecto de Ley, a estos
documentos se les da el tratamiento de un documento público o semiprivado
yendo en dirección contraria a lo dispuesto por la Constitución que establece
que los “libros de contabilidad son documentos privados (…) (y que) para

efectos tributarios o judiciales y para los casos de inspección, vigilancia e
intervención del Estado podrá exigirse la presentación de los libros de
contabilidad”.
2.4.4. En el mismo sentido, solicita declarar la inexequibilidad parcial del
numeral 1.4 del artículo 6º del Proyecto de Ley, que elimina la necesidad de
autorización previa del titular para que sus datos crediticios, financieros, de
servicios y provenientes de terceros países sean administrados, por estimar
que afecta el “núcleo esencial del hábeas data y el punto de equilibrio entre el
derecho a la intimidad y el derecho a la información”, de acuerdo con la
jurisprudencia constitucional.
La disposición desconoce, además, que a partir de la Constitución de 1991 el
ciudadano es un sujeto activo en relación con su información y señala que la
restricción establecida en el aparte acusado no tiene justificación alguna, pues
“durante más de 15 años la autorización NO (sic) ha sido obstáculo para que
en Colombia se recolecten los datos personales ni puso en peligro la protección
de intereses generales”. Concluye señalando que “la esencia del derecho al
habeas data se traduce en que la persona controle lo que sucede con sus datos
personales, independientemente de si los mismos son públicos, privados o
semiprivados”.
2.4.5. Declarar inexequible el aparte “En todo caso, las fuentes de información
podrán efectuar el reporte” del párrafo 3º del artículo 12 del Proyecto de Ley
(Requisitos especiales para fuentes), debido a que contradice lo dispuesto en
los artículos 20, 15, 29 y 83 de la Constitución. Señala que el aparte
mencionado
establece
la
posibilidad
de
“reportar
por
reportar
información”, apartándose del artículo 20 constitucional, que consagra la
libertad de informar y recibir información veraz e imparcial. En ese sentido, la
expresión “en todo caso” permite que se publique información que no
corresponda con la realidad, lo que a su vez vulnera el debido proceso en
cuanto la persona no puede ejercer el derecho de defensa frente a la
circulación de información de cualquier tipo.
2.4.6. Declarar inexequible el parágrafo del literal i) del artículo 3º, el cual
establece que a las agencias de información comercial, sus fuentes o usuarios
no se aplicarán algunas disposiciones de la Ley Estatutaria. Este desarrollo
legislativo contradice el artículo 15 de la Carta, pues “el texto constitucional es
absoluto frente al sujeto pasivo que ejercita el derecho”, y no admite
excepciones; además, no es posible encontrar una justificación constitucional
para excluir a los sujetos señalados del cumplimiento de sus obligaciones
constitucionales; algunas de las disposiciones que, de acuerdo con el
enunciado normativo cuestionado, podrían inaplicarse se refieren a la
veracidad e imparcialidad de la información, y al requisito de autorización
previa para el manejo de datos y la obligación de comunicar previamente al
titular del dato sobre el reporte negativo, de forma que su exclusión contraría
el contenido constitucional del derecho y el debido proceso.

2.4.7. De la misma manera, solicita declarar inexequible el párrafo 4 del
artículo 2 del Proyecto que dispone que “[l]os registros públicos a cargo de las
Cámaras de Comercio se regirán exclusivamente por las normas y principios
consagrados en las normas especiales que las regulan”, ya que ello impediría
que las personas ejercitaran el derecho regulado por este Proyecto de Ley
frente a estas entidades.
2.4.8. Declarar inexequible la expresión “o una finalidad que comprenda la que
tiene el operador que entrega los datos. Si el receptor de la información fuere
un banco de datos extranjero, la entrega sin autorización del titular sólo podrá
titular;” contenida en el literal f) del artículo 5 del Proyecto de Ley. Lo anterior,
en razón a que (i) la finalidad del uso de la información-parte del núcleo
esencial del derecho-no puede quedar bajo el criterio de interpretación del
operador de los datos, y (ii) “la norma cuestionada deja en manos de los
operadores y no de las autoridades de la República la protección de los datos
personales”, lo cual es incompatible con el artículo 2 de la Carta.
2.4.9. Declarar inexequibles los apartados “Para cualquier otra finalidad” y “y
en forma general” del último párrafo del artículo 15 del Proyecto de Ley,
debido a la necesidad de que la finalidad del uso de la información sea
determinada, explícita y legítima, como insistentemente lo ha señalado la
Corte a través de su jurisprudencia sobre el tema.
2.4.10. Declarar inexequibles algunos apartes de los literales f), g) y h) del
artículo 3º del Proyecto, relativos a la definición de los datos público, privado y
semiprivado. Los apartes considerados inconstitucionales son: “”y todos
aquellos que no sean semiprivados o privados de conformidad con la presente
ley”, del literal f), “y cuyo conocimiento o divulgación puede interesar no sólo a
su titular sino a cierto sector o grupo de personas o a la sociedad en
general”, del literal g), y “sólo es relevante para el titular”, del literal h). Tales
expresiones, utilizadas para caracterizar los distintos tipos de datos, son
contrarias a la Constitución porque la imprecisión en su redacción tiene por
consecuencia que “en últimas, todo aspecto de la persona se convierta en
público o ... (que) no existan datos privados”.
2.4.11. Declarar inexequibles los parágrafos 1º y 2º del artículo 14 del
proyecto de ley en la medida en que al definir lo que se considera el pago de
una obligación, excluyen como modo de pago la sentencia judicial. Argumenta
que “[e]xcluir la validez de las sentencias judiciales como formas de pago,
significa desconocer la función constitucional de la administración de
justicia”, posición que ilustra con un ejemplo: una persona cuyo acreedor se
resiste a recibir un pago, y que acuda a la vía judicial para que se extinga la
obligación en su contra, se vería perjudicada en los términos en que quedó
redactada la disposición.

2.4.12. Declarar inexequibles el apartado del literal c) del artículo 3 del
Proyecto que establece que los operadores no son responsables “por la calidad
de los datos que le sean suministrados por la fuente”, y el apartado “La
demanda deberá ser interpuesta contra la fuente de información” del numeral
6º del artículo 16 del Proyecto, ya que las dos disposiciones liberan de
responsabilidad a un actor que, en la práctica, también debe velar por la
calidad de la información con la que trabaja. El último enunciado normativo
cuestionado, además, desconoce el principio de unidad de materia pues una
ley estatutaria destinada a regular el ejercicio de un derecho fundamental y
exigirle a las fuentes, usuarios y operadores “tratar debidamente los datos
personales”, no puede utilizarse para eximir a los mismos de cumplir con
obligaciones constitucionales.
2.5. Intervención de la Universidad del Rosario
El profesor Juan Jacobo Calderón Villegas, atendiendo la solicitud del Decano
de la Facultad de Jurisprudencia de la Universidad del Rosario, elaboró un
documento en el cual discute la constitucionalidad de algunos enunciados
normativos del Proyecto de Ley:
2.5.1. Manifiesta que la excepción consagrada en el literal f) del artículo 5 del
Proyecto, según la cual se permite la administración de los datos financieros,
crediticios, de servicios y provenientes de terceros países, sin necesidad de
contar con la autorización previa del titular, es abiertamente inexequible, dado
que dicha autorización hace parte del núcleo esencial del derecho al hábeas
data.
2.5.2. Indica que el literal d) del artículo 5º del Proyecto de Ley, al disponer
que la información recolectada puede ser entregada de manera verbal, escrita,
o puesta a disposición, entre otras, “A las entidades públicas del poder
ejecutivo, cuando el conocimiento de dicha información corresponda
directamente al cumplimiento de alguna de sus funciones”,puede ser
considerado inexequible, a menos que la Corte “condicione el alcance de la
circulación de tales datos a la existencia de una autorización previa, expresa y
libre de su titular”.
2.5.3. Solicita se declare la inexequibilidad del parágrafo 2º del artículo 10 del
Proyecto de Ley, que limita la gratuidad de la consulta de la información por
parte del titular a que esta se efectúe sólo una vez por mes. Considera que, a
pesar de que puede considerarse como una limitación diseñada para evitar el
abuso en el ejercicio al derecho a la consulta, “implica una restricción excesiva
del derecho a la persona a conocer y a solicitar certificaciones de los datos
incorporados en un banco de datos”.
2.6. Intervención de la Universidad Icesi
El profesor Javier Mendoza Gaviria, conforme la solicitud del Decano de la
Facultad de Derecho y Ciencias Sociales de la Universidad ICESI, elaboró un

documento en el que “estima que el proyecto de ley resulta ajustado a la Carta
en su generalidad,” excepto (i) (en) lo relacionado con la administración y
circulación de los datos semi-privados y privados en los que no se requiere el
consentimiento
y
autorización
expresos
del
titular
de
esa
información y (ii) en “el término máximo de permanencia de la información
negativa del titular por (4) años” dado que “duplica el tiempo estimado por la
Corte años atrás (…) sumado a que es un mismo término aplicable para una
multiplicidad de casos diversos que podrían presentarse”.
2.7. Intervención de la Federación Nacional de Comerciantes.
El Presidente y Representante Legal de la Federación Nacional de
Comerciantes, Fenalco, realizó una descripción de los diferentes enunciados
normativos del Proyecto de Ley bajo análisis, para concluir que el texto no
vulnera los preceptos constitucionales.
2.8. Intervención de Computec S.A.-Datacrédito
La empresa Computec S.A., y su área de negocios Datacrédito, por medio de
apoderado, presentaron ante esta Corporación varias consideraciones en
relación con el Proyecto de Ley Estatutaria de Hábeas Data.
En la primera parte de su intervención, el apoderado presentó un “análisis
general sobre el derecho a la autodeterminación informativa y las reglas de
protección de datos”. En este apartado abordó cuestiones relacionadas con el
contenido del derecho a la autodeterminación informativa en la doctrina y en el
ordenamiento jurídico colombiano; acto seguido, realizó una revisión de la
regulación internacional sobre autodeterminación informativa y protección de
datos; y finalmente, efectuó una descripción de lo que considera un marco
adecuado de regulación de un régimen de protección de datos.
En el segundo apartado se pronunció a favor de la exequibilidad de la ley en
general, y en particular de disposiciones como la que se desprende de la parte
final del artículo 6º del Proyecto, que establece la excepción al requisito de
autorización para la administración de los datos crediticios y financieros, y
aquella que establece la gratuidad para la consulta de la información por parte
de los titulares al menos una vez al mes, así como en relación con el término
máximo de permanencia de la información negativa fijado en el Proyecto.
Posteriormente, solicitó la inexequibilidad de algunas normas:
2.8.1. De la facultad otorgada al Gobierno Nacional “para señalar el formato en
que debe ser reporta la información”, pues en la forma en que quedó
redactado el texto del artículo 14 del Proyecto de Ley “constituye una violación
a la libertad de la iniciativa privada y la actividad económica” y “viola el
mandato constitucional que impone trámite de ley estatutaria a estas
materias”.

2.8.2. Del artículo 18 del Proyecto, que establece el régimen de sanciones a los
atentados contra los derechos objeto de su regulación, toda vez que “la
formulación de dos regímenes sancionatorios, uno personal y otro institucional
es inconstitucional porque abre la puerta al abuso de la facultad sancionatoria,
y lo es con más razón en el caso de una actividad que como la que se
analiza (…) no se sujeta a un régimen de intervención estatal reforzado” como
la administración de datos, la cual está siendo además equiparada a una
actividad de carácter financiero.
Adicionalmente, señala la desproporción de las sanciones fijadas en la norma
como un elemento más para considerar su inexequibilidad. Agrega que esta
norma tampoco reúne los requisitos jurisprudenciales definidos en la
sentencia C-860 de 2006 para evaluar los eventos frente a los cuales se
configura la potestad sancionatoria.
2.8.3. Del artículo 21 que establece el Régimen de transición, tanto por
cuestiones de fondo, como por cuestiones de procedimiento. Estas últimas, se
refieren a la inclusión de unas adiciones al texto del Proyecto, que no fueron
debatidas en debida forma de acuerdo con los términos dispuestos en nuestro
ordenamiento jurídico. Las razones de fondo se sintetizan a continuación:
El artículo 21 establece un régimen excepcional aplicable por una sola vez, que
permite, en caso de que los deudores cancelen o hayan cancelado sus
obligaciones en un lapso determinado, el dato sea eliminado en el término de
un año. Una disposición como ésta se enfrenta con el artículo 15
constitucional, pues desconoce el principio de veracidad del dato, y la
confiabilidad del registro de datos en general; además, desconoce los artículos
20 y 335 de la Carta pues al obligar al operador a mentir sobre la situación de
los particulares, se viola el derecho a la información veraz, y a operar bancos
de datos. Por último, la norma desconoce el derecho a la igualdad de las
personas cumplidas en sus pagos, trato desigual que no encuentra justificación
constitucional.
2.9. Intervención de la Asociación para el Fomento de la Información
Comercial y el Crédito
El Presidente de la Asociación para el Fomento de la Información Comercial y el
Crédito intervino dentro de este proceso para describir las especificidades del
funcionamiento de las agencias de información comercial, y los contextos
normativos que regulan el ejercicio de las actividades propias de su objeto
social. Por ende, a pesar de defender la constitucionalidad del Proyecto de Ley,
lamenta que no se hubiera dado un tratamiento diferenciado a este tipo de
agencias en relación a su responsabilidad por el manejo de los datos. Sostuvo
que diseñar un tratamiento diferenciado no quiere decir “que las empresas que
manejan ese tipo de información no tengan obligaciones legales, sino que se
sujetan a los regímenes generales de responsabilidad civil y, eventualmente,
penal, pero no se sujetan al régimen especialísimo concebido para el hábeas
data en las personas naturales”.

2.10. Intervención de la Fundación para la Educación Superior y el
Desarrollo
La Fundación para la Educación Superior y el Desarrollo remitió a esta
Corporación un detallado estudio titulado “El papel de los registros crediticios
en el acceso al crédito, la necesidad de una regulación adecuada” en el cual se
discute la importancia de la información financiera en el desarrollo del mercado
financiero, y formula algunas observaciones generales sobre el actual Proyecto
de Ley de Hábeas Data, concluyendo que cumple con las directrices
internacionales en materia de regulación del manejo de la información en los
registros de información crediticia.
2.11. Intervención de la Federación de Aseguradores Colombianos
La Federación de Aseguradores Colombianos, Fasecolda intervino dentro de
este proceso con el fin de solicitar la inexequibilidad del primer inciso del
parágrafo 1º del artículo 10, el segundo y tercer inciso del artículo 12 y el
parágrafo 4º del artículo 14 del Proyecto de Ley Estatutaria de Hábeas Data,
por considerar que estos artículos impiden la administración de la información
países por parte del sector asegurador, cuando ésta no se refiere a
obligaciones dinerarias. En ese sentido, estima que se vulneran los
artículos 15, 20 y 335 de la Constitución. Sostiene, así mismo, que “[s]i dicha
inconstitucionalidad no es declarada, esta Corporación debería condicionar la
aplicación de los preceptos mencionados a que se interpreten referidos única y
exclusivamente a obligaciones dinerarias, esto es, que tales normas no se
podrán interpretar aplicables a la IFCCSP [información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países] cuyo contenido no
se refiera o se relacione con obligaciones en dinero pues, de lo contrario,
serían inconstitucionales”
3. Intervenciones ciudadanas
3.1. Intervención del ciudadano Douglas Velásquez Jácome.
El ciudadano Douglas Velásquez Jácome, interviene en el presente trámite, con
el fin de:
3.1.1. Solicitar la inexequibilidad del parágrafo del numeral 1º del artículo 6º
del Proyecto de Ley objeto de análisis por considerar que esta disposición, al
permitir la administración “del dato financiero, crediticio, comercial, de
servicios y el proveniente de terceros países” sin previa autorización del titular,
vulnera el contenido esencial del derecho a la intimidad y del hábeas data.
3.1.2. Manifestarse sobre la necesidad de que la Corte se pronuncie por medio
de una sentencia “condicionada y modular”, sobre la necesidad de interpretar
las disposiciones de la ley objeto de revisión constitucional en este proceso, “a

través de Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de
octubre de 1995, relativa a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos
datos”, dado que “entre dos interpretaciones posibles de una norma debe
preferirse aquella que armonice con las disposiciones internacionales sobre la
materia” siempre y cuando dicha interpretación no contradiga lo dispuesto en
la Constitución.
3.1.3. Requerir que se establezca una serie de eventos concretos, en los cuales
esta Corporación realice algunas precisiones a diferentes términos y
expresiones de la ley con base en las disposiciones de la Directiva 95/46/CE.
3.2. Intervención del ciudadano Jorge Arango Mejía.
El ciudadano Jorge Arango Mejía dividió su intervención en dos apartados: en
el primero señaló las razones por las cuales considera que el Proyecto de Ley
Estatutaria de Hábeas Data cumple con el requisito de unidad de materia.
Adicionalmente, expuso las razones por las cuales considera que el Proyecto de
Ley Estatutaria no necesariamente debe agotar todos y cada uno de los
aspectos susceptibles de ser regulados en la materia que constituye su objeto
y, en este caso, regular de forma exhaustiva los derechos de información,
intimidad y hábeas data, para ser considerado acorde con el texto
constitucional. También indicó que al revisar el trámite legislativo se puede
verificar que este Proyecto de Ley cumplió con todos los procedimientos
definidos por la legislación.
En el segundo apartado, realizó un análisis de cada una de las disposiciones
contenidas en el Proyecto de Ley, encontrando que los veinte artículos que
componen sus seis primeros títulos no contradicen precepto alguno de la
Constitución y que, por el contrario, en muchas ocasiones estas disposiciones
desarrollan y reafirman mandatos constitucionales.
Una de estas disposiciones es la consagrada en el artículo 14 del Proyecto de
Ley. Esta norma prescribe que el Gobierno determinará la forma en que los
bancos de datos deben presentar la información de sus titulares. Considera el
interviniente que esta norma no transgrede enunciado constitucional alguno.
En un escrito presentado posteriormente precisó las razones por las cuales
considera que ésta disposición es conforme al texto constitucional: el
enunciado normativo del artículo 14 está enmarcado dentro del ejercicio de la
potestad reglamentaria estipulada en el numeral 11 del artículo 189 de la
Constitución, la cual a su vez tiene límites claros que no pueden ser
sobrepasados por el Gobierno haciendo uso de esta facultad. Por este motivo,
según el interviniente, “el formato a que se refiere el artículo 14, no podrá
contener sino el mínimo de datos y (...) cada banco de datos podrá agregar lo
que estime necesario o conveniente, sin quebrantar derechos fundamentales y
desconocer los derechos establecidos en el artículo 4 del proyecto. En el mismo
sentido, agregó que “el gobierno no está facultado (…) para establecer un

formato único, al cual deban ceñirse los bancos de datos”, pues una regulación
en esa dirección vulneraría la libertad económica y de iniciativa privada.
En el análisis del Título VII, referido a las Disposiciones Finales,
específicamente, en el estudio del artículo 21 en el cual se establece
el régimen de transición, aduce que esta norma define una especie de
“amnistía” que establece un tratamiento inequitativo que vulnera varios
preceptos constitucionales. Esta disposición define tres supuestos de hecho
diferentes:
(i)

Quienes “estuvieren al día en sus obligaciones y cuya información
negativa hubiere permanecido en los bancos de datos al menos un
año contado desde la cancelación de la obligación, serán
beneficiarios de la caducidad inmediata de la información negativa”.

(ii)

Quienes “estuvieren en la misma situación, pero la información no
hubiere permanecido en el banco de datos al menos un año después
de la cancelación se les borrará al completar el año”

(iii)

Quienes se pongan al día con sus obligaciones reportadas
negativamente por mora dentro de los seis primeros meses a la
entrada en vigencia de la ley, “solamente permanecerán con tal
información negativa por el término de un año”

Según el interviniente, no existe justificación suficiente para legitimar una
medida discriminatoria como ésta, en la cual se benefician sólo unos pocos
deudores “en relación con el total de los deudores, y con desmedro de
intereses generales jurídicamente protegidos”. De la misma manera, considera
que la aplicación de esta disposición puede llegar a quebrantar el artículo 20 de
la Carta que establece el derecho a una información veraz dado que, según él,
la forma en que quedó redactada la disposición del Proyecto de Ley en
cuestión, autoriza suministrar información incompleta que, de acuerdo a la
jurisprudencia constitucional, no puede ser considerada veraz. En el mismo
sentido resalta que el interés general en materia económica se vería afectado
con la aplicación del artículo 21 del Proyecto de Ley Estatutaria. Por estas
razones solicita a esta Corporación declarar la inexequibilidad de los incisos
segundo, tercero, cuarto y quinto de este artículo.
3.3. Intervención del ciudadano Hernando Herrera Vergara
El ciudadano Hernando Herrera Vergara comenzó su intervención destacando
que el trámite dado al Proyecto de Ley Estatutaria de Hábeas Data responde a
los llamados hechos, durante varios años, desde la jurisprudencia
constitucional al Legislador para regular esta materia. En este sentido, reseña
algunos antecedentes jurisprudenciales, a partir de los cuales concluye que la
regulación dada a este tema a través de una Ley Estatutaria no contraría
“ningún precepto constitucional, sino que por el contrario se ajusta a los
mandatos superiores”, de forma que su declaratoria de exequibilidad se
encuentra justificada,

Posteriormente, procede a realizar el análisis de algunas disposiciones,
individualmente consideradas del Proyecto de Ley bajo estudio:
3.3.1. Destaca que la excepción contemplada en el inciso 2º del parágrafo del
numeral 1.4 del artículo 6º del Proyecto, “en el sentido de que no es necesario
el consentimiento del titular en lo concerniente a la administración de los datos
privados o semi-privados cuando se trata del dato financiero, crediticio,
comercial, de servicios y el proveniente de terceros países” se encuentra
fundada en la prevalencia del interés general y éste, como valor constitucional,
hace que el tratamiento legal consagrado en esta disposición resulte conforme
a la Carta Política de 1991.
Destaca que, si bien la jurisprudencia constitucional venía exigiendo el
requisito de la autorización previa del titular para la administración de datos de
los que trata este inciso, ello se debía a la falta de una legislación que regulara
la materia. Teniendo en cuenta que con este Proyecto de Ley se suple ese
vacío normativo, la exigencia de dicha autorización no se encuentra justificada:
por un lado, en razón al principio de favorecimiento a la actividad financiera
como una actividad de interés público, y por otro, en tanto esta normatividad
determina mecanismos claros y precisos para proteger al titular frente a
eventuales abusos.
Sostiene que el parágrafo segundo del artículo 10 del Proyecto de Ley, al
establecer que la consulta de la información crediticia, comercial, de servicios y
la proveniente de terceros países por parte del titular será gratuita por lo
menos una vez al mes, no vulnera el derecho constitucional al acceso a la
información, en tanto el ejercicio de los derechos no es absoluto ya que éstos
deben ser ejercidos de forma razonable. Esta situación hace justificable la
limitación de la consulta gratuita de la información financiera en los términos
de este enunciado normativo.
3.3.2. En relación a la permanencia de la información negativa por un lapso de
cuatro años “contados a partir de la fecha en que sean pagadas las cuotas
vencidas o sea cancelada la obligación vencida”, manifiesta que el legislador
actuó dentro de los parámetros de razonabilidad desarrollados por la
jurisprudencia constitucional sobre el tema, sin transgredir ningún precepto de
la Constitución.
3.3.3. Expresa que el artículo 14 del Proyecto de Ley Estatutaria al determinar
que “el Gobierno Nacional establecerá la forma en la cual los bancos de datos
de información financiera, crediticia, comercial, de servicios, y la proveniente
de terceros países deberán presentar la información de los titulares de la
información (…)” vulnera el artículo 15 de la Constitución, en el entendido de
que esta norma establece claramente que “en la recolección, tratamiento y
circulación de datos se respetarán la libertad y demás garantías consagradas
en la Constitución, así como en el artículo 20 ibídem que establece el derecho
a la información veraz e imparcial, sin interferencia gubernamental”. Agrega

que la regulación de la forma en que las entidades autorizadas por ley deben
presentar la información de sus titulares hace parte del marco de competencias
del Congreso, y dada la reserva de Ley Estatutaria que cobija este tema, es
inconstitucional delegarlo al ejecutivo, para que éste regule el tema mediante
un Decreto.
3.3.4. Considera que el sistema de sanciones establecidas en el Proyecto de
Ley, en cabeza de la Superintendencia de Industria y Comercio y la
Superintendencia Financiera, no guarda coherencia con los mandatos
constitucionales referidos al debido proceso. Específicamente, indica que la
vulneración se concreta al definir los órganos-en este caso las
Superintendencias-, pero no el procedimiento a través del cual ejercería dicha
función. En relación a este mismo punto, sostiene que la normatividad prevista
en el Proyecto de Ley Estatutaria, no respeta el principio de proporcionalidad
de la sanción al establecer “sanciones duales ‘personales e institucionales’ por
el mismo hecho y con el establecimiento de multas en cuantía desmesurada
que se aparta de los parámetros de la razonabilidad”.
3.3.5. Sobre el régimen de transición expresa que existe un vicio de trámite,
en razón a que “solamente el primer inciso del articulado se encontraba
incluido desde el inicio de la presentación del proyecto de manera que los
demás fueron incorporados en el informe ponencia (sic) para tercer debate en
la Cámara de Representantes”. Considera que este hecho va en contravía de
los principios de identidad y consecutividad, en los términos definidos en la
sentencia C-702 de 1999.
3.3.6. Finalmente, destaca las ventajas del conjunto de mecanismos
establecidos en el Proyecto para garantizar la protección de los derechos de los
titulares de la información, al igual que los deberes de aquellos encargados de
su recolección y administración.
3.4. Intervención del ciudadano Fernando Martínez Rojas
Este interviniente, a medida que realiza algunas reflexiones sobre las
inequidades que han caracterizado el flujo de la información crediticia en el
país, sostiene que la Corte debe declarar la inexequibilidad del proyecto de Ley
Estatutaria con base en las siguientes consideraciones específicas sobre el
texto objeto de revisión:
3.4.1. Luego de describir aspectos como la ‘posición dominante’ de las
instituciones financieras frente a sus usuarios, y resaltar la calidad de ‘servicio
público esencial’ de la actividad bancaria, argumenta que una de las principales
anomalías del Proyecto de Ley está en el hecho de dar validez a los datos
financieros que ya existen en las bases de datos de los operadores, los cuales
fueron incluidos en éstas sin el respeto de los principios, derechos y garantías
de los titulares de la información, lo cual a su vez implica una vulneración al
derecho al debido proceso.

3.4.2. Manifiesta que el Proyecto de Ley Estatutaria conlleva una especie de
‘internacionalización del dato financiero’ que perjudica a los titulares de la
información y que únicamente beneficiará a las centrales de riesgo al
permitirles la posibilidad de negociar en el escenario internacional con la
información de los colombianos, lo cual va en contra de la territorialidad de la
ley.
3.4.3. Refiere que de acuerdo con el artículo 10 de la Carta, el idioma
castellano es el idioma oficial. En ese sentido el empleo de la expresión
‘cancelación’, en cambio de la adecuada según el diccionario de la Real
Academia de la lengua española ‘pago’, constituye una irregularidad que vicia
la constitucionalidad del Proyecto de Ley Estatutaria.
3.4.4. Insiste en la necesidad de que la Corte declare la inconstitucionalidad de
la práctica a través de la cual, quien paga sus obligaciones en mora debe
permanecer en las bases de datos. Argumenta que una vez se extinga la
obligación, el reporte negativo ha de eliminarse.
3.4.5. Sostiene que el numeral 4º del artículo 7º del Proyecto, al disponer que
los operadores de los bancos de datos deben adoptar “un manual interno de
políticas y procedimientos para garantizar el adecuado cumplimiento de la
presente ley, y en especial, para la atención de consultas y reclamos por parte
de los titulares” vulnera varios artículos de la Constitución, dado que deja en
manos de cada operador la reglamentación de la Ley Estatutaria y, en
concreto, la reglamentación de los procedimientos para garantizar la
protección de algunos derechos fundamentales.
3.4.6. Argumenta que el literal f del artículo 5º, al establecer que “si el
receptor de la información fuera un banco extranjero, la entrega sin
autorización del titular solo podrá realizarse dejando constancia escrita de la
entrega de la información y previa verificación por parte del operador de que
las leyes del país respectivo o el receptor otorgan garantías suficientes para la
protección de los derechos del titular” vulnera abiertamente diferentes normas
constitucionales, dado que pone en cabeza de particulares la tarea de certificar
si los derechos constitucionales contemplados en nuestro ordenamiento, son
debidamente garantizados en otros contextos normativos.
3.4.7. Expresa que el Proyecto de Ley Estatutaria, no desarrolla de manera
integral los derechos y deberes fundamentales de las personas, ni los
procedimientos y recursos para su protección, dado que sólo contempla los
aspectos referidos al sistema financiero y a sus socios.
3.4.8. Sostiene que dado que el servicio que prestan las entidades bancarias
es un servicio público esencial, el Proyecto de Ley ha debido contemplar que
una persona, aún reportada negativamente en las bases de datos, debe contar
con la posibilidad de operar cuentas corrientes.

3.4.9. Señala que, teniendo en cuenta que el proyecto de ley no contempla un
término máximo para un reporte de una obligación vigente transgrede el
artículo 29 de la Carta, en razón a que éste no permite sanciones indefinidas.
3.4.10. Por último manifiesta que el legislador “falta a la verdad” al sostener
que el artículo 20 de la Constitución se refiere a la información financiera,
crediticia, de servicios y proveniente de terceros países, cuando dicha
disposición hace referencia exclusivamente a la información que producen y
divulgan los medios de comunicación. Para verificar lo anterior, sugiere a esta
Corporación, cotejar el contenido de las actas de la Asamblea Nacional
Constituyente.
3.5. Intervención del ciudadano Juan Manuel Charry Urueña
El interviniente realiza una descripción del contenido y alcance del derecho de
hábeas data, destacando cómo la información de las actividades que
desarrollan las personas y que tienen impacto en las actividades económicas o
actividades de protección del Estado son de interés general, motivo por el cual
su regulación legal protege objetivos comunes de la sociedad.
Agrega que si bien el Proyecto de Ley Estatutaria bajo estudio, “tiene un claro
énfasis sobre la información financiera y crediticia, contiene normas generales
que se aplican a toda la actividad de administración de la información,
independientemente de la naturaleza de la misma”, configurando de esta
manera una regulación integral sobre el asunto objeto del Proyecto.
Adicionalmente, muestra la forma en que el Proyecto de Ley recoge los
criterios de la jurisprudencia constitucional en relación a diferentes temas
como la clasificación de los datos y su respectivo tratamiento, el término
máximo de permanencia de la información, las relaciones entre el derecho a la
intimidad e información, y los principios de la administración de la información.
En relación al procedimiento legislativo, luego de hacer un recorrido por las
diferentes etapas que atravesó el Proyecto de Ley en el Congreso, sostiene el
interviniente que “se cumplieron a cabalidad las etapas y los requisitos
establecidos por la Constitución y el Reglamento del Congreso, para el debate
y aprobación de una ley estatutaria”. A pesar de lo anterior, advierte que se
presentaron algunas anomalías durante el trámite legislativo en relación
a: (i) el régimen de transición establecido en el artículo 21 del Proyecto de Ley
y, (ii) la expresión “y la proveniente de terceros países” contenida en el título y
en varios artículos del Proyecto. Sostiene que se realizaron adiciones al
articulado inicial del Proyecto de Ley que sólo fueron incluidas hasta el tercer y
cuarto debate del texto. Por este motivo considera que en relación a estas
disposiciones no se respetó el principio de consecutividad de la ley.
Posteriormente, expone algunas razones por las cuales considera que, por
cuestiones de fondo, determinadas disposiciones del Proyecto de Ley resultan
contrarias a la Constitución y deben ser declaradas inexequibles:

3.5.1. Sostiene que el artículo 14 al establecer que el Gobierno Nacional
determinará la forma en que será presentada la información, vulnera el
artículo 15 de la Constitución en tanto éste último establece que “en la
recolección, tratamiento y circulación de datos se respetarán la libertad y
demás garantías consagradas en la Constitución”. En ese sentido, expone
algunas razones por las cuales considera que este aspecto específico-por tener
implicaciones directas en el núcleo esencial del hábeas data-debe ser regulado
exclusivamente por el Congreso.
3.5.2. Establece que el régimen de sanciones prescrito en el artículo 18 del
Proyecto de Ley es inequitativo, dado que únicamente considera la posibilidad
de sancionar a los operadores, fuentes o usuarios de la información financiera,
crediticia, comercial, de servicios y la proveniente de terceros, dejando por
fuera, sin justificación alguna, a todas aquellas otras personas que también
pueden violar la ley o las normas que la reglamentan.
3.5.3. Indica que el monto máximo de las multas fijadas en el inciso 2 del
artículo 18 del Proyecto, no fue discutido a fondo durante el primer debate
como exige la ley, sino superficialmente. Adicionalmente, considera
desproporcionada la sanción prevista en esta disposición, si se tiene en cuenta
que “en el ordenamiento existen sanciones menos drásticas a imponer estando
igualmente en juego derechos fundamentales por proteger, por ejemplo en el
sector de la salud o de los alimentos”.
3.6. Intervención de la ciudadana Inés Jaramillo Murillo
La ciudadana Inés Jaramillo Murillo, solicitó a esta Corporación declarar la
inexequibilidad de varias disposiciones del Proyecto de Ley:
3.6.1. Considera el apartado del literal c. del artículo 3º del Proyecto de ley
que establece “salvo que el operador sea la misma fuente de la información,
este no tiene relación comercial o de servicio con el titular y por ende no es
responsable por la calidad de los datos que le sean suministrados por la
fuente” vulnera el artículo 6º de la Constitución en tanto libera de toda
responsabilidad al “operador-fuente en relación con la calidad de datos que él
mismo recolecte”.
3.6.2. Señala que del literal b del artículo 4º del Proyecto, se desprende que
cada vez que se utilice la información, la finalidad del uso debe informársele al
titular “cuando ello sea necesario o en general siempre que el titular solicite
información al respecto”, lo que vulnera el artículo 15 de la Constitución,
debido a que no puede quedar al arbitrio de la fuente o del operador informar
acerca de la finalidad del uso.
3.6.3. Manifiesta que el inciso segundo del parágrafo del numeral 1.4 del
artículo 6º del Proyecto de Ley es contrario a la Constitución porque elimina la
necesidad, definida por la jurisprudencia constitucional, de que el titular
manifieste su consentimiento previa y expresamente para que sus datos

financieros, crediticios, comerciales, de servicios y provenientes de terceros
países sean administrados.
3.6.4. Indica que en el numeral 5º del artículo 7º del Proyecto de Ley, al
utilizar la expresión “cuando dicha autorización sea necesaria”, deja al arbitrio
del operador de los bancos de datos calificar cuándo es necesaria o no la
autorización previa del titular de la información, contrariando lo establecido en
la sentencia T-729 de 2002. En el mismo sentido, la expresión “cuando sea del
caso” del numeral 5 del artículo 8 del Proyecto, permite a las fuentes de
información que califiquen por sí mismas en qué eventos se requiere (o no), la
autorización libre, previa y expresa, por parte del titular de los datos.
3.6.5. Finalmente, sostiene que el tiempo máximo de permanencia de la
información negativa en las bases de datos fijado en el Proyecto de Ley, atenta
contra el principio de proporcionalidad de la sanción. Señala que, tal como
quedó redactado el artículo 13 del Proyecto, no se hizo “ninguna distinción,
como si lo ha hecho la Corte Constitucional, entre pagos forzados, pagos
voluntarios y entre la mora inferior a un año”, así como tampoco se tuvo en
cuenta el monto de la deuda para fijar el término de caducidad.
3.7. Intervención del ciudadano Santiago Jaramillo Caro
El ciudadano Santiago Jaramillo Caro solicitó a la Corte
inexequibilidad de algunas disposiciones del Proyecto de Ley:

declarar

la

3.7.1. En relación con la expresión “salvo en el caso del dato financiero,
crediticio, comercial, de servicios y proveniente de terceros países el cual no
requiere autorización previa del titular” contenida en el inciso 2º del numeral
1.4 del artículo 6º del Proyecto de Ley, considera que es contraria al
artículo 15 de la Constitución, pues “si la persona es dueña de su propia
información, es correlativo su derecho fundamental a que dicha información
sólo sea conocida por terceros cuando esté de por medio su autorización
previa y expresa”. Agrega que la exigencia de la autorización expresa en nada
afecta el interés general, y tampoco afecta el sistema financiero y la
estabilidad del mismo.
3.7.2. Igualmente, solicitó a la Corte que, con base en la potestad de modular
sus pronunciamientos, “fije los alcances de las definiciones contenidas en los
literales i) y j)” del artículo 3º del Proyecto de Ley, en el sentido de restringir el
alcance de dichas disposiciones, en razón a que tal como quedaron redactadas
permiten que cualquier información de carácter económico, “así no pertenezca
o no resulte de interés para el sector financiero encuentr(e) amparo en un
régimen
supuestamente
exceptivo
contenido
en
el
proyecto
de
ley”, convirtiéndose la excepción en la regla auspiciada por la propia legislación
vulnerando también el artículo 15 constitucional.
3.7.3. Instó a la Corte para que se pronuncie sobre la inexequibilidad del
aparte del parágrafo 2º del artículo 10 del Proyecto de Ley que dice que la

consulta de la información financiera, crediticia, comercial, de servicios, y la
proveniente de terceros países, será gratuita “al menos una vez al mes”, ya
que esa restricción de carácter económico para la consulta contraría el derecho
que tienen las personas a “conocer, actualizar y rectificar las informaciones
que se hayan recogido sobre ellas en bancos de datos y en archivos de
entidades públicas y privadas” sin limitaciones como lo dispone el
artículo 15 de la Constitución.
3.7.4. Por último solicita a la Corte declarar la inexequibilidad del tiempo
máximo de permanencia de la información negativa en el artículo 13 del
Proyecto de Ley “al equiparar todas las situaciones relacionadas con el tiempo
de mora, tipo de cobro, estado de la cartera y en general, aquellos datos
referentes a una situación de incumplimiento de obligaciones sin consideración
alguna, al mismo término de 4 años”.
3.8. Intervención del ciudadano Franky Urrego Ortiz
El ciudadano Franky Urrego Ortiz solicita declarar inexequible el Proyecto de
Ley Estatutaria “por violar el literal a) del artículo 152 de la
Constitución”, debido al exceso de la regulación estatutaria, dado que el
proyecto “so pretexto de regular de manera sistemática e integral un
derecho fundamental,... solamente expide disposiciones generales ... y lo que
en realidad regla es su modalidad financiera”; o porque el Congreso incurrió en
una omisión legislativa relativa por no desarrollar una regulación integral del
derecho, como corresponde a una Ley Estatutaria. En caso de que la Corte no
comparta este argumento, solicita que declare:
3.8.1. La inconstitucionalidad de la expresión “así como el derecho a la
información establecido en el artículo 20 de la Constitución Política” contenida
en el artículo 1º y el parágrafo completo del artículo 6º del Proyecto de Ley, en
razón a que no da cuenta del verdadero objeto material de la ley, contrariando
el artículo 169 de la Constitución que prescribe que el título de las leyes debe
corresponder con su objeto.
3.8.2. La inconstitucionalidad del artículo 4º del Proyecto en tanto el
Legislador, al diseñar esta disposición, dejó por fuera principios definidos por la
jurisprudencia constitucional “como los de libertad, necesidad, integridad,
incorporación, utilidad e individualidad”.
3.8.3. La inconstitucionalidad de la definición de dato público establecida en el
literal f del artículo 3º y en el parágrafo del artículo 6º del Proyecto pues al
definir el dato público como aquél que el legislador determine, vulnera el
artículo 74 de la Constitución que establece el derecho a conocer los
documentos públicos, y la reserva de los mismos como excepción; el principio
de publicidad en la función administrativa (Art. 209 C.P.); y el numeral 1º del
artículo 13 de la Convención Americana de Derechos Humanos que consagra el
derecho de toda persona a buscar y recibir informaciones de toda índole.

3.8.4. La inconstitucionalidad del parágrafo 2 del artículo 10 del proyecto que
establece el derecho del titular de la información a consultar sus datos de
forma gratuita, “al menos (1) vez cada mes calendario”, pues desconoce los
artículos 5 y 15 de la Constitución. La violación del artículo 5º superior se
presenta porque mientras éste determina la primacía de los derechos
inalienables de la persona, la regulación legal autoriza el cobro de una suma
para el ejercicio del derecho, sin justificación alguna. En relación con el artículo
15, la vulneración se cifra en que éste no sujetó a ninguna condición el
derecho a conocer, las informaciones que se hayan recogido sobre ellas...”, de
forma que el pago por el ejercicio del mismo no se ajusta al tenor literal de la
disposición constitucional. Finalmente, argumenta que la permisión de que el
operador del dato se enriquezca por el ejercicio de un derecho fundamental se
opone al principio de buena fe y al deber “de proscripción del abuso de los
derechos”.
3.8.5. La inconstitucionalidad del tiempo máximo de permanencia de la
información negativa del titular consagrada en el artículo 13 del proyecto, por
considerar que vulnera el derecho constitucional a la igualdad al no hacer
distinciones entre el pago voluntario y el pago obtenido coactivamente, ni
entre el tiempo de la mora; además, la regulación no se ajusta al principio de
razonabilidad, pues no existe justificación para que el dato negativo
permanezca durante cuatro años en las bases de datos.
3.8.6. La constitucionalidad condicionada del artículo 16, que regula
las “peticiones, consultas y reclamos” de asuntos relacionados con el contenido
del Proyecto de Ley. Según el interviniente, la exigencia según la cual las
peticiones deben ser presentadas por escrito vulnera el artículo 2º de la
Constitución ya que no garantiza la plena efectividad del derecho, por lo que la
Corte debe declarar la constitucionalidad de la norma, bajo el entendido de que
cualquier reclamo puede elevarse de forma verbal, o por cualquier canal de
comunicación.
3.9. Otras intervenciones.
3.9.1. El ciudadano Diógenes Escobar presentó un escrito, por medio del cual
expone sus reservas generales frente al contenido del Proyecto de Ley y frente
a la jurisprudencia constitucional desarrollada por esta Corporación en relación
con el tema. Sin embargo, su texto no es lo suficientemente claro para inferir
de éste, un cuestionamiento directo a alguna disposición concreta del Proyecto
de Ley.
3.9.2. El ciudadano Pedro Pablo Camargo solicitó la declaratoria de
inexequibilidad de (i) el aparte “Se exceptúan de esta Ley las bases de datos
que tienen por finalidad producir la inteligencia de Estado por parte del
Departamento Administrativo de Seguridad, DAS, y de la Fuerza Pública para
garantizar la seguridad nacional interna y externa” del inciso 3 del artículo 2
del Proyecto; y (ii), el literal f) del artículo 3, en el aparte “debidamente
ejecutoriadas que no estén sometidas a reserva”, por considerar que dicho

enunciado vulnera el derecho constitucional al debido proceso, en razón a que
toda sentencia debe ser pública y no puede estar sometida a reserva.
3.9.3 La ciudadana Alba Alcira Vargas Valderrama solicitó a esta Corporación
declarar exequible el Proyecto de Ley bajo estudio, por tratarse de una
regulación que consagra beneficios a favor de las personas que ya cumplieron
con sus obligaciones financieras pero que ante la ausencia de regulación
legislativa, se encuentran aún reportadas en las centrales de riesgo.
3.10. Intervenciones Extemporáneas
Una vez vencido el término de fijación en lista, fueron recibidos en la
Secretaria General de esta Corporación, los siguientes escritos extemporáneos:
3.10.1. El dos (2) de octubre de 2007, se recibió la intervención del ciudadano
Lorenzo Villegas Carrasquilla quien, obrando en condición de Director Ejecutivo
de la Comisión de Regulación de Telecomunicaciones, solicitó a la Corte
Constitucional declarar que varios artículos acusados no se ajustan a los
mandatos superiores de la Constitución Nacional.
3.10.2. El primero (1) de febrero de 2007, intervención de Eugenio Marulanda
Gómez, en representación de la Confederación Colombiana de Cámaras de
Comercio, mediante el cual-luego de discutir los argumentos expuestos por el
Ministerio Público sobre la inconstitucionalidad de algunas disposiciones-solicita
a la Corte que declare la exequibilidad de todo el Proyecto de Ley referido.
3.10.3. El veintiuno (21) de enero del año en curso, fue recibido en la
Secretaría General de esta Corporación, un escrito del Representante a la
Cámara David Luna Ortiz, en el cual presenta una serie de argumentos en
virtud de los cuales considera que la Corte debe declarar la constitucionalidad
del texto del Proyecto de Ley, y expone las razones por las cuales no comparte
los argumentos presentados en su debido momento, por el Ministerio Público,
en los que se cuestionan algunos aspectos del procedimiento legislativo del
Proyecto.
Expone, además, las razones por las cuales no comparte los cuestionamientos
hechos a la necesidad de autorización previa por parte del titular para la
administración de datos financieros, crediticios, de servicios y provenientes de
otros países, la gratuidad limitada de la consulta por parte del titular de la
información, el término máximo de permanencia de la información negativa en
los bancos de datos, la excepción del cumplimiento de algunas obligaciones de
las agencias de información, la responsabilidad de los operadores de la
información y el alcance y contenido de la información proveniente de terceros
países.
3.10.4 El 9 de septiembre de dos mil ocho 2008, fue radicado en la Secretaría
General de esta Corporación, un documento elaborado por la Federación
Colombiana de Tenderos y Comerciantes de la Micro y la Mediana Empresa-

Fecoltiendas, solicitando a la Corte que, al momento de fallar, tome en cuenta
la realidad social de los tenderos que enfrentan restricciones para acceder a
créditos por la permanencia injustificada en las centrales de riesgo, con
posterioridad al pago de sus obligaciones.
III. CONCEPTO DEL PROCURADOR GENERAL DE LA NACIÓN
El Viceprocurador General de la Nación, en ejercicio de las competencias
previstas en los artículos 242-2 y 278 de la Constitución Política, y ante la
aceptación por parte de la Sala del impedimento manifestado por el Procurador
General, presentó concepto dentro del trámite de la referencia, en el que
solicita a la Corte que devuelva la Ley a la Cámara de Representantes, con el
fin de que subsane los vicios de procedimiento que, en su criterio, acaecieron
en el trámite que precedió a la aprobación de la norma objeto de examen. Del
mismo modo, expresa argumentos sustantivos, dirigidos a justificar la
exequibilidad general de la iniciativa, con excepción de algunas disposiciones
que considera inconstitucionales y sobre las cuales expone argumentos
específicos.
Luego de describir en detalle cada una de las etapas del procedimiento
legislativo surtido por el proyecto de ley bajo examen, la Vista Fiscal
específicamente refiere, en relación al trámite en Cámara de Representantes,
que se configuran algunos vicios de procedimiento, relativos a (i) el
incumplimiento del requisito del anuncio previo de la discusión y votación,
previsto en el inciso final del artículo 160 C.P., para el caso de los debates en
la Comisión Primera y en la Plenaria de la Cámara de Representantes; (ii) la
violación del principio de publicidad de la actividad legislativa (Art. 157 C.P.) al
interior del trámite surtido en la Plenaria de la Cámara de Representantes,
respecto de la discusión y aprobación del informe de conciliación.
Para sustentar estas conclusiones, el Ministerio Público señaló:
“La primera de las violaciones la encontramos en el debate en la
Comisión Primera en la Cámara de Representantes, en la que en
sesión de fecha 25 de abril de 2007se anunció la discusión y
aprobación del proyecto de ley 221 de 2007 Cámara, para
el miércoles 2 de mayo, pero en la sesión de esa fecha no tuvo
lugar sesión alguna. La siguiente sesión se realizó el martes 8 de
mayo, en la que se retomó el estudio del proyecto de Ley
Estatutaria. ¿Qué significa ello? Pues que se violó el artículo 8 del
Acto Legislativo 01 de 2003, debido a que el proyecto fue sometido
a votación en sesión diferente a aquella para la que previamente fue
anunciado, entonces, la aprobación que tuvo lugar en primer debate
de la Cámara se impartió sin cumplir el requisito señalado, por lo
tanto, carece de eficacia. La votación ha debido hacerse
el miércoles 2 de mayo de 2007, fecha para la que previamente
fue anunciada y no otro día.

La segunda vulneración al requisito constitucional se presentó en el
debate en Plenaria en la Cámara de Representantes, en donde
sucedió algo similar: al finalizar la sesión de 22 de mayo de 2007,
sesión en la que se realizó el anuncio del proyecto de ley No 221/07
Cámara, 027/06 Senado, se indicó:” se convoca para el próximo
miércoles 23 de mayo, a las 11 de la mañana.”. Un anuncio en tales
términos resulta absolutamente claro, estamos frente a una fecha
plenamente determinada. En ese sentido, la votación debía tener
lugar el miércoles 23 de mayo, pero finalmente, ésta se dio en la
sesión del 29 de mayo de 2007, sesión en la que no consta que se
hubiere hecho anuncio previo.
La votación ha debido hacerse en la sesión del 23 de mayo que fue
para la que previamente se anunció. Ese es el real alcance del
artículo 160 constitucional. En estos casos, si se cambió la fecha de
la sesión, lo procedente es actuar en la forma como lo establece el
artículo 8 citado: en una sesión anunciar la fecha en que se discutirá
y votará un proyecto de ley”.
Del mismo modo, en lo que tiene que ver con la vulneración del requisito de
publicidad, el Viceprocurador General indicó:
En el presente caso, se aprecia claramente que cuando el proyecto
de ley aprobatorio del referido instrumento internacional fue
tramitado en la Comisión Segunda Constitucional Permanente de la
Cámara de Representantes,(sic) se desconoció el artículo 157
numeral 1° de la Carta y, por ende, los artículos 144, 156 y 157 del
Reglamento del Congreso, que exigen la publicación de la ponencia
antes de darle curso al proyecto en la célula legislativa, toda vez que
la publicación del informe de conciliación en la Plenaria de la Cámara
y el anuncio para debate y votación de ese informe tuvieron lugar el
mismo día, el 5 de junio de 2007.
Atendiendo a lo anterior, este despacho considera que el trámite
legislativo en estudio se encuentra viciado de inconstitucionalidad,
por cuanto el Congreso de la República desconoció la exigencia
constitucional y reglamentaria de la publicación del proyecto de ley
“antes de darse curso en la comisión respectiva”, en este caso, ha
debido tener lugar antes de realizarse el anuncio.
Sobre los vicios de procedimiento señalados, el Ministerio Público consideró
que se trata de defectos subsanables, por lo que resulta procedente la
aplicación de lo dispuesto en el parágrafo del artículo 241 C.P., en el sentido
de devolver el proyecto objeto de control al Congreso para que, de ser posible,
enmiende el defecto observado. Sobre el particular, puso de presente que “la
posibilidad de subsanar los vicios en el procedimiento legislativo representa la
aplicación del principio de conservación del derecho, pero es sobretodo, una
expresión del principio democrático, en la medida en que permite que sea

directamente el Congreso, órgano representativo por excelencia, quien
subsane los posibles errores constitucionales en los que haya incurrido. No
obstante, la Corte ha establecido que “esta posibilidad se ha de ejercer en
forma razonable, esto es, no puede implicar la repetición completa del
procedimiento legislativo, puesto que una cosa es un vicio en el
procedimiento, y otra muy distinta es la ausencia de procedimiento como
tal”[1]. En el caso concreto, los vicios se presentaron tanto en Comisión como
en Plenaria de la Cámara de Representantes, cuando el Senado ya había
válidamente impartido su aprobación al proyecto de ley, por lo que esta
Procuraduría, de acuerdo con la jurisprudencia de la Corte, considera que se
está frente a vicios en el trámite legislativo de naturaleza subsanable.”
Posteriormente, la Vista Fiscal expuso argumentos sustantivos, dirigidos a
cuestionar la constitucionalidad de varias disposiciones del Proyecto de Ley:
1. En relación al ámbito de protección de la ley, el Ministerio Público considera
que esta Corporación debe declarar “la inexequibilidad de la expresión “Se
exceptúan de esta ley”con la que inicia el inciso tercero del artículo 2º, y
solicitará que para la comprensión del inciso tercero se incorpore la regla y
subreglas jurisprudenciales establecidas por la Corte Constitucional para los
estudios de seguridad de carácter reservado adelantados a los aspirantes
civiles no uniformados que deseen ingresar al Ministerio de Defensa Nacional,
sus entidades descentralizadas, adscritas y vinculadas, las Fuerzas Militares y
la Policía Nacional”, pues si bien el Proyecto de Ley regula específicamente el
hábeas data financiero, ello no implica la exclusión de ámbitos de protección
como el relacionado con la información obrante en las bases de datos de
agencias estatales de inteligencia que no se encuentran protegidas por una
legislación específica, y señala que, mientras ésta se expida, los principios a
través de los cuales se pretende la protección de la información pueden ser
aplicados a tales escenarios.
2. Respecto del inciso 4º del artículo 2º, “que trata sobre las bases de datos
gestionadas por las Cámaras de Comercio, cuya naturaleza jurídica, como
entidades de derecho privado, corporativas y gremiales [2], (Artículo 1º
del Decreto 898 de 2002) pero con funciones públicas, derivadas del servicio
que prestan con el registro mercantil, hace que sus actividades sean sensibles
a la recolección, administración, circulación y difusión de datos personales”
considera que “deben ser incluidas en el ámbito de aplicación del proyecto de
ley del hábeas data, bajo estudio, y ofrecer a los titulares de la información las
garantías, principios y mecanismos de protección, con las que cuenta la
legislación nacional para la recolección, tratamiento y circulación de datos”, por
lo que solicita declarar la inexequibilidad de los incisos 3º y 4º del artículo 2º
del Proyecto de Ley sometido a estudio.
3. En la definición de operador de la información del literal c) del artículo 3º del
Proyecto, según la cual “[s]alvo que el operador sea la misma fuente de la
información, este no tiene relación comercial o de servicio con el titular y por
ende no es responsable por la calidad de los datos que le sean suministrados

por la fuente”, el Ministerio Público afirma que “no resulta justificable, a la luz
de la Constitución, que existan exoneraciones de responsabilidades frente a la
calidad de los datos y la implementación del hábeas data por los titulares de la
información. Tal exoneración de responsabilidad obedece según el proyecto a
que éste no tiene relación comercial o de servicio con el titular y por ende no
es responsable por la calidad de los datos que le sean suministrados por la
fuente. No obstante, tal justificación no resulta sólida cuando todos los otros
actores, tengan o no contacto con el titular de la información, responden por la
información que suministran o que entregan a otro agente.” Por este motivo
solicita declarar la inexequibilidad de este aparte del literal c) del artículo 3º
del Proyecto.
4. En lo relativo a la clasificación de la información y a las reglas para su
administración, el Ministerio Público manifiesta que aunque el legislador
recogió ampliamente los parámetros desarrollados por la jurisprudencia
constitucional, invirtió “la regla general sobre qué constituye dato público al
considerar que será todo aquello que no sean datos semiprivados o privados.
De suerte que aunque cita algunos ejemplos de dato público, en realidad se
trata de una lista abierta, mientras que el dato semiprivado y privado, una
lista cerrada. Dicha alternativa crea una presunción de dato público cuyas
repercusiones son atentatorias del derecho a la intimidad por cuanto amplía en
forma desmesurada la concepción de dato público, y con ello, vacía de
contenido la protección que la misma ley intenta darle a los titulares de la
información mediante el hábeas data”. Por este motivo solicitó a esta Corte
declarar la inexequibilidad de la expresión “y todos aquellos que no sean
semiprivados o privados, de conformidad con la presente ley” del literal f) del
artículo 3º del Proyecto.
Adicionalmente, sostuvo que “el legislador omitió un tratamiento específico a
la información reservada, equiparándola a la del dato privado, no obstante sus
importantes diferencias en cuanto a qué constituyen “datos sensibles”. En
consecuencia, [solicitó] a la Corte Constitucional que declare exequible los
literales e, f (parcial), g y h, en forma condicionada de tal manera que en su
interpretación se dé continuidad a las garantías que por hermenéutica
constitucional se habían adquirido en relación a la clasificación de los datos y la
protección a los datos reservados, privados, semiprivados y públicos, y las
formas de acceder a ellos: mediante orden de autoridad administrativa o
judicial, según se trate de datos semiprivados o privados”.
5. La Procuraduría General defiende la inexequibilidad del Parágrafo del literal
i) del artículo 3º del proyecto en estudio. Manifestó que la “[l]a exclusión de
los deberes de actualización de los datos (artículo 8, numeral 2 y 6; artículo
12, parágrafo 3º del artículo 14) y del consentimiento del titular de la
información ante las fuentes (artículo 8, numeral 6), así como el seguimiento
del formato que diseñará el gobierno, los limites sobre el contenido de la
información (artículo 14), los parámetros para determinar qué situaciones
constituyen reporte negativo o positivo (artículo 12), que por remisión expresa
del parágrafo del literal i) del artículo 3º hace el proyecto de ley a los usuarios,

bancos de datos u operadores de la información comercial y sus fuentes,
resulta abiertamente inconstitucional al vulnerar los artículos 15, 20 y 29 de la
Constitución. (…) La exoneración de los importantes deberes enunciados, para
los responsables del manejo de la información comercial, que involucran al
operador, a las fuentes y el contenido de la información, no se encuentra
justificada a la luz de la Constitución, pues el artículo 15 superior no distingue
entre los sectores económicos que con frecuencia participan en la circulación
de la información de datos personales”.
6. El Ministerio Público solicita a la Corte Constitucional declarar inexequible la
frase “o los estados financieros del titular” contenida en el literal j) del artículo
3º del proyecto de ley sometido a estudio, por considerar que esta disposición
normativa incorpora dentro del concepto de información crediticia, comercial o
financiera a los estados financieros del titular. Una regulación en este sentido
“vulnera el artículo 15 constitucional que atribuye a los libros de contabilidad el
carácter de documento privado que ‘para efectos tributarios o judiciales y para
los casos de inspección, vigilancia e intervención del Estado podrá exigirse la
presentación de los libros de contabilidad’. De suerte que por mandato
constitucional e interpretación constitucional (…) los libros de los comerciantes
integran los datos privados y para su obtención se requiere orden judicial”.
7. Manifiesta que el literal f) del artículo 5º del Proyecto “involucra dos
supuestos distintos, por un lado autoriza la circulación de datos entre distintos
operadores de bancos de datos sin consentimiento previo del titular de la
información” y “plantea otra excepción al consentimiento previo del titular
respecto a la circulación de datos nacionales hacia bancos de datos
extranjeros, bajo la única condición de una verificación no estatal sino privada
en cabeza del operador, dirigida a valorar que el ordenamiento jurídico del país
de destino otorgue garantías suficientes para la protección de los derechos del
titular.”
En relación a la primera situación plantea que “deja en indefensión a los
titulares de la información en la medida que desconocen dónde reposan sus
datos, qué utilización se les da a los mismos, y con qué finalidades, intereses y
motivaciones son entregados de un operador a otro. Cuando al titular de los
derechos no se le pide su consentimiento previo en la circulación de su
información personal, se le despoja de la posibilidad de reclamar el acceso,
actualización y rectificación de su información”. En cuanto al segundo
supuesto, sostiene que “La subjetividad sobre cuándo se cuenta, o no, con
garantías en el país receptor de la información resulta tan imprecisa como
vacua”. Con base en tales razones solicita se declare la inexequibilidad parcial
del literal f) del artículo 5º del Proyecto.
8. Sobre el numeral 1.4 del artículo 6º, que dispone “La administración de
datos semi-privados y privados requiere el consentimiento previo y expreso del
titular de los datos, salvo en el caso del dato financiero, crediticio, comercial,
de servicios y el proveniente de terceros países el cual no requiere autorización
del titular.” (Subraya fuera de texto), el Ministerio Público considera que el

aparte subrayado es inconstitucional por prescindir del consentimiento previo y
expreso del titular de la información, el cual ha sido considerado “uno de los
pilares fundamentales del derecho al hábeas data, reconocido por la Corte
Constitucional en su jurisprudencia”.
9. Considera que el artículo 10 del Proyecto al estipular que la consulta de la
información por parte del titular será gratuita “al menos una (1) vez cada mes
calendario” estácondicionando de manera “irrazonable y desproporcionada” el
derecho de acceso de la información, y agrega: “Aunado a ello, la disposición,
dada su amplitud de configuración, deja al arbitrio del operador de la
información o del usuario fijar un valor por este servicio”. Por estas razones
considera que el aparte subrayado debe ser declarado contrario a la
Constitución.
10. Frente al artículo 13 del proyecto, que define el tiempo máximo de
permanencia de la información negativa en las bases de datos, expresó que
con base en referentes jurisprudenciales, “la no discriminación del legislador
entre el pago voluntario o el pago como consecuencia de un proceso ejecutivo,
el monto adeudado y los términos de mora, unificando la sanción por
incumplimiento a un periodo de cuatro años, independientemente de todas las
variables tenidas en cuenta por la jurisprudencia constitucional con el fin de
dotar de razonabilidad y proporcionalidad el uso de las centrales de riesgo,
resulta atentatorio del derecho constitucional establecido en el artículo 15
constitucional y afecta el derecho a la intimidad y al buen nombre.”, razones
por las cuales solicita su declaratoria de inexequibilidad.
11. Argumenta que “la inclusión de los datos provenientes de terceros países
como parte del historial crediticio, tratándose de una información que no
cuenta con un filtro, ni control delimitado y que por ende no satisface
con (sic) las garantías mínimas de veracidad y certeza de la información, no
puede llegar a integrar el historial crediticio de los colombianos. Aún menos
cuando el legislador no estableció unas reglas, parámetros o controles en la
misma ley, que dotaran a los ciudadanos de herramientas jurídicas de defensa
ante la información suministrada desde el exterior, independientemente del
país de la que proceda. Lo anterior configura una flagrante vulneración del
derecho al debido proceso y del habeas data al adicionar información cuyo
titular no se encuentra en posibilidad de conocer, actualizar, corregir o
modificar, lo que arrojaría graves consecuencias en potenciales vulneraciones
de derechos fundamentales. Por este motivo, el Ministerio Público pide a esta
Corporación “aclarar el sentido del parágrafo 3º primer inciso del artículo 14
del proyecto de ley, en cuanto al sentido del artículo y la no correspondencia
de la palabra “usuarios” cuando, al parecer, el legislador se refería a los
“titulares”. Adicionalmente se solicitará a dicho Tribunal declarar inexequible la
expresión “y la proveniente de terceros países” consagrada en el inciso 2º del
parágrafo 3º del artículo 14 del proyecto, por las razones arriba expuestas.”
12. Solicita a la Corte Constitucional declarar inexequible el inciso 3º del
artículo 15 del Proyecto, por considerar que “[l]as finalidades que justifican el

acceso a la información financiera, crediticia, comercial y de servicios por parte
de los usuarios no puede ser abierta e indefinida”, como ocurriría de no
declararse la inconstitucionalidad de esta disposición, que establece que la
información contenida en bancos de datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, podrá ser
accedida “[p]ara el adelantamiento de cualquier trámite ante una autoridad
pública o una persona privada, respecto del cual dicha información resulte
pertinente”.
13. Finalmente, esgrime las razones por las cuales considera que el Régimen
de transición establecido en el artículo 21 del Proyecto supera el control
constitucional al no vulnerar ningún precepto de la Carta Política.
IV. SUBSANACIÓN DEL VICIO DE PROCEDIMIENTO EN LA FORMACIÓN
DE LA LEY
Con el fin que la Corte ejerciera el control de constitucionalidad en relación con
el Proyecto de Ley, la Presidenta del Congreso remitió a este Tribunal la
iniciativa, junto con el expediente legislativo correspondiente, a través de oficio
radicado el 4 de julio de 2007.
Previamente a la adopción de una decisión de fondo sobre el asunto de la
referencia y con base en lo dispuesto en el parágrafo del artículo 241 C.P., la
Sala, a través del Auto 081 del 2 de abril de 2008, ordenó devolver el
expediente legislativo al Congreso de la República, en razón a la existencia de
un vicio de procedimiento de carácter subsanable, relativo al incumplimiento
del requisito de anuncio previo de la discusión y votación del proyecto de ley
para el caso del segundo debate en la Cámara de Representantes. En dicha
decisión se resolvió lo siguiente:
Primero.-Por Secretaría General de la Corte Constitucional,
DEVUÉLVASE a la Presidencia de la Cámara de Representantes,
el Proyecto de Ley Estatutaria No. 27/06 Senado-221/07 Cámara
(Acum. 05/06 Senado) “por la cual se dictan las disposiciones
generales del hábeas data y se regula el manejo de la información
contenida en bases de datos personales, en especial la financiera,
crediticia, comercial, de servicios y la proveniente de terceros países
y se dictan otras disposiciones.”, con el fin de que tramite la
subsanación del vicio de procedimiento identificado en esta
providencia.
Segundo.-CONCÉDASE a
la
Plenaria
de
la
Cámara
de
Representantes el término de 30 días, contados a partir de la
notificación de este auto a la Presidencia de la misma, para que
subsane el vicio detectado en esta decisión, de conformidad con lo
indicado en la parte motiva de la misma.

Tercero.-Una vez subsanado el vicio a que se refiere la parte
considerativa de esta providencia, el Congreso de la República
dispondrá hasta el 20 de junio de 2008, para cumplir las etapas
posteriores del proceso legislativo.
Cuarto.-Cumplido el trámite anterior, la Presidencia del Congreso
remitirá a la Corte el Proyecto de Ley Estatutaria No. 27/06 Senado221/07 Cámara (Acum. 05/06 Senado) “por la cual se dictan las
disposiciones generales del hábeas data y se regula el manejo de la
información contenida en bases de datos personales, en especial la
financiera, crediticia, comercial, de servicios y la proveniente de
terceros países y se dictan otras disposiciones.”, junto con el
expediente legislativo correspondiente, con el objeto de decidir
definitivamente sobre su constitucionalidad.
En cumplimiento de lo dispuesto en el anterior proveído, la Presidenta del
Senado de la República, mediante escrito radicado en esta Corporación el 6 de
junio de 2008, remitió a la Corte el expediente legislativo, junto con la
subsanación del vicio anteriormente señalado. Por ende, una vez reenviado el
asunto a esta Corporación, se proferirá decisión de fondo acerca de los
aspectos formales y materiales del Proyecto de Ley, de conformidad con lo
preceptuado en el artículo 241-8 C.P. y el parágrafo de la misma disposición.
V.
CONSIDERACIONES
DE
LA
FUNDAMENTOS DE LA DECISIÓN

CORTE

CONSTITUCIONAL

Y

Metodología de la sentencia
Con el fin de lograr un análisis sistemático y suficiente de la norma objeto de
examen, la Corte adoptará para la presente decisión la metodología siguiente:
En primer lugar, describirá el procedimiento legislativo surtido para la
aprobación del Proyecto de Ley, junto con el trámite subsanatorio, y decidirá
acerca de la constitucionalidad formal del mismo. En segundo término,
determinará la materia del proyecto de ley, con el fin de identificar su ámbito
de aplicación, al igual que las unidades temáticas que lo componen. Luego,
realizará algunas consideraciones sobre los aspectos generales del derecho al
hábeas data financiero. En cuarto lugar, estudiará la constitucionalidad
material de dichas unidades temáticas, a la luz de las normas superiores
aplicables y, en especial, de la definición concreta que éstas han obtenido en el
precedente mencionado.
Análisis de constitucionalidad del procedimiento legislativo
1. El procedimiento surtido en el Congreso respecto del Proyecto de
Ley Estatutaria

El expediente legislativo enviado a la Corte por el Congreso de la República
demuestra que el Proyecto de Ley Estatutaria No. 27/06 Senado-221/07
Cámara (Acum. 05/06 Senado) “por la cual se dictan las disposiciones
generales del hábeas data y se regula el manejo de la información contenida
en bases de datos personales, en especial la financiera, crediticia, comercial,
de servicios y la proveniente de terceros países y se dictan otras
disposiciones.” surtió el siguiente trámite:
1.1. Senado de la República
1.1.1. El Proyecto de Ley Estatutaria 27/06 Senado, fue presentado al
Congreso de la República por los senadores Luis Fernando Velasco, Oscar Darío
Pérez, Gina María Parody, Hernán Andrade, Héctor Helí Rojas, Gustavo Petro,
Zulema Jattin, Humberto Gómez Gallo, Dilian Francisca Toro, Jesús Ignacio
García, Juan Fernando Cristo y Carlos Sánchez O.; por los representantes a la
Cámara Dixon Tapasco, David Luna, Miryam Alicia Paredes, Jorge Homero
Giraldo y Jorge Luis Caballero; al igual que por el Ministro de Hacienda y
Crédito Público. El texto del proyecto, junto con su exposición de motivos, fue
publicado en la Gaceta del Congreso 246 del 25 de julio de 2006. [3]
Del mismo modo, el Proyecto de Ley Estatutaria 05/06 Senado, fue presentado
al Congreso por los senadores Rubén Darío Quintero Villada, Mario Londoño,
Juan Carlos Restrepo y Luis Carlos Torres; y por el representante a la Cámara
Omar Flórez Vélez. El articulado, junto con la exposición de motivos, fue
publicado en la Gaceta del Congreso 243 del 25 de julio de 2006. [4]
1.1.2. Estos dos proyectos fueron objeto de acumulación, de acuerdo a lo
decidido por la Mesa Directiva de la Comisión Primera del Senado, resolución
certificada por el Secretario de dicha Comisión en documento del 8 de agosto
de 2006.[5]
1.1.3. La ponencia para primer debate en la Comisión Primera del Senado de la
República fue presentada por los senadores Luis Fernando Velasco (ponente
coordinador), Rubén Darío Quintero, Gina Parody D’Echeona, Hernán Andrade
Serrano, Gustavo Petro Urrego, Samuel Arrieta Buelvas y Oscar Darío Pérez
Pineda y fue publicada en la Gaceta del Congreso 367 del 14 de septiembre de
2006.[6]
1.1.4. Según comunicación suscrita por el Secretario de la Comisión Primera
del Senado de la República [7], el Proyecto de Ley fue anunciado para su
discusión y aprobación en primer debate en la sesión del 11 de octubre de
2006, según consta en el Acta n.° 11 de la misma fecha, publicada en la
Gaceta del Congreso 693 de 2006. En este documento puede verificarse que
durante la sesión la Secretaría dio “lectura a los proyectos que la Presidencia
someterá a discusión y votación en la próxima sesión”, incluyéndose en el
listado el Proyecto de Ley objeto de estudio.[8]

Finalizada la sesión y luego de publicados varios documentos relacionados con
los asuntos discutidos en la sesión, se consignó en el acta lo siguiente:
“Secretario General, para que obre en el expediente.
Siendo las 2:35 p.m., la Presidencia levanta la sesión y convoca para el jueves
12 de octubre de 2006 a las 10:00 a.m. a sesión de la Comisión Primera del
Senado”.[9]
1.1.5. Según la certificación expedida a solicitud de la Corte por el Secretario
de la Comisión Primera del Senado de la República, [10] el Proyecto de Ley fue
aprobado en primer debate el 12 de octubre de 2006 (Acta n.° 12 de la misma
fecha, publicada en la Gaceta del Congreso 694 del 22 de diciembre de
2006[11]). En relación con el quórum, el Secretario hace constar que en la
sesión citada asistieron 18 senadores. Al iniciar la sesión se registró quórum
deliberatorio y en el transcurso de la misma se conformó quórum decisorio, lo
cual fue anunciado por la Secretaría. Por último, en lo que tiene que ver con
las mayorías obtenidas, la certificación indica que “sobre el número de votos
afirmativos y negativos obtenidos al llevar a cabo cada una de las votaciones,
no queda constancia, ni registro, a excepción cuando (sic) alguno de los
Senadores, solicita la verificación o votación nominal (Artículo 129 Ley 5ª de
1992), evento que no sucedió en la votación de esta iniciativa, motivo por el
cual la Secretaría certifica que el Proyecto fue aprobado por las mayorías
exigidas por la Constitución y la Ley.”
1.1.6. La ponencia para segundo debate fue presentada por los senadores Luis
Fernando Velasco (ponente coordinador), Rubén Darío Quintero, Gina Parody
D’Echeona, Hernán Andrade Serrano, Gustavo Petro Urrego, Samuel Arrieta
Buelvas y Oscar Darío Pérez, y publicada en la Gaceta del Congreso 642 del 7
de diciembre de 2006.
1.1.7. Según certificación suscrita por el Subsecretario General del Senado de
la República,[12] el Proyecto de Ley fue anunciado para su discusión y
aprobación en segundo debate en la sesión plenaria del 12 de diciembre de
2006, según consta en el Acta n.° 37 de la misma fecha, publicada en la
Gaceta del Congreso 71 del 13 de marzo de 2007. [13] En el texto de la referida
acta, se señala que “por instrucciones de la Presidencia y de conformidad con
el Acto Legislativo 01 de 2003, la Secretaría anuncia los proyectos que se
discutirán y aprobarán en la próxima sesión.” Luego se hace un listado de
iniciativas, entre las que se encuentra el proyecto de ley estatutaria.
Por último, se advierte que finalizada la sesión plenaria, se indicó que “Siendo
las 11:40 p.m., la Presidencia levanta la sesión y convoca para el día miércoles
13 de diciembre de 2006, a las 11:00 a.m.”[14]
1.1.8. Igualmente, la certificación citada hace constar que el proyecto de ley
fue considerado en segundo debate en sesión ordinaria del 13 de diciembre de
2006 con un quórum deliberatorio y decisorio de 99 de los 102 senadores que

conforman la Plenaria y aprobado por unanimidad. Todo lo anterior consignado
en el Acta 38 de la misma fecha, publicada en la Gaceta del Congreso 72 del
13 de marzo de 2007.[15]
Verificada el acta mencionada, se encuentra que el proyecto fue votado por
votación ordinaria, en los términos del artículo 129 de la Ley 5ª de 1992.[16]
1.2. Cámara de Representantes
1.2.1. Para primer debate rindieron ponencia el representante David Luna
Sánchez, cuya publicación se llevó a cabo en la Gaceta del Congreso 136 del
24 de abril de 2007.[17]
1.2.2. Según certificación expedida por el Secretario de la Comisión Primera de
la Cámara de Representantes,[18] en sesión del 25 de abril de 2007 se anunció
la discusión y aprobación del Proyecto de Ley, sesión contenida en el Acta n.°
32 de esa fecha, publicada en la Gaceta del Congreso 181 del 15 de mayo de
2007.
Sobre este particular, se advierte que los anuncios se realizaron al finalizar la
sesión, luego de haber discutido y aprobado varias iniciativas. Así, en el acta
citada se lee lo siguiente:
“Presidente:
Ponentes los mismos voceros designados por los partidos.
Anuncie proyectos señor Secretario.
Secretario:
Por instrucciones de la Presidencia se anuncian los siguientes proyectos para
discusión y votación en la próxima sesión.
(…)
Proyecto de ley número 221 de 2007 Cámara, 27 de 2006 acumulado
05 de 2006 Senado.”[19]
Acto seguido y luego de la intervención de dos representantes, quienes dejaron
algunas constancias sobre asuntos tratados en la jornada, el Presidente
levantó la sesión y convocó la siguiente “para el día miércoles de la próxima
semana, siendo las 2:55 de la tarde.”. Esto es, la siguiente sesión fue
convocada para el 2 de mayo de 2007.
1.2.3. Como consta en la certificación citada en el numeral anterior, el
proyecto de ley fue discutido y aprobado por la Comisión Primera de la Cámara
de Representantes el 8 de mayo de 2007, según consta en el Acta n.° 33 de la
misma fecha, publicada en la Gaceta del Congreso 184 del 16 de mayo de
2007.[20] A este respecto, el Secretario hace constar que la proposición con que
terminó el informe de ponencia fue “aprobada de conformidad con el
artículo 153 de la Constitución Política y 119 de la Ley 5ª de 1992.” Del mismo
modo, indicó que la votación se realizó por unanimidad.

1.2.4. Para segundo debate la ponencia fue presentada por los representantes
David Luna Sánchez (ponente coordinador), Orlando Aníbal Guerra, Carlos
Fernando Motoa, Miguel Ángel Rangel, Guillermo Rivera Flórez y Juan de Jesús
Córdoba y fue publicada en la Gaceta del Congreso 189 del 17 de mayo de
2007.[21]
1.2.5. De acuerdo con lo certificado por el Secretario General de la Cámara de
Representantes,[22] en sesión plenaria del 22 de mayo de 2007 se anunció la
discusión y aprobación del Proyecto de Ley, como consta en el Acta n.° 51 de
la misma fecha, publicada en la Gaceta del Congreso 307 del 26 de junio de
2007.
Sobre el particular se advierte que en la mencionada sesión, la Secretaría de la
Cámara, por instrucciones del Presidente de esa Corporación, realizó el anuncio
del proyecto en los términos siguientes, según el contenido de la citada
Gaceta:
“Dirige la sesión el Presidente, honorable representante Alfredo Cuello
Baute:
Anuncie los proyectos, Secretario
La Subsecretaria Auxiliar, doctora Flor Marina Daza, anuncia los
proyectos para la próxima sesión.
(…)
Proyecto de Ley Estatutaria número 221 de 2007 Cámara, 27 de 2006 Senado.
(…)
Están leídos los proyectos señor Presidente”
El Subsecretario General, doctor Jesús Alfonso Rodríguez C., informa:
Están anunciados los proyectos señor Presidente, ordene la verificación del
quórum solicitada.
Dirige la sesión el Presidente, honorable representante Alfredo Cuello
Baute:
Abra el registro, vamos a verificar quórum, pedido por el representante Castro
Caycedo.
Los proyectos anteriormente fueron anunciados de acuerdo con la lista
preparada por la Sección de Leyes de la Cámara y de acuerdo con lo
establecido en el acto legislativo, que obliga que todos los proyectos deban ser
anunciados previamente a la sesión en que se traten, anunciando su votación
y discusión.
Presidente, la Secretaría certifica que se ha desintegrado el quórum.

Dirige la sesión el Presidente, honorable representante Alfredo Cuello
Baute:
Se cita para mañana 11:00 de la mañana, debate de Control Político, de
seguido tenemos dos debates, uno iniciando 11:00, otro iniciando 4:00 de la
tarde.
Apunte al representante Pérez en el quórum, que está presente.
Se desintegró fue el quórum decisorio, existe suficiente quórum
deliberatorio.”[23]
De lo anterior se tiene que la siguiente sesión plenaria de la Cámara de
Representantes fue citada para el 23 de mayo de 2007. Verificada el Acta n.°
52 de esa fecha, publicada en la Gaceta del Congreso 308 del 26 de junio de
2007,[24] la Sala advierte que la sesión se dedicó por completo a debates de
control político respecto de diversos funcionarios, como consta en el orden del
día correspondiente. Dentro de la plenaria no se hizo referencia alguna al
anuncio de discusión y votación de proyectos de ley en la sesión siguiente. Por
último, finalizada la sesión, el Presidente convocó la siguiente “para el próximo
martes 3:00 p.m.”, esto es, para el 29 de mayo de 2007.[25]
1.2.6. Según la certificación antes citada, en sesión plenaria del 29 de mayo de
2007, a la cual se hicieron presentes 153 Representantes, fue considerada y
aprobada por la mayoría requerida constitucionalmente, en votación ordinaria,
la ponencia para segundo debate, el articulado y el título del Proyecto de Ley
Estatutaria. “Lo anterior según consta en el registro electrónico y manual
remitido por el Subsecretario General de la Corporación mediante oficio
SbSG.2.1.0401-07 y en el Acta de Sesión Plenaria N° 53 de mayo 29 de 2007”,
documento publicado en la Gaceta del Congreso 309 del 26 de junio de 2007.
[26]

1.3. Conciliación
En razón a la existencia de discrepancias entre los textos aprobados por las
cámaras legislativas, fue necesario tramitar el informe de la comisión
accidental de conciliación, de conformidad con lo señalado en el artículo 161
C.P. El procedimiento surtido fue el siguiente:
1.3.1. Senado de la República
1.3.1.1. El informe de conciliación al Proyecto de Ley, suscrito por los
senadores Luis Fernando Velasco y Oscar Darío Pérez y por los representantes
David Luna Sánchez y Juan de Jesús Córdoba, de fecha 4 de junio de 2007, fue
publicado en la Gaceta del Congreso 251 del 6 de junio de 2007.
1.3.1.2. Como lo certificó a solicitud de la Corte el Secretario General del
Senado de la República, [27] el anuncio de la discusión y aprobación del informe

de conciliación se realizó en la sesión plenaria del 7 de junio de 2007, según el
acta n.° 64 de la misma fecha, publicada en la Gaceta del Congreso 352 del 26
de julio de 2007. Al respecto, en el acta se lee lo siguiente:
“Por instrucciones de la presidencia y de conformidad con el Acto Legislativo
número 01 de 2003, la Secretaría anuncia los proyectos que se discutirán y
aprobarán en la próxima semana.
Los proyectos para la siguiente sesión plenaria son los siguientes:
(…)
Proyecto de ley número 027 de 2006 Senado (Acumulado 05 de 2006
Senado), 221 de 2007 Cámara, por la cual se dictan las disposiciones
de servicios y la proveniente de terceros países y se dictan otras disposiciones.
(…)
Son los proyectos para debatir y aprobar en la siguiente sesión plenaria.” [28]
Finalizada la sesión, fue levantada por la Presidencia del Senado y citó “para el
próximo martes a la una de la tarde”[29]. En ese sentido, la sesión siguiente fue
convocada para el 12 de junio de 2007.
1.3.1.3. Conforme la constancia expresada en la certificación mencionada, el
informe de conciliación fue discutido y aprobado por la plenaria del Senado de
la República en sesión del 12 de junio de 2007, contenida en el Acta n.° 65 de
la misma fecha, publicada en la Gaceta del Congreso 414 del 28 de agosto de
2007.[30] La certificación señala que la sesión de aprobación “se pudo constatar
un quórum deliberatorio de 93 Honorables Senadores de la República de los
102 que conforman la Corporación, al ser sometido a la consideración de la
plenaria el Informe de Conciliación fue aprobado por la mayoría exigida
constitucionalmente”. Verificado el contenido de la sesión, la Corte encuentra
que el informe fue aprobado por votación ordinaria.[31]
1.3.2. Cámara de Representantes
1.3.2.1. El informe de conciliación fue suscrito por los senadores Luis Fernando
Velasco y Oscar Darío Pérez y por los representantes David Luna Sánchez y
Juan de Jesús Córdoba, de fecha 4 de junio de 2007, fue publicado en la
Gaceta del Congreso 247 del 5 de junio de 2007. [32]
1.3.2.2. De acuerdo con la certificación mencionada en el apartado 1.2.5. de
este análisis, el Secretario General de la Cámara de Representantes hace
constar que el anuncio de la discusión y aprobación del informe de la comisión
accidental de conciliación se realizó en la sesión plenaria del 5 de junio de
2007, contenida en el Acta n.° 54 de la misma fecha, publicada en la Gaceta
del Congreso 318 del 29 de junio de 2007. Sobre el particular, en este
documento se lee lo siguiente:

“Dirección de la sesión por la Presidencia, doctor Alfredo Ape Cuello
Baute:
Anuncie proyectos Secretario, antes de que se me levanten.
El Secretario, doctor Angelino Lizcano Rivera informa:
Con mucho gusto señor Presidente,
(…)
- Proyecto de ley 221 de 2007 Cámara, 027 del 2006 Senado.
(…)
Dirección de la sesión por la Presidencia, doctor Alfredo Ape Cuello
Baute:
Se convoca martes dos de la tarde, Secretario.
El Secretario, doctor Angelino Lizcano Rivera informa:
Son los proyectos de acto legislativo, actas de conciliación y de proyectos de
ley, anunciados para el próximo martes a las dos de la tarde, mañana
Congreso Pleno a la una de la tarde.”[33]
De esta información, se colige que el anuncio se realizó para la sesión plenaria
del 12 de junio de 2007.
1.3.2.3. Según la certificación citada en el numeral anterior, en la sesión
plenaria del 12 de junio de 2007, “a la cual se hicieron presentes ciento
cincuenta y ocho (158) Honorables Representantes, fue considerada y
aprobada por la mayoría requerida constitucionalmente, en votación ordinaria,
el Informe de Conciliación del Proyecto en mención. Lo anterior según consta
en el registro electrónico y manual remitido por el Subsecretario General de la
Corporación mediante oficio SbSG. 2.1.0458-07 y en el Acta de Sesión Plenaria
N° 55 de junio 12 de 2007, la cual se encuentra publicada en la Gaceta del
Congreso N° 327 de 2007.” En ese sentido, verificado el contenido del acta, la
Sala advierte que el informe de la comisión accidental de conciliación fue
aprobado por votación ordinaria.[34]
2. Trámite legislativo de subsanación
Como se indicó en apartado anterior de esta sentencia, la Corte identificó un
vicio de procedimiento en la discusión y votación del Proyecto de Ley,
consistente en el incumplimiento del requisito de anuncio previo al debate y
aprobación, contemplado en el inciso final del artículo 160 C.P. En
cumplimiento de lo ordenado en el Auto 081/08, el Congreso rehizo el
procedimiento afectado por el vicio del siguiente modo:
2.1. Segundo debate en Cámara de Representantes
2.1.1. Con el fin de subsanar el vicio de procedimiento citado, la Cámara de
Representantes repitió el anuncio de la discusión y votación del Proyecto de
Ley en la sesión plenaria del 29 de abril de 2008, consignada en el Acta 105 de

la misma fecha. Al respecto, en la Gaceta del Congreso 293 del 28 de mayo de
2008, se lee lo siguiente:
“Dirección de la sesión por la Presidencia (doctor Oscar Arboleda
Palacio):
Anuncie los proyectos señor Secretario y les recuerdo o les informo que
mañana no habrá Plenaria pero trabajaremos, martes, miércoles y jueves de la
semana entrante.
La Secretaría General informa, doctor Jesús Alfonso Rodríguez:
Vamos a anunciar los proyectos de ley y acto legislativo que serán debatidos y
votados en la próxima sesión.
Dirección de la sesión por la Presidencia (doctor Oscar Arboleda
Palacio):
Próxima sesión, martes a las 3:00 p. m.
La Secretaría General informa, doctor Jesús Alfonso Rodríguez:
Martes 6 de mayo a las 3:00 p. m. o en la próxima sesión en la que sí discutan
o debatan proyectos ley.
La Secretaría General informa (doctora Flor Marina Daza):
Corrección de procedimientos de conformidad con lo ordenado según auto 081
de abril 2 de 2008, proferido por la honorable Corte Constitucional y lo
establecido en el parágrafo del artículo 241 de la Constitución Política y el
artículo 202 de la Ley 5ª del 92. Se procede a subsanar dicho vicio de
procedimiento de acuerdo al Acto Legislativo número 01 de 2003, al Proyecto
de Ley Estatutaria número 221 de 2007 Cámara, 027 de 2006 Senado,
acumulado con el 05 de 2006 Senado, por la cual se dictan las disposiciones
de servicios y provenientes de terceros países y se dictan otras disposiciones.
Estas correcciones están publicadas en la Gaceta del Congreso número 189 de
2007, la ponencia está públicada en la gaceta 189 de 2007.
(…)
Están anunciados los proyectos para la próxima sesión señor Presidente.
Dirección de la sesión por la Presidencia doctor Bérner León
Zambrano:
Se levanta la sesión y se cita para el día martes 6 de mayo, a las 3:00 p.
m.”[35]
De lo anterior se advierte que la discusión y votación en segundo debate fue
anunciada para la sesión del martes 6 de mayo de 2008. Sobre el particular,
debe insistirse que aunque el Presidente hizo uso de la simple
expresión “anuncio”, la jurisprudencia constitucional ha concluido que la
utilización de la misma en el contexto del trámite legislativo, refiere

unívocamente al cumplimiento del requisito dispuesto en el inciso final del
artículo 160 C.P.[36]
2.1.2. La discusión y votación del Proyecto de Ley en segundo debate de la
Cámara de Representantes acaeció en la sesión plenaria del 6 de mayo de
2008, de la que da cuenta el Acta 106 de la misma fecha, publicada en la
Gaceta del Congreso 326 del 6 de junio de 2008. En esta sesión, se aprobaron
dos proposiciones relacionadas con la inclusión del parágrafo al literal i. del
artículo 3º del Proyecto, relacionado con la exclusión de la aplicación de
algunas disposiciones de la ley a las agencias de información comercial; al
igual que el parágrafo 2º del artículo 10º, relativo a la gratuidad de la consulta
de la información por parte de los titulares de la información. Cabe anotar que
estas proposiciones son idénticas a las promovidas y aprobadas por la plenaria
de la Cámara en el trámite original del Proyecto de Ley. En ese sentido, se
verifica que el procedimiento subsanatorio no modificó lo decidido por la
plenaria en cuanto al contenido de la iniciativa.
Finalmente, debe tenerse en cuenta que en dicha sesión la Secretaría de la
Cámara hizo constar que la iniciativa, junto con las proposiciones presentadas,
fueron aprobadas por las mayorías exigidas por la Constitución y la ley,
mediante votación ordinaria. [37] A su vez, el Secretario General certificó a la
Corte que la iniciativa fue discutida y aprobada con la presencia de 119
Representantes.[38]
2.2. Conciliación
En tanto la existencia de un vicio de procedimiento en segundo debate afectó
el procedimiento subsiguiente, esto es, la consideración y votación del informe
de conciliación por parte de las plenarias de Senado y Cámara; estas etapas
del trámite también fueron nuevamente efectuadas, como pasa a explicarse:
2.2.1. Cámara de Representantes
El informe de conciliación correspondiente al Proyecto de Ley fue publicado en
la Gaceta del Congreso 229 del 7 de mayo de 2008.
El anuncio para la discusión y votación del informe de conciliación al Proyecto
de Ley se llevó a cabo en la sesión plenaria del 7 de mayo de 2008, contenida
en el Acta 107 de la misma fecha, publicada en la Gaceta del Congreso 327 del
7 de mayo de 2008. En dicho documento se lee lo siguiente:
“Dirección de la Sesión por la Presidencia doctor Oscar Arboleda
Palacio:
Señora Secretaria, le ruego leer los proyectos, para la próxima Sesión del
martes, a fin de que, dejemos este punto bien claro para una próxima sesión.
Dirección de la Sesión por la Presidencia doctor Oscar Arboleda
Palacio:

Señora Secretaria, le ruego darle lectura para la próxima sesión del martes.
Secretario Auxiliar Luis Ramón Silva:
Con mucho gusto señor Presidente, de conformidad con el Acto Legislativo 01
de 2003, se anuncian los siguientes proyectos, para sesión del día martes 13
de 2008 (sic) o para la siguiente sesión de Plenaria en que se adelanta
Proyecto de ley y ello es:
Informe de conciliación, Proyecto de ley 303 de 2007 Cámara, 027 de 2006
Senado por la cual se adiciona el artículo 57 de la Ley 5a de 1992.
(…)
Proyecto de ley Estatutaria 221 de 2007 Cámara, 027 de 2006 Senado,
acumulado con el Proyecto de ley 005 de 2006 Senado, por la cual se dictan
las disposiciones generales del Hábas Data, (sic) y se regula el manejo de la
información contenida en bases de datos, personales en especial, la financiera
crediticia comercial de servicios y la providencia de terceros países, (sic) y se
dictan otras disposiciones, publicado en la Gaceta 229 de 2008.
(…)
Señor Presidente han sido leídos los proyectos, que se deben anunciar para
debatir el próximo martes o el día en que hayan debates de Proyecto de ley,
anexando a los que se anunciaron ayer.”[39]
Como se observa, el anuncio de la discusión y votación del informe de
conciliación se hizo para una fecha determinable, esto es, “el próximo martes”,
que corresponde al 13 de mayo de 2008.
Así, en la sesión plenaria del 13 de mayo de 2008, descrita en el Acta 108 de
la misma fecha, publicada en la Gaceta del Congreso 353 del 11 de junio de
2008, el informe citado fue sometido a discusión y votación, siendo
aprobado, “por las mayorías exigidas en la Constitución Política y en la ley de
acuerdo con el último registro”. [40] Esta afirmación es corroborada por la
certificación que para el efecto emitiera el Secretario General de la Cámara de
Representantes, en el sentido que en dicha sesión plenaria, “se registró la
presencia de noventa y seis (96) H. Representantes, siendo aprobado el
mencionado informe por la mayoría de los miembros presentes de la
corporación, con arreglo a los mandatos del artículo 219 de la Ley 5ª de
1992.”[41]
2.2.2. Senado de la República
El informe de conciliación correspondiente al Proyecto de Ley de la referencia
fue publicado en la Gaceta del Congreso 239 del 8 de mayo de 2008.
El anuncio de la discusión y votación del informe de conciliación al Proyecto de
Ley fue realizado en la sesión plenaria del 14 de mayo de 2008, contenida en
el Acta 46 de la misma fecha, publicada en la Gaceta del Congreso 407 del 1º
de julio de 2008. En dicha acta, se observa lo siguiente:

“La Presidencia indica a la Secretaría continuar con el siguiente punto del
Orden del Día.
III
Anuncio de proyectos
Por instrucciones de la Presidencia y de conformidad con el Acto Legislativo
número 01 de 2003, la Secretaría anuncia los proyectos que se discutirán y
aprobarán en la próxima sesión.
Siguiente punto señora Presidenta, anuncio de proyectos, los proyectos para,
discutir y votar en la próxima sesión plenaria del Senado de la República son
los siguientes:
(…)
Con Informe de Conciliación
• Proyecto de ley Estatutaria número 027 de 2006 Senado, 221 de 2007
Cámara,
(Acumulado 05 de 2006 Senado), por la cual se dictan las disposiciones
generales del Hábeas Data y se regula el manejo de la información contenida
en las bases de datos personales, en especial la financiera, crediticia,
comercial, de servicios y la proveniente de terceros países y se dictan otras
disposiciones.
(…)
Todos estos proyectos señora Presidenta están debidamente publicados en la
Gaceta del Congreso, están leídos los proyectos para la próxima Sesión señora
Presidenta.”[42]
En este caso, se advierte que la plenaria utilizó la expresión “próxima
sesión” para hacer referencia a la sesión en que se efectuaría la discusión y
votación del informe de conciliación. Sobre el particular, la Corte considera que
esta expresión permite, a la luz de la jurisprudencia constitucional aplicable,
[43]
contar con una fecha determinable de anuncio de debate y aprobación, esto
es, la sesión plenaria siguiente a la del 14 de mayo de 2008.
Esa sesión se efectuó el 20 de mayo de 2008, contenida en el Acta 47 de la
misma fecha, publicada en la Gaceta del Congreso 479 del 30 de julio de 2008.
En dicha sesión se sometió a discusión y votación el informe de conciliación, el
cual fue aprobado “con el quórum constitucional requerido.”[44] Esta
información es ratificada por el Secretario General del Senado, quien en
constancia solicitada por la Corte, señaló que “al momento de la votación del
Informe de Conciliación no se solicitó votación nominal ni se solicitó
verificación del quórum, por lo tanto aparecen votando los senadores que se
registraron durante la sesión que según el Acta correspondiente a 91
senadores, exceptuándose la constancia de retiro del recinto no votando el
informe, del HS Mario Salomón Nader Muskus.”[45]

3. Constitucionalidad del procedimiento surtido por el proyecto de ley
El artículo 153 C.P. exige que para la aprobación, modificación o derogación de
las leyes estatutarias debe contarse con la mayoría absoluta de los miembros
del Congreso. A su vez, contempla que el trámite de esas iniciativas debe
efectuarse dentro de una sola legislatura.
Por ende, el parámetro de constitucionalidad del control formal de los
proyectos de ley estatutaria comprende tanto las normas superiores y
orgánicas que regulan el procedimiento para la formación de las leyes, junto
con las exigencias específicas para el trámite de las leyes estatutarias. En ese
contexto, los proyectos de ley estatutaria deben [46] (i) cumplir con el requisito
de publicación del proyecto en la Gaceta del Congreso, antes de darle curso en
la comisión respectiva (C.P. art. 157.1 y Ley 5ª de 1999, art. 144); (ii) haber
sido aprobados, por mayoría absoluta, en las comisiones y las plenarias del
Senado de la República y la Cámara de Representantes (C.P., arts. 153 y 157
y Ley 5ª de 1992, arts. 117, 119 y 147); (iii) haber respetado las pautas
fijadas en el artículo 160 de la Constitución Política para los debates, a saber:
las de la publicación de las ponencias y que entre el primero y el segundo
debate en cada cámara debe mediar un lapso no inferior a ocho días, y entre la
aprobación del proyecto en una cámara y la iniciación de la discusión en la otra
deben transcurrir por lo menos quince días; (iv) haberse dado aviso de que el
proyecto será sometido a votación en sesión distinta a aquélla en la que se
efectúa la respectiva votación y someter el proyecto a votación en la
oportunidad anunciada (art. 8 del Acto Legislativo 001 de 2003-C.P., art. 160).
Al respecto cabe anotar que el art. 9 del Acto Legislativo 001 de 2003 (C.P.,
art. 161) dispuso que esta exigencia también se aplica a los debates sobre los
informes de las comisiones de conciliación, los cuales deberán ser publicados
por lo menos un día antes; (v) haber sido aprobado dentro de una sola
legislatura, con la aclaración de que este plazo se refiere únicamente al trámite
dentro el Congreso, y no se extiende al período que requiere la revisión previa
que efectúa la Corte Constitucional (C.P., art. 153, y Ley 5ª de 1992, art.
208); (vi) respetar los principios de unidad de materia, de identidad y
consecutividad (C.P., arts. 158, 157, 160 y 161); (vii) para el caso de las
normas que ordenan gasto público, acreditar el cumplimiento de lo previsto en
el artículo 7º de la Ley 819/03-Orgánica de Presupuesto, al igual que la
reserva de iniciativa legislativa que para el efecto prevé el artículo 154 C.P.
y (viii) haber obtenido la sanción del gobierno, la cual, en el caso de los
proyectos de ley estatutaria solamente procede luego de que la Corte
Constitucional haya efectuado el control previo de constitucionalidad y haya
declarado la exequibilidad de las disposiciones del proyecto (C.P. arts. 153,
157 y 241), razón por la cual se trata de una condición que no es posible
comprobar en esta sentencia. Pasa la Corte a analizar el cumplimiento de cada
uno de estos requisitos:
3.1. Publicación del proyecto antes de darle curso en la comisión respectiva

Según se observa en el trámite legislativo descrito, las iniciativas que al
acumularse dieron lugar al Proyecto de Ley objeto de análisis fueron
publicadas en las Gacetas del Congreso 243 y 246 del 25 de julio de 2006.
Luego de la acumulación, la ponencia para primer debate en la Comisión
Primera del Senado de la República fue publicada en la Gaceta del Congreso
367 del 14 de septiembre de 2006.
Del mismo modo, en apartado anterior de esta providencia se demostró que
cada uno de los informes de ponencia, al igual que el informe de conciliacióntanto en el trámite original como en el subsanatorio-contaron con las
publicaciones previas a la discusión del Proyecto en cada debate. Al respecto,
debe aclararse que para el caso de la aprobación de la iniciativa en el trámite
subsanatorio, las Cámaras hicieron alusión a las publicaciones realizadas en el
procedimiento original, circunstancia que no incide en la vigencia del principio
de publicidad, en tanto permite que los congresistas tuvieran conocimiento
previo del texto sometido a discusión y votación. En consecuencia, el requisito
exigido por el artículo 157-1 fue cumplido debidamente.
Por último, debe tenerse en cuenta que el reparo efectuado por el Procurador
General, relativo a la presunta afectación del principio de publicidad en el
trámite legislativo, para el caso del procedimiento surtido en la Comisión
Primera de la Cámara de Representantes, fue resuelto por la Corte en el Auto
081/08 antes aludido. En dicha decisión se expuso lo siguiente:
“11. Como se indicó al momento de describir el procedimiento
legislativo surtido respecto del Proyecto de Ley Estatutaria, se
observa que para el caso de la Cámara de Representantes, el informe
de conciliación fue rendido el 4 de junio de 2007 y publicado en la
Gaceta del Congreso 247 del 5 de junio de 2007. A su vez, la
discusión y votación del citado informe fue anunciado en la sesión
plenaria del 5 de junio de 2007, indicándose que sería debatido el 12
de junio del mismo año, fecha en la que efectivamente se llevó a
cabo ese trámite. Conforme a este recuento, el cuestionamiento
propuesto por el Procurador General se basa en considerar que la
publicación del informe de ponencia no se hizo antes del anuncio de
la discusión y votación, sino que dichas actuaciones se realizaron
simultáneamente, lo que en su criterio vulnera el artículo 157-1 C.P.,
puesto que la publicación no fue realizada antes de darle curso a la
iniciativa en la plenaria de la Cámara.
En el fundamento jurídico 9 de esta providencia se concluyó, a partir
del análisis de la jurisprudencia sobre la materia, que el objetivo
constitucional del anuncio previo de la discusión y votación, al igual
que de la publicación de los proyectos de ley, es la de fortalecer el
principio democrático representativo, en la medida en que toman la
forma de mecanismos que facilitan la adopción de decisiones
informadas por parte de los congresistas. Bajo esta lógica, lo que se
exige es que tanto el anuncio como la publicación precedan en el

tiempo a la discusión y aprobación de los proyectos de ley. Por ende,
el principio de publicidad resulta afectado cuando la discusión y
votación se realiza sin que se hubiere rendido el informe de ponencia
o cuando el anuncio se lleva a cabo antes de que se rinda el informe
y el mismo es debatido y aprobado inmediatamente después, sin que
los congresistas hubieren podido informarse adecuadamente sobre el
contenido de la iniciativa.
En el presente caso, se tiene que el informe de conciliación
fue (i) rendido antes de la fecha del anuncio de su discusión y
votación; y (ii) publicado el mismo día de la plenaria en que se
efectuó el anuncio. Del mismo modo, la Sala advierte que el debate y
aprobación del informe de conciliación se verificó en la sesión
plenaria de la Cámara de Representantes del 12 de junio de 2007,
esto es, una semana después del anuncio previo y la publicación.
De acuerdo con esta comprobación fáctica, la Corte considera que el
principio de publicidad al interior del procedimiento legislativo no
sufrió desmedro alguno para el caso de la aprobación del informe de
conciliación aludido. En efecto, la publicación del informe de
conciliación fue coetánea al anuncio de la discusión y votación y, a su
vez, el debate se llevó a cabo luego de un plazo suficiente para que
los congresistas conocieran el contenido de la iniciativa y, en
cualquier caso, antes que la plenaria de la Cámara asumiera el
estudio del informe, cumpliéndose de esta manera lo previsto tanto
en el artículo 157-1 C.P. y el inciso primero del artículo 157 del
Reglamento del Congreso.”
En conclusión, no existe evidencia alguna que la discusión y
aprobación del informe de conciliación en la Cámara de
Representantes se desarrollara de manera intempestiva. Antes bien,
el análisis del procedimiento surtido demuestra que los congresistas
conocieron el contenido del informe con la suficiente antelación, de
modo que se garantizó que el debate y votación de la iniciativa en
esta instancia del procedimiento legislativo contara con la
información suficiente. Así, la Corte concluye que no concurre vicio
de procedimiento en relación con el problema jurídico propuesto por
el Procurador General.
3.2. Aprobación por mayoría absoluta
En el recuento del trámite legislativo del Proyecto la Corte advierte, en primer
término, que las votaciones en cada una de las etapas tuvieron naturaleza
ordinaria. De conformidad con el artículo 129 del Reglamento del Congreso, la
votación simple se verifica cuando los congresistas demuestran su
consentimiento con la aprobación de la iniciativa a través de un golpe en el
pupitre. En estos casos, el Secretario informará sobre el resultado de la
votación y, si no se pidiere acto de verificación, se tendrá por exacto dicho

informe. Este método se opone a la votación nominal, en la que la cámara
correspondiente acuerda que cada uno de los congresistas exprese el sentido
de su voto, consignándose en el acta correspondiente el resultado de la
votación, con la expresión individual de los mismos.
Bajo está lógica, en cada una de las etapas del procedimiento legislativo que
antecedieron a la aprobación del Proyecto de Ley, tanto en su etapa original
como el trámite subsanatorio, los secretarios de las comisiones primeras y de
las plenarias de Senado y Cámara de Representantes, hicieron constar
que (i) se contaba con el quórum decisorio; y(ii) la iniciativa había obtenido las
mayorías exigidas por la Constitución y la Ley, que para el presente caso
deben tener carácter absoluto, en los términos del artículo 153 C.P. Durante
cada una de las sesiones, ningún congresista solicitó la verificación de la
votación, de modo que el informe rendido por los secretarios se tuvo por
exacto.
No obstante, como lo pone de presente el Procurador General, para el presente
caso no se cuenta con información acerca del número preciso de votos
favorables con los que contó el Proyecto de Ley en cada uno de los debates, de
manera tal que no es posible acreditar el cumplimiento de la exigencia de
mayoría absoluta. No obstante, debe la Corte señalar que la jurisprudencia
constitucional ha reconocido que dentro del trámite de las leyes estatutarias, la
constatación que realicen los secretarios de las cámaras legislativas, en el
marco de una votación ordinaria, acerca de la existencia de quórum decisorio y
de la mayoría absoluta para su aprobación, permiten acreditar de manera
suficiente el requisito de mayorías previsto por la Carta para el caso de los
proyectos de ley estatutaria. En efecto, en la sentencia C-502/07 se
expresaron los argumentos siguientes sobre este particular:
“El Procurador objeta que en varias de las actas y las sesiones no se
especificó con claridad cuántos congresistas habían votado a favor y
cuántos en contra. Al respecto cabe manifestar que la Corte
Constitucional ya ha definido que para demostrar que un
determinado proyecto fue aprobado por la mayoría absoluta es
suficiente que se certifique que había quórum decisorio y que se
surtió la votación ordinaria, [47] siempre y cuando ningún congresista
haya solicitado la verificación posterior. Al respecto se señaló en la
sentencia C-179 de 2002:
La Corte dentro de un criterio de flexibilidad que excluye rigorismos
en las exigencias del trámite legislativo, adoptado con miras a hacer
efectivo el principio democrático, acepta que a partir de la lectura del
artículo 129 de la Ley 5ª de 1992, Orgánica del Reglamento del
Congreso, puede admitirse que la forma de votación ordinaria, previa
la verificación del quórum deliberatorio (n.e. decisorio), es suficiente
para acreditar la aprobación por mayoría absoluta de una
determinada propuesta legislativa que la requiera, si ningún
congresista solicita la verificación posterior.” [48]

Luego, en la sentencia C-037 de 2004[49], en la cual se analizó el
proyecto de ley estatutaria “Por medio de la cual se establece un
mecanismo de inscripción y votación para garantizar el libre ejercicio
de este derecho en desarrollo del artículo 258 de la Constitución
Nacional”, se expresó al respecto:
“Tratándose de leyes estatutarias, tal como lo señaló la Corte en la
Sentencia C-179 de 2002, en la medida en que se haya acreditado la
existencia de quórum decisorio, es decir la presencia de la mayoría
de los integrantes de la respectiva célula congresional [50], la
aprobación en votación ordinaria, si nadie solicita verificación o deja
constancia de voto negativo, debe entenderse que lo fue por la
mayoría de los integrantes, así no haya habido constatación sobre
ese hecho, y de tal modo debe ser certificado por los secretarios,
quienes incumplen con su función cuando se limitan a remitir a la
respectiva acta y omiten certificar si la aprobación del proyecto se
cumplió en las condiciones previstas en la Constitución.”
Por otro lado, es importante anotar que el hecho de que sean
imprecisas algunas de las certificaciones expedidas por los
Secretarios de las Comisiones y las Plenarias de las cámaras
legislativas no es determinante para poder asegurar que en el
trámite de un proyecto se incumplió el requisito de las mayorías
exigidas para la aprobación del mismo. En estos casos, las
respectivas certificaciones deberán ser analizadas en conjunto con las
actas de las sesiones, consignadas en la Gaceta del Congreso.
Pues bien, la aplicación de los criterios antes señalados a la secuencia
de aprobación del proyecto que ha sido descrita conduce a la Corte a
la conclusión de que en este punto no se violó la Constitución.
Durante el trámite del proyecto sí se cumplió con el requisito de la
mayoría absoluta para los proyectos de ley estatutaria. En todos los
casos se certificó que existía quórum decisorio o el quórum requerido
constitucionalmente y que el proyecto había sido aprobado. Así
mismo, en ningún caso los congresistas participantes en la votación
solicitaron la verificación del quórum o dejaron constancia del voto
negativo. De esta manera, debe entenderse que en todas las
oportunidades se cumplió con el requisito de la mayoría absoluta.”
Estas reglas jurisprudenciales son del todo aplicables en el presente análisis.
Como se tuvo oportunidad de indicar en la descripción del trámite legislativo
que antecedió a la aprobación del Proyecto de Ley, en cada uno de los debates
los secretarios dieron cuenta de la existencia de quórum decisorio y la votación
conforme a las mayorías constitucionales. Incluso, en varios de estos debates
se hizo referencia explícita a que la votación llenaba los requisitos de mayoría
previstos para las leyes estatutarias. A su vez, verificadas las actas de sesión
correspondientes, se tiene que los congresistas asintieron la contabilización de

la votación hecha por los secretarios, sin que existieran solicitudes de
verificación ni del quórum ni del número de votos. Tampoco hicieron uso de la
facultad para solicitar votación nominal, por lo que, en suma, debe tenerse por
acreditado el cumplimiento de la votación con mayoría absoluta que prevé el
artículo 153 C.P.
3.3. Cumplimiento de las pautas del debate previstas en el artículo 160 C.P.
De acuerdo con el análisis del trámite legislativo, el Proyecto de Ley fue
aprobado en primer debate en la Comisión Primera del Senado de la República
el 12 de octubre de 2006 y en segundo debate en la Plenaria del Senado el 12
de diciembre del mismo año. Del mismo modo, para el caso del trámite en
Cámara de Representantes, la iniciativa inició su debate en Comisión el 24 de
abril de 2007 y fue aprobada en primer debate el 8 de mayo de 2007 y en
segundo el 29 de mayo de 2007.
En consecuencia, se tiene que el primer requisito previsto en el artículo 160
C.P. fue cumplido, puesto que entre el debate en comisión y en plenaria, tanto
en Senado como en Cámara, medió un término superior a ocho días. De la
misma forma, entre la aprobación del Proyecto de Ley en la plenaria del
Senado de la República y el inicio del debate en la Comisión Primera de la
Cámara, existe un periodo superior a quince días.
Igualmente, se advierte que en cada uno de los debates, en el trámite de las
comisiones accidentales de conciliación y en el procedimiento subsanatorio, se
verificó la existencia de informe de ponencia o de conciliación, según el caso,
los cuales fueron publicados con antelación al debate en cada célula
congresional. En igual sentido, analizado el contenido de los informes de
ponencia para segundo debate, la Corte encuentra que en el mismo se
expusieron la totalidad de las propuestas que fueron consideradas en las
comisiones y los motivos de su rechazo.
3.4. Anuncio previo a la discusión y votación
El inciso final del artículo 160 de la Constitución Política, adicionado por el
artículo 8º del Acto Legislativo 1 de 2003 establece que ningún proyecto de ley
será sometido a votación en sesión diferente a aquella en que previamente se
haya anunciado. Igualmente, esta regla establece que el aviso de que un
proyecto será sometido a votación lo dará la presidencia de cada Cámara o
comisión en sesión distinta a aquella en la cual se verificará la votación.
Sobre este requisito, la jurisprudencia constitucional ha consolidado una
doctrina definida sobre las condiciones materiales y procedimentales que
deben reunirse para el cumplimiento de la citada condición. De manera
general, este precedente ha dispuesto que el anuncio debe cumplir con los
siguientes requisitos: (i) debe estar presente en la votación de todo proyecto
de ley; (ii) debe darlo la presidencia de la cámara o de la comisión en una
sesión distinta y previa a aquella en que debe realizarse la votación del

proyecto; (iii) la fecha de la votación debe ser cierta, es decir, determinada o,
por lo menos, determinable; y (iv) un proyecto de ley no puede votarse en una
sesión distinta a aquella para la cual ha sido anunciado.
La Corte ha considerado que el anuncio de la discusión y votación de los
proyectos de ley no está sometido a fórmula sacramental alguna, a condición
que la expresión utilizada transmita inequívocamente la intención de la mesa
directiva de someter a votación un determinado proyecto de ley en una sesión
futura y definida. Por lo tanto, la Sala en diversas decisiones ha ejercido
una interpretación flexible de las expresiones utilizadas por las cámaras para
efectuar el anuncio. De esta manera, la Corte ha otorgado validez
constitucional a expresiones como “considerar” o “debatir”[51] e, incluso, ha
entendido que el simple término “anuncio”, utilizado en el marco de los
debates legislativos con la finalidad de mencionar los proyectos que serán
debatidos en una sesión futura, permite acreditar el cumplimiento del trámite
previsto en el inciso final del artículo 160 C.P. Esto en la medida en que un
procedimiento de esta naturaleza sólo es exigido durante el trámite legislativo
para los efectos previstos en la citada norma constitucional. [52]
El cumplimiento del requisito de anuncio previo de la discusión y votación
depende, según los requisitos expuestos, que sea realizado para una fecha
determinada o, al menos determinable. En consecuencia, se ha considerado
que las cámaras legislativas deben señalar la fecha precisa de la sesión en que
se efectuará la discusión y votación del proyecto de ley o, en su defecto, será
posible acreditar el cumplimiento del citado requisito cuando del contexto de la
sesión en que se efectuó el anuncio es posible concluir, de forma inequívoca, la
fecha en la que se verificará el debate y aprobación de la iniciativa
correspondiente.[53]
En idéntico sentido, la necesidad de contar con la certeza suficiente acerca de
la fecha de la sesión en que se efectuará la discusión y votación del proyecto
de ley, sustenta la regla jurisprudencial que exige la continuidad de la “cadena”
de anuncios. Según esta condición, en caso que el proyecto de ley no haya
sido sometido a discusión y votación en la sesión para el que fue anunciado, la
presidencia de la comisión o plenaria correspondiente debe reiterar el anuncio
para la sesión siguiente, efectuándose el mismo procedimiento tantas veces
sea necesario hasta tanto se realice la discusión y aprobación del proyecto. En
caso que se pretermita este requisito, se vulneraría el mandato constitucional
del artículo 160 Superior, en tanto la iniciativa sería aprobada en una sesión
diferente a aquella en que previamente se haya anunciado.
Por último, la doctrina constitucional en comento ha establecido que el vicio de
procedimiento derivado del incumplimiento del requisito del anuncio previo
tiene naturaleza subsanable. Ello siempre y cuando haya acaecido luego de
completarse una de las etapas estructurales del proceso legislativo, esto es, el
debate y aprobación del proyecto de ley tanto en comisión como en plenaria de
una de las cámaras.[54] Lo anterior, sin embargo, deberá aplicarse en cada
procedimiento legislativo en armonía con la necesidad de proteger los derechos

de las minorías representadas en el Congreso. Por ende, como lo dispuso la
Corte en el Auto 311/06, la naturaleza subsanable del vicio también depende
de la preservación de los derechos de las minorías al interior del proceso
legislativo. Como se señaló en esa providencia, el vicio se tornará insubsanable
cuando “afecta el principio de representatividad de la opinión de las minorías,
de modo que, de no haberse presentado, los resultados de la votación habrían
determinado un rumbo distinto al acto sometido a aprobación”.
En el asunto objeto de análisis, se tiene que en cada una de las etapas del
procedimiento legislativo se dio cumplimiento al requisito de anuncio previo de
la discusión y votación, según se constató al momento de describir el
procedimiento surtido por el Proyecto de Ley. Así, en todas las sesiones previas
se indicó una fecha determinada o suficientemente determinable en que se
llevaría a cabo la sesión en que se sometería a debate y aprobación la
iniciativa. Aunque en algunas de estas sesiones no se hizo alusión expresa a
que el anuncio era para discutir y aprobar la iniciativa, con base en el
precedente citado, es evidente que el simple uso de la expresión “anuncio” en
el contexto del debate legislativo, está unívocamente dirigido a acreditar la
condición prevista en el inciso final del artículo 160 C.P. Adicionalmente, no se
evidencia que en ninguna de las etapas del proceso legislativo se haya roto la
cadena de anuncios, de modo tal que puede concluirse válidamente que en
cada una de las instancias del proceso legislativo los congresistas estuvieron
suficientemente informados sobre la sesión en que se sometería el Proyecto a
debate y aprobación.
Por último, debe tenerse en cuenta que el trámite subsanatorio realizado con
ocasión del vicio de procedimiento identificado por la Corte en el Auto 081/08
cumplió con las condiciones anteriormente descritas. En efecto, tanto en la
discusión y votación en la Plenaria de la Cámara de Representantes, como en
la repetición del trámite de debate y aprobación del informe de conciliación en
ambas cámaras, el anuncio previo contó con los requisitos anteriormente
señalados. En cada una de estas instancias del trámite legislativo, las mesas
directivas señalaron una fecha determinada en la que se aprobaría el Proyecto
de Ley, fecha en la que pudo verificarse ese acto. Por lo tanto, el vicio de
procedimiento identificado por la Corte, que motivó la devolución del
expediente legislativo, fue debidamente subsanado por el Congreso, de modo
tal que es procedente adoptar una decisión definitiva sobre el asunto de la
referencia, en los términos del parágrafo del artículo 241 Superior.
3.5. Aprobación en una sola legislatura
Los proyectos de ley que, acumulados, dieron lugar a la iniciativa objeto de
examen fueron radicados en la Secretaría General del Senado de la República
el 21 de julio de 2006. A su vez, el informe de conciliación al Proyecto de Ley
fue aprobado por las plenarias del Senado y de la Cámara el 12 de junio de
2007. En ese sentido, la iniciativa fue considerada y aprobada en la legislatura
comprendida entre el 20 de julio de 2006 y el 20 de junio de 2007,

cumpliéndose de esta manera con el requisito exigido en el artículo 153 de la
Constitución.
Como se indicó anteriormente, este requisito es predicable solo del trámite
original del proyecto de ley, por lo que no se extiende al periodo de revisión de
la iniciativa ante la Corte Constitucional, término en el que están comprendidos
los plazos que otorgue esta Corporación para la subsanación de vicios de
procedimiento, como sucedió para el asunto objeto de estudio.
3.6. Cumplimiento de los principios de unidad de materia, consecutividad e
identidad
3.6.1. El artículo 158 de la Constitución establece que todo proyecto de ley
debe referirse a una misma materia y serán inadmisibles las disposiciones o
modificaciones que no se relacionen con ella. El principio de unidad de materia
ha sido objeto de un análisis prolijo por parte de la jurisprudencia de la Corte,
precedente que ha insistido en señalar que la calificación acerca del
cumplimiento de este presupuesto está basada en la ponderación entre el
contenido del principio y la vigencia del principio democrático y la libertad de
configuración normativa del legislador. Por lo tanto, la violación del principio de
unidad de materia se acreditará únicamente cuando se demuestre que el
precepto no tiene ninguna relación de conexidad objetiva y razonable (de
carácter causal, temático, sistemático y teleológico) con la materia de la ley
respectiva.[55] Tal caracterización, entonces, es incompatible con una visión
rígida del principio, la cual afectaría de manera desproporcionada la actividad
legislativa y los principios democrático y de conservación del derecho. En ese
sentido, el principio de unidad de materia resulta vulnerado sólo cuando el
precepto de que se trate se muestra totalmente ajeno al contenido temático de
la ley que hace parte.[56]
Para la determinación del cumplimiento de este requisito, entonces, deberá
identificarse dos instancias. La primera, destinada a precisar el alcance
material o núcleo temático de la ley. La segunda, relacionada con establecer si
la norma objeto de análisis está relacionada con esa temática, a partir de los
criterios de conexidad citados.
Para el caso del Proyecto de Ley, su temática está relacionada con la
determinación de las reglas destinadas a regular el ejercicio del derecho a la
autodeterminación informática o hábeas data de los titulares de información
contenida en bases de datos personales, en especial aquellos datos de
contenido financiero, crediticio, comercial, de servicios y la proveniente de
terceros países. Como se infiere de los artículos 1º y 2º de la iniciativa, la ley
estatutaria tiene por objeto regular los mecanismos para que los ciudadanos
puedan ejercer las facultades contenidas en el artículo 15 C.P., relativas al
conocimiento, actualización y rectificación de su información personal,
específicamente aquella relacionada con fines crediticios y comerciales.

Para cumplir con este propósito, la norma determina en su sección preliminar
su objeto, ámbito de aplicación, las definiciones de los conceptos utilizados en
la ley estatutaria, los principios aplicables a la administración de los datos
personales y las reglas sobre circulación de información. A su vez, en su título
segundo prevé la carta de derechos de los titulares de información, exigibles
ante las fuentes, los operadores y los usuarios del dato personal. El título
tercero fija los deberes correlativos de dichos sujetos en relación con las
prerrogativas previstas para los usuarios de la información. El título cuarto
establece tanto las razones que justifican la administración del dato financiero
en virtud de su relación con el interés público, como los requisitos especiales
exigidos a las fuentes y a los operadores de información personal. Igualmente,
prevé las condiciones de presentación del dato crediticio por parte de los
operadores y las finalidades del acceso a esa información por los usuarios. El
título quinto fija el procedimiento de peticiones y reclamos, destinado a que los
titulares de la información ejerzan las facultades de conocimiento,
actualización y rectificación del dato financiero. El título sexto determina las
facultades adscritas a las entidades encargadas de la vigilancia de los
destinatarios de la ley, en especial los operadores y usuarios de la información
personal, junto con el régimen sancionatorio aplicable. Por último, el título
séptimo establece las disposiciones finales de la normatividad estatutaria,
relativas a la determinación de un régimen de transición dirigido a la
adecuación del funcionamiento de las instancias destinatarios de sus
disposiciones y en relación con la caducidad del dato financiero sobre
incumplimiento, vigente al momento de promulgación de la ley.
Para la Corte es claro que cada uno de estos asuntos no sólo guarda relación
estrecha con el núcleo temático del Proyecto de Ley, sino que toman la forma
de herramientas necesarias para el desarrollo de los contenidos normativos
propios de la regulación del derecho al hábeas data, específicamente en lo que
respecta a la administración de datos personales de naturaleza financiera,
comercial y crediticia. En consecuencia, el requisito previsto en el artículo 158
Superior es adecuadamente cumplido en el presente análisis.
No obstante, debe advertirse que estas consideraciones resultan aplicables
para dos contenidos concretos del articulado del Proyecto de Ley, los cuales,
aunque en criterio de algunos de los intervinientes, no guardan conexidad
objetiva y razonable con la temática de la iniciativa, empero sí hacen parte de
la materia del Proyecto. El primero de ellos es la expresión “así como el
derecho a la información establecido en el artículo 20 de la Constitución
Política”, contenido en el artículo 1º del Proyecto. Como se expondrá en detalle
en el apartado 1.1. del análisis material de la iniciativa, el Proyecto de Ley,
considerado a partir de criterios sistemáticos, históricos y teleológicos, tiene
por objeto particular establecer un sistema de reglas para la administración de
datos personales relacionados con el comportamiento crediticio, excluyéndose
otras materias, como es el caso del derecho a la información, el derecho a la
intimidad y la regulación de otros escenarios del ejercicio del derecho al
hábeas data, distinto al expuesto. Empero, aunque para la Corte es claro que
la normatividad estatutaria no establece un régimen integral sobre el derecho

a la información, esta garantía constitucional tiene una relación intrínseca con
varios aspectos del proceso de administración de datos personales, como se
demostrará en el análisis posterior sobre los aspectos materiales del Proyecto.
En efecto, las prerrogativas que la norma estatutaria confiere a algunos de los
agentes que concurren en dicho proceso, como es el caso de los titulares y
usuarios del dato, se explican a partir del ejercicio del derecho a la
información. Por ende, no resulta desacertado que dentro del ámbito sectorial
del Proyecto de Ley, se incluya una referencia a ese derecho fundamental, a
condición que se interprete bajo las condiciones mencionadas.
Similares consideraciones resultan aplicables para la expresión “todos”,
contenida en el inciso primero del artículo 2º del Proyecto de Ley, relacionado
con su ámbito de aplicación. En efecto, la inclusión de esa palabra en el
precepto involucra que la iniciativa objeto de análisis regule “todos los datos
de información personal registrados en un banco de datos”, pudiera
cuestionarse en el sentido que la normatividad estatutaria se restringe a
regular el derecho al hábeas data predicable de los procesos de administración
de datos personales, por lo que resultaría contrario al principio de unidad de
materia la aplicación del Proyecto a todas los modalidades de información
personal. Sin embargo, en criterio de la Corte, este entendimiento del precepto
se funda en una comprensión descontextualizada del mismo. En efecto, a
partir de una interpretación sistemática de la disposición, basada en el
reconocimiento del carácter sectorial de la regulación estatutaria, es válido
concluir que la expresión analizada versa exclusivamente sobre la información
personal de contenido financiero, comercial, crediticia, de servicios y
proveniente de terceros países, definida en el literal j) del artículo 3º del
Proyecto de Ley. Así, conforme a esta comprobación, el precepto resulta
ajustado al citado principio.
3.6.2. Mientras que el principio de unidad de materia exige del Congreso un
criterio de racionalidad mínima en el proceso legislativo, tendiente a que cada
uno de los proyectos de ley regule asuntos que puedan agruparse en una
unidad temática, impidiéndose con ello la inclusión de tópicos del todo ajenos
al asunto objeto de discusión y votación, los principios de consecutividad e
identidad están dirigidos a que la iniciativa obtenga un grado de deliberación
democrática suficiente. Esto a fin que las normas jurídicas resultantes del
proceso legislativo sean legítima expresión de la voluntad de los congresistas,
en tanto titulares de la representación popular.
El principio de consecutividad del trámite legislativo se deriva de lo dispuesto
por el artículo 157 C.P., en el sentido que los proyectos de ley deben haber
sido discutidos y aprobados tanto en comisiones como en las plenarias de
ambas cámaras, previsión que la Corte ha denominado como la “regla de los
cuatro debates”. En este caso, la prescripción constitucional está dirigida a
toda iniciativa cumpla con todos los debates sucesivos en cada una de las
instancias del Congreso, con el objeto de garantizar que sea sometida a un
debate adecuado y suficiente.

Esta Corporación ha insistido en que el principio de consecutividad debe
comprenderse armónicamente con el principio de identidad flexible. En efecto,
de conformidad con lo señalado con el artículo 160 C.P., durante el segundo
debate cada cámara podrá introducir al proyecto las modificaciones, adiciones
y supresiones que juzgue necesarias. Tal posibilidad busca permitir al interior
de las plenarias sea posible someter al debate democrático las propuestas
aprobadas por las comisiones, de modo tal que la actividad de aquéllas no se
restrinja a la simple confirmación de lo decidido en el primer debate. Esta
previsión implica, además, una modificación cualitativa del régimen imperante
en la Constitución anterior, pues permite la flexibilización del trámite
legislativo, con el fin de obtener mayores niveles de deliberación y análisis de
los proyectos de ley, lo que redunda en la eficacia del principio democrático.
Como lo ha previsto la jurisprudencia, “(…) bajo el actual esquema
constitucional el mismo ha sido relativizado, en el sentido que por su
intermedio ya no se exige que el proyecto sea aprobado de manera idéntica en
todos los debates parlamentarios, es decir, que su contenido material deba
guardar estricta equivalencia durante el trasegar del trámite legislativo. (…)”[57]
De acuerdo con estos condicionamientos, el principio de identidad flexible
obliga a que si bien la iniciativa debe contar con los cuatro debates
reglamentarios, el texto no necesariamente debe ser idéntico en dicho trámite.
[58]
Sin embargo, tal posibilidad de modificación de los proyectos durante el
segundo debate está sometida a límites, estrechamente relacionados con la
preservación de la unidad temática de la iniciativa. En términos de la Corte,
el “concepto de identidad[59] comporta más bien que entre los distintos
contenidos normativos que se propongan respecto de un mismo artículo exista
la debida unidad temática[60]. Tal entendimiento permite que durante el
segundo debate los congresistas puedan introducir al proyecto las
modificaciones, adiciones y supresiones que consideren necesarias (art. 160
C.P.), siempre que durante el primer debate en la comisión constitucional
permanente se haya discutido y aprobado el tema a que se refiera la adición o
modificación[61]. Lo anterior implica darle preponderancia al principio de
consecutividad, en cuanto es factible conciliar las diferencias surgidas en el
debate parlamentario, sin afectar la esencia misma del proceso legislativo [62].
En efecto, la Carta autoriza la introducción de modificaciones o adiciones al
proyecto de ley durante el segundo debate de cada Cámara. En este sentido es
posible entonces que bajo la forma de adición o modificación se incluya un
artículo nuevo. La exigencia que el ordenamiento impone es que el tema
específico al que se refiera la modificación o adición haya sido debatido y
aprobado durante el primer debate. En ese orden de ideas, es claro que la
facultad de introducir modificaciones y adiciones se encuentra limitada pues
debe respetarse el principio de identidad, de forma tal que esos asuntos estén
estrechamente ligados a lo debatido y aprobado en comisiones [63].”[64]
En este sentido, el límite para inclusión de modificaciones por parte de las
plenarias es su unidad temática con los asuntos previamente debatidos. Por
ende, lo que recibe reproche constitucional es la introducción de temas
autónomos, nuevos y separables,[65] que no guarden relación con las materias

debatidas en instancias anteriores del trámite. La Corte ha fijado los criterios
materiales para determinar en qué caso se está ante la inclusión de un tema
nuevo. Al respecto, la jurisprudencia prevé que “(i) un artículo nuevo no
siempre corresponde a un asunto nuevo puesto que el artículo puede versar
sobre asuntos debatidos previamente;[66] (ii) no es asunto nuevo la adición que
desarrolla o precisa aspectos de la materia central tratada en el proyecto
siempre que la adición este comprendida dentro de lo previamente debatido;
[67]
(iii) la novedad de un asunto se aprecia a la luz del proyecto de ley en su
conjunto, no de un artículo específico; [68] (iv) no constituye asunto nuevo un
artículo propuesto por la Comisión de Conciliación que crea una fórmula
original para superar una discrepancia entre las Cámaras en torno a un tema.
[69]
En el ámbito de los actos legislativos, el concepto de asunto nuevo es más
amplio porque existe una relación estrecha entre distintos temas
constitucionales dadas las características de la Constitución de 1991. Así, se ha
admitido que la adición de un tema de orden orgánico y funcional-un artículo
sobre la participación del Ministerio Público en el nuevo sistema acusatorio–
guarda relación suficiente con un aspecto sustantivo-las garantías del
investigado o acusado en el proceso penal–.[70]”[71]
3.6.3. Analizado el trámite surtido por el Proyecto de Ley, se advierte que, en
líneas generales, la iniciativa conserva la estructura y los núcleos temáticos
puestos a consideración de la Comisión Primera del Senado de la República,
por lo que prima facie, no resultan violadas las normas constitucionales y
orgánicas que prevén los principios de consecutividad e identidad. Sin
embargo, el articulado sufrió modificaciones durante el trámite, las cuales
serán ilustradas por la Corte, a fin de demostrar su compatibilidad con los
principios mencionados. Igualmente, se hará un estudio separado del
cumplimiento de estas condiciones para el caso de los incisos 2º, 3º, 4º y 5º
del artículo 21, respecto de los cuales varios de los intervinientes han
sostenido que contradicen las normas aplicables al procedimiento legislativo.
Conforme a estas consideraciones metodológicas, las modificaciones realizadas
al articulado dentro del trámite fueron las siguientes:
3.6.3.1. El informe de ponencia para primer debate fue aprobado sin
modificaciones por parte de la Comisión Primera del Senado de la República.
3.6.3.2 En la plenaria del Senado, se discutieron y aprobaron modificaciones
marginales al Proyecto de Ley. Para una mejor ilustración, se trascribirán las
normas aprobadas por la Comisión Primera y por la Plenaria, subrayándose los
apartados modificados.
Disposición aprobada en Comisión
Primera del Senado.
Artículo 2º. Ámbito de
aplicación. La presente ley se aplica
a todos los
datos de información personal
registrados en un banco de datos,

Modificaciones aprobadas por la
plenaria del Senado.
Artículo 2º. Ambito de aplicación. La
presente ley se aplica a todos los
datos de información personal
registrados en un banco de datos, sean
estos

sean estos
administrados por entidades de
naturaleza pública o privada.
Esta ley se aplicará sin perjuicio de
normas especiales que disponen la
confidencialidad
o reserva de ciertos datos o
información registrada en bancos de
datos de naturaleza pública, para fines
estadísticos, de investigación o
sanción
de delitos o para garantizar el orden
público.
Se exceptúan de esta ley las bases de
datos que tienen por finalidad producir
la Inteligencia de Estado por parte del
Departamento Administrativo de
Seguridad, DAS, y de la Fuerza
Pública para garantizar la seguridad
nacional
interna y externa.
Igualmente, quedan excluidos de la
aplicación de la presente ley aquellos
datos mantenidos en un ámbito
exclusivamente personal o doméstico
y aquellos
que circulan internamente, esto es,
que no se suministran a otras
personas

administrados por entidades de
naturaleza pública o privada.
Esta ley se aplicará sin perjuicio de
normas especiales que disponen la
confidencialidad
o reserva de ciertos datos o información
registrada en bancos de
datos de naturaleza pública, para fines
estadísticos, de investigación o sanción
de delitos o para garantizar el orden
público.
Se exceptúan de esta ley las bases de
datos que tienen por finalidad producir
la Inteligencia de Estado por parte del
Departamento Administrativo de
Seguridad, DAS, y de la Fuerza Pública
para garantizar la seguridad nacional
interna y externa.
Los registros públicos a cargo de las
cámaras de comercio se regirán
exclusivamente
por las normas y principios consagrados
en las normas especiales
que las regulan.
Igualmente, quedan excluidos de la
aplicación de la presente ley aquellos
datos mantenidos en un ámbito
exclusivamente personal o doméstico y
aquellos
que circulan internamente, esto es, que
no se suministran a otras personas
Artículo
4º
Principios
de
la
administración de datos.
(…)
d) Principio de temporalidad de la
información: La información del titular
no podrá ser suministrada a usuarios o
terceros cuando deje de servir para la
finalidad del banco de datos.
(…).

Artículo 4º Principios de la
(…)
d) Principio de temporalidad de la
información: La información del titular
no podrá ser suministrada a usuarios
o terceros cuando deje de servir para
la
finalidad del banco de datos. Se
prohíbe la circulación o suministro de
los
datos después que han desaparecido
las causas que justificaron su acopio y
administración;
(…).
Artículo 10. Definición. Para todos Artículo 10. Definición. Para todos los

los efectos de la presente ley se
entenderá
por información financiera y crediticia,
comercial o de servicios, aquella
referida al nacimiento, ejecución y
extinción de obligaciones dinerarias,
independientemente
de la naturaleza del contrato que les
dé origen.
Artículo 11. Principio de
favorecimiento de una actividad
de interés público
(…)
Parágrafo 2º. La petición o consulta
por parte de los titulares de la
información,
así como la actualización y corrección
de los datos errados, incompletos
o desactualizados será gratuita.

Artículo 13. Requisitos especiales
para fuentes. Las fuentes deberán
actualizar
mensualmente
la
información
suministrada al operador, sin perjuicio
de
lo dispuesto en el Título III de la
presente ley.
El reporte de información negativa
sobre incumplimiento de obligaciones
de cualquier naturaleza, que hagan las
fuentes
de
información
a
los
operadores
de bancos de datos de información
financiera y crediticia, sólo procederá
previa comunicación al titular de la
información, con el fin de que este
pueda
demostrar o efectuar el pago de la
obligación, así como controvertir
aspectos
tales como el monto de la obligación o
cuota y la fecha de exigibilidad. Dicha

efectos de la presente ley se entenderá
por información financiera y crediticia,
comercial o de servicios, aquella
referida al nacimiento, ejecución y
extinción de obligaciones dinerarias,
independientemente
de la naturaleza del contrato que les dé
origen, así como la información relativa
a las demás actividades propias del
sector financiero.
Artículo 11. Principio de
favorecimiento de una actividad de
interés público
(…)
Parágrafo 2°. La consulta de información
financiera y crediticia por parte
del titular será gratuita por lo menos
una vez al año, o cuando un usuario
hubiere
consultado el registro en el curso de una
solicitud de crédito en los últimos
treinta (30) días. Las políticas o
manuales internos del operador
desarrollarán
la presente disposición.
Artículo 13. Requisitos especiales
para fuentes. Las fuentes deberán
actualizar
mensualmente
la
información
suministrada al operador, sin perjuicio
de
lo dispuesto en el Título III de la
presente ley.
El reporte de información negativa sobre
incumplimiento de obligaciones
de cualquier naturaleza, que hagan las
fuentes de información a los operadores
de bancos de datos de información
financiera y crediticia, sólo procederá
previa comunicación al titular de la
información, con el fin de que este
pueda
demostrar o efectuar el pago de la
obligación,
así
como
controvertir
aspectos
tales como el monto de la obligación o
cuota y la fecha de exigibilidad. Dicha
comunicación podrá incluirse en los

comunicación podrá incluirse en los
extractos periódicos que las fuentes
de
información envíen a sus clientes.
En todo caso, las fuentes de
información podrán efectuar el reporte
de la
información transcurridos diez (10)
días calendario siguientes a la fecha
de
envío de la comunicación en la última
dirección de domicilio del afectado que
se encuentre registrada en los
archivos
de
la
fuente
de
la
información y sin
perjuicio, si es del caso, de dar
cumplimiento a la obligación de
informar al
operador, que la información se
encuentra en discusión por parte de
su titular,
cuando se haya presentado solicitud
de rectificación o actualización y esta
aún
Artículo 14. Permanencia de la
información.
La información de carácter
positivo podrá permanecer de manera
indefinida en los bancos de datos de
los
(…).
Artículo 15. Contenido de la
información.
(…)
Parágrafo 3º. Cuando un operador
consulte el estado de un usuario en
las
bases de datos de información
financiera y crediticia, estas tendrán
que dar
información exacta sobre su estado
actual, es decir, dar un reporte
positivo de
los usuarios que en el momento de la
consulta están al día en sus
obligaciones

extractos periódicos que las fuentes de
información envíen a sus clientes.
En todo caso, las fuentes de información
podrán efectuar el reporte de la
información
transcurridos veinte
(20)días calendario siguientes a la fecha
de
envío de la comunicación en la última
dirección de domicilio del afectado que
se encuentre registrada en los archivos
de la fuente de la información y sin
perjuicio, si es del caso, de dar
cumplimiento a la obligación de informar
al
operador,
que
la
información
se
encuentra en discusión por parte de su
titular,
cuando se haya presentado solicitud de
rectificación o actualización y esta aún

información.
La información de carácter
positivo permanecerá de
manera
indefinida en los bancos de datos de los
(…).
Artículo
15.
Contenido
de
la
información.
(…)
Parágrafo
3°.
Cuando
un usuarioconsulte el estado de un
titular en las
bases de datos de información financiera
y crediticia, estas tendrán que dar
información exacta sobre su estado
actual, es decir, dar un reporte positivo
de
los usuarios que en el momento de la
consulta están al día en sus obligaciones
y uno negativo de los que al momento
de la consulta se encuentren en mora en

y uno negativo de los que al momento
de la consulta se encuentren en mora
en
una cuota u obligaciones.
El resto de la información contenida
en la base de datos financiera y
crediticia
comercial o de servicios hará parte del
historial crediticio de cada usuario.
(…).

una cuota u obligaciones.
El resto de la información contenida en
la base de datos financiera y crediticia
comercial o de servicios hará parte del
historial crediticio de cada usuario,
el cual podrá ser consultado por el
usuario, siempre y cuando hubiese sido
informado sobre el estado actual.
(…).

La Corte advierte que estas previsiones son compatibles con el alcance de la
facultad que tienen las plenarias de realizar modificaciones al texto aprobado
por las comisiones, en los términos previstos en los artículos 160 C.P. y 178 de
la Ley 5ª de 1992. Nótese que los cambios propuestos no incorporan temas
nuevos, sino que simplemente constituyen fórmulas alternativas, correcciones
de redacción o adiciones a las materias previamente debatidas en la comisión.
3.6.3.3. Un grupo significativo de modificaciones al Proyecto de Ley aprobado
por la plenaria del Senado, que incidieron en la determinación del texto
definitivo, fueron incorporadas por la Comisión Primera de la Cámara de
Representantes. Algunos de ellos estuvieron dirigidos a aspectos meramente
formales, relativos a (i) modificar la expresión“información financiera y
crediticia” contenida en los artículos 11, 12, 13,15,18 y 19 del texto aprobado
por el Senado, por “información financiera, crediticia, comercial y servicios”, a
fin de otorgar coherencia al título, el articulado y el ámbito de aplicación del
proyecto; y (ii) identificar al artículo 20 (anterior artículo 21) como “Régimen
de Transición para las Entidades de Control” A dichos cambios se agregaron los
siguientes, subrayándose lo modificado o adicionado:
Texto aprobado por la plenaria del Texto aprobado por la Comisión
Senado.[72]
Primera
de
la
Cámara
de
Representantes.
Artículo 3º. Definiciones.
Artículo 3º. Definiciones.
(…).
Literal adicionado:
i) Agencia de Información Comercial: Es
toda empresa legalmente constituida
que tenga como actividad principal la
recolección, validación y procesamiento
de información comercial sobre las
empresas
y
comerciantes
específicamente solicitadas por sus
clientes, entendiéndose por información
comercial aquella información histórica y
actual relativa a la situación financiera,
patrimonial, de mercado, administrativa,
operativa, sobre el cumplimiento de
obligaciones
y
demás
información

relevante para analizar la situación
integral de una empresa. Para los
efectos de la presente ley, las agencias
de
información
comercial
son
operadores de información y fuentes de
información.
Parágrafo. A las agencias de información
comercial, así como a sus fuentes o
usuarios, según sea el caso, no se
aplicarán las siguientes disposiciones de
la presente ley: Numerales 2 y 6 del
artículo 8°, artículo 13 y artículo 15;
Artículo
5º
Circulación
de
la
información.
(…).
f) A otros operadores de datos, cuando
se cuente con autorización
del titular, o cuando sin ser necesaria la
autorización del titular el banco
de datos de destino tenga la misma
finalidad o una finalidad que comprenda
la que tiene el operador que entrega los
datos. Si el receptor de la información
fuere un banco de datos extranjero, la
entrega sin autorización del titular sólo
podrá realizarse dejando constancia
escrita de la entrega de la información y
previa verificación por parte del
operador de que las leyes del país
respectivo o el receptor otorgan
garantías suficientespara la protección
de los
derechos del titular;

Artículo 5º Circulación de la
información.
(…).
f) A otros operadores de datos,
cuando se cuente con autorización
del titular, o cuando sin ser necesaria
la autorización del titular el banco
de datos de destino tenga la misma
finalidad
o
una
finalidad
que
comprenda
la que tiene el operador que entrega
los datos. Si el receptor de
la información fuere un banco de
datos extranjero, la entrega sin
autorización
del titular sólo podrá realizarse
dejando constancia escrita de la
entrega de la información y previa
verificación por parte del operador
de que las leyes del país respectivo o
el receptor otorgan garantías análogas
a las que se establecen en la presente
ley para la protección de los
derechos del titular;
(…)
Parágrafo. La Superintendencia de
Parágrafo eliminado
Industria y Comercio podrá establecer
una lista de países cuya normatividad
no ofrece garantías análogas a las que
se establecen en la presente ley, caso
en el cual la entrega de datos a un
banco localizado en dichos países solo
podrá realizarse con autorización del
titular.
Artículo 10. Definición
Elimina nominalmente el artículo 10

Para todos los efectos de la presente
ley se
entenderá por información financiera
y crediticia, aquella referida al
nacimiento, ejecución y extinción de
obligaciones
dinerarias,
independientemente
de la naturaleza del contrato que les
dé origen, así como la
información relativa a las demás
actividades
propias
del
sector
financiero.

y traslada su contenido al artículo
3º
del
Proyecto,
relativo
a
definiciones, como un literal nuevo:
j) Información financiera, crediticia,
comercial, de servicios y la proveniente
de terceros países.

Artículo
11.
Principio
de
favorecimiento a una actividad de
interés público.
(…)
Parágrafo 2°. La consulta de
información financiera y crediticia por
parte del titular será gratuita por lo
menos una vez al año, o cuando un
usuario hubiere consultado el registro
en el curso de una solicitud de crédito
en los últimos treinta (30) días. Las
políticas o manuales internos del
operador desarrollarán la presente
disposición.
información.
La información de carácter positivo
permanecerá de manera indefinida en
los bancos de datos de los operadores
de información.

Artículo 10. (Anterior artículo 11).
Principio de favorecimiento a una
actividad de interés público.
(…)
Parágrafo 2°. La consulta de información
financiera y crediticia por parte del
titular será gratuita por lo menos una
vez al año, o cada vez que el titular de
la información, se le haya negado una
solicitud de crédito. Las políticas o
manuales internos del operador
desarrollarán la presente disposición.

Los datos cuyo contenido haga
referencia al tiempo de mora, tipo de
cobro, estado de la cartera, y en
general, aquellos datos referentes a
una situación de incumplimiento de
obligaciones, se regirán por un
término
máximo de permanencia, vencido el

Los datos cuyo contenido haga
referencia al tiempo de mora, tipo de
cobro, estado de la cartera, y en
general, aquellos datos referentes a una
situación de incumplimiento de
obligaciones, se regirán por un término
máximo de permanencia, vencido el cual
deberá ser retirada de los bancos de

Para todos los efectos de la presente ley
se entenderá por información financiera,
crediticia, comercial y de servicios,
aquella referida al nacimiento, ejecución
y extinción de obligaciones dinerarias,
independientemente de la naturaleza del
contrato que les dé origen, así como la
información relativa a las demás
actividades propias del sector
financieroo sobre el manejo financiero o
los estados financieros del titular.

Artículo 13. (Anterior artículo 14)
Permanencia de la información.
La información de carácter positivo
permanecerá de manera indefinida en
los bancos de datos de los operadores
de información.

cual deberá ser retirada de los bancos
de datos por el operador, de forma
que los usuarios no puedan acceder o
consultar dicha información. El
término de permanencia de esta
información será de cinco (5) años
contados a partir de la fecha en que
sean pagadas las cuotas vencidas o
Artículo 16. Acceso a la
información por parte de los
usuarios.
La información contenida en bancos
de datos de información financiera,
crediticia comercial de servicios podrá
ser accedida por los usuarios
únicamente con las siguientes
finalidades:

datos por el operador, de forma que los
usuarios no puedan acceder o consultar
dicha información. El término de
permanencia de esta información será
decuatro (4) años contados a partir de
la fecha en que sean pagadas las cuotas
vencidas o sea pagada la obligación
vencida.
Artículo 15 (anterior artículo 16).
Acceso a la información por parte de
los usuarios.
La información contenida en bancos de
datos de información financiera,
crediticia comercial de servicios podrá
ser accedida por los usuarios
únicamente con las siguientes
finalidades:

Como elemento de análisis para
Como elemento de análisis para
establecer y mantener una relación
establecer y mantener una relación
contractual, cualquiera que sea su
contractual, cualquiera que sea su
naturaleza, así como para la
naturaleza, así como para la evaluación
evaluación de los riesgos derivados de de los riesgos derivados de una relación
una relación contractual vigente;
contractual vigente;
Para el adelantamiento de cualquier
Como elemento de análisis para hacer
trámite ante una autoridad pública o
estudios de mercado o investigaciones
una persona privada, respecto del cual comerciales o estadísticas.
dicha información resulte pertinente;
Para el adelantamiento de cualquier
Para cualquier otra finalidad, diferente trámite ante una autoridad pública o una
de las anteriores, respecto de la cual y persona privada, respecto del cual dicha
en forma general o para cada caso
información resulte pertinente;
particular se haya obtenido
autorización por parte del titular de la Para cualquier otra finalidad, diferente
información.
de las anteriores, respecto de la cual y
en forma general o para cada caso
particular se haya obtenido autorización
por parte del titular de la información.
Artículo 17. Peticiones consultas y Artículo 16 (Anterior artículo 17)
reclamos.
Adiciona el siguiente numeral
(…).
6. Sin perjuicio del ejercicio de la acción
de tutela para amparar el derecho
fundamental del Hábeas Data, en caso
que el titular no se encuentre satisfecho
con la respuesta a la petición, podrá
recurrir
al
proceso
judicial

correspondiente dentro de los términos
legales pertinentes para debatir lo
relacionado con la obligación reportada
como incumplida. La demanda deberá
ser interpuesta contra la fuente de la
información la cual, una vez notificada
de la misma, procederá a informar al
operador dentro de los dos (2) días
hábiles siguientes, de forma que se
pueda dar cumplimiento a la obligación
de
incluir
la
leyenda
que
diga
“información en discusión judicial” y la
naturaleza de la misma dentro del
registro individual, lo cual deberá hacer
el operador dentro de los dos (2) días
hábiles siguientes a haber recibido la
información de la fuente y por todo el
tiempo que tome obtener un fallo en
firme. Igual
procedimiento
deberá
seguirse en caso que la fuente inicie un
proceso judicial contra el titular de la
información, referente a la obligación
reportada como incumplida, y este
proponga excepciones de mérito.
Artículo 22. Régimen de transición Artículo 21 (anterior artículo 22).
Para el cumplimiento de las
Régimen de transición
disposiciones
Para
el
cumplimiento
de
las
contenidas en la presente ley, las
disposiciones contenidas en la presente
personas que, a la fecha de su
ley, las personas que, a la fecha de su
entrada en vigencia ejerzan alguna de entrada en vigencia ejerzan alguna de
las actividades aquí reguladas,
las actividades aquí reguladas, tendrán
tendrán un plazo de hasta seis (6)
un plazo de hasta seis (6) meses para
meses para adecuar su
adecuar su funcionamiento a las
funcionamiento a las disposiciones de disposiciones de la presente ley.
la presente ley.
Los titulares de la información que a la
entrada en vigencia de esta ley
estuvieren al día en sus obligaciones
objeto de reporte, y cuya información
negativa hubiere permanecido en los
bancos de datos por lo menos un año
contado a partir de la cancelación de las
obligaciones, serán beneficiarios de la
caducidad inmediata de la información
negativa.
A su vez, los titulares de la información
que se encuentren al día en sus

obligaciones objeto de reporte, pero
cuya información negativa no hubiere
permanecido en los bancos de datos al
menos un año después de canceladas
las obligaciones, permanecerán con
dicha información negativa por el tiempo
que les hiciere falta para cumplir el año,
contado a partir de la cancelación de las
obligaciones.
Los titulares de la información que
cancelen sus obligaciones objeto de
reporte dentro de los seis (6) meses
siguientes a la entrada en vigencia de la
presente ley, permanecerán con dicha
información negativa en los bancos de
datos por el término de un (1) año,
contado a partir de la fecha de
cancelación
de
tales
obligaciones.
Cumplido este plazo de un (1) año, el
dato negativo deberá ser retirado
automáticamente de los bancos de
datos.
El beneficio previsto en este artículo se
perderá en caso que el titular de la
información incurra nuevamente en
mora, evento en el cual su reporte
reflejará nuevamente la totalidad de los
incumplimientos
pasados,
en
los
términos previstos en el artículo 13 de
esta ley.
3.6.3.4. En lo que tiene que ver con la aprobación del Proyecto de Ley por la
plenaria de la Cámara de Representantes, la Corte observa que en el trámite
subsanatorio se puso a consideración de esa corporación el informe de
ponencia presentado durante el procedimiento original, contenido en la Gaceta
del Congreso 189 del 17 de mayo de 2007.
En esta etapa del procedimiento legislativo se aprobaron modificaciones al
Proyecto en el sentido de agregar a la expresión “información financiera,
crediticia, comercial y de servicios”, contenida en el título y distintos artículos
de la iniciativa, la frase “y la proveniente de terceros países”. Ello, en los
términos del informe de ponencia para segundo debate, con el fin de “hacer
mención expresa a este tipo de información y facilitar la circulación
internacional de datos”. Sobre este particular debe la Corte advertir, de
antemano, que esta modificación está sustentada en el hecho que desde la
versión original del articulado, contenido en el informe de ponencia para primer

debate en el Senado de la República, se presentó una cláusula relacionada con
la circulación de información entre bases de datos nacionales y extranjeras.
[73]
Así, no se está ante la inclusión de un tema nuevo, sino ante un simple
cambio de redacción de algunos artículos, destinada a otorgarle unidad de
sentido a asuntos que habían sido planteados desde el inicio del trámite
legislativo. Por lo tanto, la modificación en comento es compatible con los
principios de consecutividad e identidad.
Del mismo modo, en la sesión plenaria derivada del trámite subsanatorio se
repitió la aprobación de dos proposiciones aceptadas por la Cámara de
Representantes en la misma instancia del procedimiento original. La primera
de ellas destinada a modificar el parágrafo del literal i) del artículo 3º,
relacionado con la definición de agencia de información comercial, aprobándose
el texto que corresponde a la versión definitiva del proyecto. La segunda, tuvo
que ver con la modificación del parágrafo 2º del artículo 10, en el sentido que
la consulta de la información por parte del titular siempre fuera gratuita.
3.6.3.5. Por último, la Sala advierte que la comisión accidental de conciliación
puso a consideración de las plenarias de Senado y Cámara de Representantes
un texto idéntico al aprobado en segundo debate en Cámara, con excepción
del citado parágrafo 2º del artículo 10, en el cual se adoptó una fórmula
distinta, a fin de salvar la discrepancia con el texto aprobado por la plenaria del
Senado que, como se expresó, disponía la consulta gratuita de información por
parte del titular por una vez al año o cuando un usuario hubiere consultado el
registro en el curso de una solicitud de crédito en los últimos treinta días.
El texto conciliado fue aprobado en su integridad por ambas cámaras, de modo
que corresponde a la iniciativa sometida a control de constitucionalidad en esta
sentencia.
3.6.4. Del anterior recuento sobre el procedimiento legislativo la Corte advierte
que las modificaciones, adiciones y supresiones efectuadas al articulado son
compatibles con los principios de identidad y consecutividad. En efecto, estos
cambios no involucraron temas nuevos, no discutidos desde el inicio del
trámite, sino que se limitaron a ampliar asuntos anteriormente debatidos, en
tanto hacían parte del núcleo temático que se puso a consideración del
Congreso desde el informe de ponencia para primer debate en el Senado de la
República. Finalmente, la actividad de la comisión accidental de conciliación se
concentró en plantear un texto enteramente conexo a las materias tratadas
por las plenarias, sin que se evidencie que hayan incorporados asuntos que no
fueron tratados por las plenarias del Senado y de la Cámara.
No obstante, la Sala considera pertinente hacer algunas precisiones sobre dos
de las modificaciones efectuadas por la Comisión Primera de la Cámara de
Representantes que pudieren suscitar controversia, en tanto toman la forma de
asuntos que, en apariencia, serían temas nuevos y, por ende, incompatibles
con los principios de consecutividad e identidad.

3.6.4.1. El primero de ellos está relacionado con la inclusión de un nuevo literal
i) al artículo 3º junto con su parágrafo, normas relacionadas a la definición de
agencia de información comercial y la exclusión de algunas de las
responsabilidades predicables a las fuentes y operadores de información. Este
tópico particular no fue incluido durante el debate en el Senado de la
República, por lo que podría argumentarse que afecta los principios base de
análisis en este apartado.
La legitimidad de esta inclusión debe analizarse, como se indicó en la
sección 3.6.2. de esta decisión, a la luz de la temática del proyecto de ley en
su conjunto y no de un artículo específico. Fundada en esta precisión
jurisprudencial, la Corte advierte, en primer lugar, que el tema de la definición
de los sujetos involucrados en la administración de datos personales fue un
tema que permaneció vigente en cada una de las etapas legislativas. Así,
desde el debate en la Comisión Primera del Senado de la República el Proyecto
de Ley ofreció definiciones de titular de la información, fuente de la
información, operador y usuario de la misma, a la vez que determinó los
derechos, deberes y requisitos aplicables a cada uno de ellos.
En esta perspectiva, la inclusión de la definición de agencia de información
comercial, en criterio de la Corte, no se aparta de esta temática específica, en
tanto lo que pretende es identificar un actor relacionado con la administración
de datos personales, que si bien tenía algunas de las competencias propias de
las fuentes y operadores de información, divergía en otros aspectos de éstos,
razón por la cual debía ser regulado de manera separada, aunque sin que
pudiera predicarse del mismo una autonomía normativa propia, en tanto hace
parte inescindible de la temática específica de la definición de los sujetos
relacionados con la administración de datos personales. Debe insistirse en que
la naturaleza del principio de identidad es flexible, a fin que no resulte
desvirtuado la facultad que la Constitución reconoce a las plenarias de
incorporar modificaciones al texto aprobado en comisiones. Así, con base en
ese criterio de flexibilidad y advertida la conexidad entre la definición de
agencia de información comercial y el tema específico de la definición de los
demás sujetos involucrados en la protección del derecho fundamental al
hábeas data, la Corte concluye que la norma objeto de examen es compatible
con los principios de identidad y consecutividad.
3.6.4.2. La segunda modificación que requiere un análisis separado está
relacionado con la inclusión en la Comisión Primera de la Cámara de
Representantes de los incisos 2º, 3º, 4º y 5º al artículo 21 del Proyecto de Ley,
relativo al régimen de transición.
Varios de los intervinientes sostienen que estas normas, que en su criterio
establecen un grupo de beneficios en cuanto a la caducidad inmediata del dato
financiero sobre incumplimiento en el pago, sólo fueron incorporadas al trámite
legislativo en el primer debate en la Cámara de Representantes, inclusión
indebida en tanto ese asunto particular no fue debatido ni en la Comisión
Primera del Senado ni en plenaria de esa corporación. Por ende, se trataba de

un tópico incompatible con los principios de identidad y consecutividad, puesto
que no fue objeto de deliberación y aprobación durante los cuatro debates a
los que refiere el artículo 157 C.P. Esta omisión, igualmente, no podía ser
convalidada por la aprobación por parte de la plenaria del Senado del informe
de la comisión accidental de conciliación-que incluía los apartados censurados-,
puesto que la competencia de esa célula legislativa se restringe a los asuntos
debidamente discutidos y aprobados por ambas plenarias.
Sobre esta discusión, la Sala advierte, en primera instancia, que el Proyecto de
Ley objeto de análisis es producto de dos iniciativas acumuladas: el proyecto
de ley 027/06 Senado, 221/07 Cámara y el proyecto de ley 05/06 Senado.
Para efectos de resolver la controversia planteada, es importante transcribir el
contenido de esta última iniciativa, publicada en la Gaceta del Congreso 243 de
2006.
“PROYECTO DE LEY NÚMERO 05 DE 2006 SENADO
por la cual se reglamenta el hábeas data y el derecho de
petición ante
entidades financieras, bancarias y centrales o bancos de
datos.
El Congreso de Colombia
DECRETA:
Artículo 1°. Los bancos de datos de los deudores de las empresas
comerciales, industriales y de servicios y del sector financiero, y/o
bancario borrarán la información negativa máximo a los 10 días
siguientes al cumplimiento en el pago de las obligaciones en mora
por el deudor.
Las empresas industriales, comerciales y de servicios y las
financieras y/o bancarias deberán reportar, dentro de los cinco días
siguientes, a las centrales de información a las cuales están afiliadas
el pago de la obligación respectiva.
Artículo 2°. Las entidades del sector financiero y/o bancario y las
centrales o bancos de datos deberán de conformidad y con el
procedimiento y los términos de la Ley 57 de 1985 y del Código
Contencioso Administrativo, responder los derechos de petición de
información y documentación de los usuarios de sus servicios.
Esta obligación de responder el derecho de petición como organismo
particular solo será para la solicitud personal o empresarial del titular
del respectivo contrato bancario o financiero.
Artículo 3°. La Superintendencia Financiera para las entidades
financieras y/o bancarias y la Superintendencia de Industria y

Comercio para las Empresas Industriales, Comerciales y de Servicios,
velarán por el cumplimiento de esta ley.
Artículo 4°. La presente ley rige a partir de la fecha de su
promulgación y deroga las disposiciones que le sean contrarias.
Congresistas Autores:
Senador Rubén Darío Quintero Villada; Representante a la Cámara
Omar Flórez Vélez; honorable Senador Mario Londoño, Juan Carlos
Restrepo y Luis Carlos Torres.
EXPOSICION DE MOTIVOS
En esta ley pretendemos desarrollar dos derechos fundamentales, el
del artículo 15 de la Constitución Nacional, como derecho al buen
nombre y el artículo 23, el derecho de petición de información, que la
Constitución permite reglamentar ante entidades privadas y en este
Proyecto solo lo hacemos para el sector financiero y/o bancario y los
bancos de datos (ya habíamos presentado otro Proyecto de ley para
regular el derecho de petición ante organizaciones privadas en
general).
En 1999 habíamos sido autores del artículo 114 de la Ley 510, que
regulaba el Hábeas Data para los datos del sector financiero y
crediticio, decretando una caducidad y buscando que las personas
que se colocaran al día en sus obligaciones eran sacadas de la
llamada “Lista Negra”. Esta ley y en especial este artículo estuvo
vigente por varios meses hasta que la Corte Constitucional lo declaró
inexequible, al tramitarse como ley Ordinaria, siendo una ley
Estatutaria.
Hoy estamos corrigiendo este vicio procedimental y pretendemos
tramitar esta ley como Estatutaria y poner fin a esta especie de
“justicia privada” que hoy ejerce las centrales o bases o bancos de
datos y su pena o sanción es aleatoria, depende de cada organismo
privado. Dice la Corte Constitucional “las informaciones negativas
acerca de una persona no tienen vocación de perennidad”.
Si el artículo 15 de Nuestra Carta Magna, busca proteger el derecho
al buen nombre, no es lógico que una persona después de hacer un
gran esfuerzo para cumplir sus obligaciones en mora, siga por meses
y años en las llamadas “Listas negras”, decretándose así una “muerte
comercial”, porque no puede realizar ninguna otra operación
comercial, por ejemplo, por el no pago de una cuenta de un celular,
no podría adquirir un crédito financiero.

Aquí pretendemos reconocer el derecho que consagra el artículo 15
Constitucional, como derecho de las personas a acceder a la
información relativa a ellas contenida en tales archivos, a rectificarla
y especialmente actualizarla.
Adicionalmente, también pretendemos desarrollar otro derecho
fundamental, como es el de Petición, que hoy está consagrado para
las entidades públicas y las empresas de servicios públicos y de
salud, hacerlo extensivo ante los organismos privados, especialmente
para las entidades financieras o bancarias y los bancos de datos,
como permite la Norma Constitucional y hacer aplicable para ellos los
procedimientos y términos de la ley 57/85 y del Código Contencioso
Administrativo en las solicitudes de información sobre las cuentas o
servicios del titular del contrato bancario o financiero.”
En segundo término, debe señalarse que aunque el texto propuesto en el
proyecto de ley 05/06 Senado no fue incorporado en la ponencia para primer
debate en el Senado de la República, en la discusión de la iniciativa en esa
corporación, uno de los temas debatidos fue el de la posibilidad que la ley
estatutaria de hábeas data contuviera cláusulas que prescribieran la caducidad
inmediata de la información financiera sobre incumplimiento, cumplidas
determinadas condiciones. Ello, como lo reconoce la exposición de motivos
antes transcrita, con el fin de reincorporar la ordenamiento jurídico
disposiciones declaradas inexequibles por la Corte, en razón de la violación de
la reserva de ley estatutaria, que prescribían fórmulas de caducidad de ese
tenor. Sobre este preciso particular, en la Gaceta 694 del 22 de diciembre de
2006, contentiva de la sesión en que se discutió y aprobó el Proyecto de Ley
en primer debate del Senado, se señaló:
"La Presidencia: abre la discusión del articulado con la modificación
formulada.
Concede el uso de la palabra al honorable Senador Héctor Helí
Rojas Jiménez:
(…)
Es decir el proyecto sí es muy importante como para darle un
pupitrazo y no explicarle a la gente qué vamos a hacer, el segundo
aspecto Senador García, es el tema de la permanencia de la
información negativa en los bancos de datos y ahí sí que hemos
tenido unos debates pero muy profundos porque entre otras cosas
ese tema ya fue tratado en la Corte Constitucional en una sentencia,
por qué se hundió este proyecto la última vez Senador Velasco,
porque nuestro amigo el doctor Víctor Renán Barco en la plenaria
dijo, el que paga va siendo borrado, la información negativa no
puede permanecer y se hundió el proyecto, porque los estudios
internacionales, los estándares internacionales han demostrado que
el dato negativo, tiene que permanecer por lo menos, en promedio
siete años para que no se afecten los temas de los créditos en el

sector financiero, si no permanece el dato negativo, no tienen mucho
sentido el hábeas data, regulado como lo hemos venido proponiendo,
y ahí tenemos grandes enfrentamientos y ahí tenemos grandes
dificultades, obviamente yo patrocino este proyecto, y lo voy a votar,
he hablado con el Senador Velasco que tan interesado ha estado en
esto y me he reunido con el Ministro de Hacienda, que el año pasado
tenían otro proyecto bastante parecido al del Senador Velasco,
porque en esto tampoco (…). Necesitamos es explicarle a la gente,
qué va a pasar con esos grandes temas de la permanencia del dato
negativo, de las instituciones financieras y del manejo de la base de
datos, de los servicios públicos, será bueno regular lo mismo el
Hábeas Data en los servicios públicos que en el sector financiero.
(…).
Recobra el uso de la palabra el honorable Senado Luis
Fernando Velasco Chávez
(…)
Por eso cuando yo me senté con usted, hacer el proyecto, porque
usted es el autor y cuando uno es autor, evidentemente uno conoce
qué tiene el proyecto, debatimos esos temas y por eso yo como
compañero, como colega, pero especialmente como humilde
discípulo de un buen maestro, le digo ¡hombre! recogimos
absolutamente todas sus ideas, lo que pasa es que es maestro en
política, usted es en derecho.
Recogimos las ideas para desarrollarlas en el proyecto, cuatro
elementos y con esto cierro la explicación que me parece centrales,
primero, los ciudadanos que estando en mora se pongan al día, salen
de los reportes negativos de las llamadas listas negras, del sistema
financiero y obtienen inmediatamente un reporte positivo.
(…).
La Presidencia concede el uso de la palabra al honorable
Senador Rubén Darío Quintero Villada.
(…)
Finalmente señor Presidente, para colaborar porque yo creo que en
este tema con algunos ajustes hay un consenso en aprobar este
artículo, esta ley, perdón, que hemos acumulado del Proyecto 027
con el nuestro 05, quiero simplemente decirles que la propuesta
nuestra el 05 era muy sencilla, tenía y en la práctica dos artículos y
que tengo que reconocer doctor Velasco, tengo que reconocer que el
gobierno y ustedes en la otra ponencia 027 hiciera una
reglamentación muy exitosa de todo este derecho fundamental.
La propuesta nuestra que se ha acumulado y que con alguna
observación que ha hecho el Senador Héctor Helí Rojas, la hemos
modificado en la ponencia, tenía dos artículos, simplemente la
propuesta nuestra, eran los mismos de la Ley 510.
El primer artículo que es el fundamental, es el que dice que la
persona una vez se coloque a paz y salvo, sale inmediatamente de la

denominada lista negra que a muchos no les gusta ese término y
sobre todo del sector financiero, pero que es la realidad y la llamada
lista negra del hábeas data.
Nosotros no distinguíamos desde aquella época, si la actividad era
financiera, creo que en eso pudimos progresar mucho en el proyecto
de ley acumulado, porque no solamente regulamos la actividad
financiera, porque todo mundo al principio pensaba que el hábeas
data era para aplicar no solamente al sector financiero, no. Como
bien lo explicaban ahora, en esta ley perdón, vamos a regular el
hábeas data, no solamente para el sector financiero para quien tiene
un crédito con una entidad financiera, y ese crédito no lo puede
pagar de manera oportuna, también regulamos el hábeas data para
el sector comercial y de servicios, cuántas familias de los sectores
populares de nuestro país tienen que, yo diría que la gran mayoría
sacar a crédito por ejemplo sus electrodomésticos y
en cualquier momento tienen que incurrir en faltar a pagar una cuota
o dos cuotas y con eso ya quedan en la lista negra.
(…)
Entonces aquí lo que estamos regulando es que si está bien el
hábeas data, la lista negra opere cuando uno esta en deuda, pero
después de que se ponga a paz y salvo, tiene que salir de esa lista
negra. En eso era la propuesta nuestra inicial, y con el Senador
Héctor Helí Rojas, llegamos más que por deseo nuestro, porque yo
sé que el doctor Héctor Helí tenía el mismo deseo nuestro, que
salieron automáticamente, o sea fueran borrados todos los datos,
más que por esa consideración, por las consideraciones de las
decisiones de la Corte Constitucional sobre este tema, entonces
regulamos que la persona una vez salga de la lista negra que es el
tema que yo quiero dejársela ahora al doctor Héctor Helí que fue
diría yo la solución intermedia, pues pueda quedar con el paz y
salvo, que es lo más importante, a mí que me importa que siga
reportando en el Banco X que yo de pronto no pague
oportunamente, pero sí voy a conseguir de pronto un
electrodoméstico sí me importa que salga la lista negra y me digan
que estoy a paz y salvo hasta ese día, hasta esa fecha con las
sanciones que sino lo hacen bien explicaba ahora el doctor Velasco y
seguramente lo hará también el doctor Oscar Darío Pérez a extenso.
(…).
La Presidencia concede el uso de la palabra al honorable
Senador Gustavo Petro Urrego:
Presidente. Yo quisiera una respuesta del Viceministro de Hacienda
sobre este particular. Ministro en este momento supongo yo. Está
como Ministra delegada aquí en la Plenaria supongo. Porque en
relación a este tema ya había una instancia judicial, el Consejo
Superior de la Judicatura por allá en una sentencia del año 2002,
supongo sentencia de tutela, ya había dicho que el hábeas data en lo

que se refiere a los datos negativos en el sector financiero tenían
caducidad inmediata. Es decir; que tenían una vez el usuario pagara
la obligación, tenían que ser suspendidas de las bases de datos.
Y yo no he entendido muy bien por qué a pesar de esa sentencia que
fue de tutela, año 2002, pareciera que no hubiera existido una
sentencia y las entidades que guardan este tipo de datos
particulares, no borran de sus datos el usuario que con un dato
negativo a cumplido con su obligación.
Entonces quisiera una respuesta de eso, qué pasó con la
Superintendencia Financiera, que no operó de acuerdo a la sentencia
del Consejo Superior de la Judicatura y que prescribía, pues la
función de multar a este tipo de entidades que estaban haciendo uso
de esta información, ahora, la inexistencia, la falta de acatamiento a
la sentencia del Consejo Superior nos lleva a la reglamentación legal
que es lo que se está haciendo en este momento.
Yo estoy fundamentalmente pues, de hecho he firmado como
coautor del proyecto inicial, fundamentalmente con que la ley exista
una orden legal para lograr una caducidad inmediata del dato
negativo cuando se trata del hábeas data en relación a datos
financieros.”
De la lectura de estos apartes de la discusión, al igual que de la totalidad del
debate planteado, la Corte advierte que desde el inicio del trámite del Proyecto
de Ley, y de manera expresa respecto de una de las iniciativas acumuladas,
uno de los aspectos centrales tenidos en cuenta por los Senadores fue el de la
caducidad del dato financiero fundado en el incumplimiento del titular. Al
respecto, es posible identificar dos posturas en el debate. Una de carácter
intermedio, que reconoce la necesidad de preservar la mora histórica por un
periodo de tiempo definido, junto con la obligación que una vez pagada la
obligación, se otorgara un reporte positivo. Otra, más radical, que defendía la
exclusión inmediata del dato financiero sobre incumplimiento una vez
comprobado el pago y la consecuente eliminación de la información sobre la
mora histórica. Al final, el texto aprobado por la Comisión Primera y por la
Plenaria del Senado correspondió al interés de los partidarios de la tesis
intermedia.
Esta comprobación fáctica es importante para decidir acerca de la
compatibilidad entre el artículo 21 del Proyecto de Ley y los principios de
identidad y consecutividad. Para la Sala es claro que aunque la Comisión
Primera del Senado y la Plenaria de la misma corporación aprobaron un texto
de dicho artículo restringido al primer inciso, que regula el régimen de
transición aplicable sólo a los actores involucrados en el proceso de
administración de datos personales de naturaleza financiera y crediticia, el
tema específico de la necesidad que el Proyecto de Ley estableciera modos de
caducidad inmediata del dato financiero sobre incumplimiento fue debatido con
suficiencia en el tránsito de la iniciativa por el Senado de la República. Por
ende, la fórmula adoptada por la Cámara de Representantes, en el sentido de
disponer determinadas reglas de caducidad del dato financiero, distintas a la

prevista en el artículo 13 del Proyecto de Ley, no es de modo alguno un “tema
nuevo”, sino que, en cambio, es una respuesta del Congreso a problemáticas
que se evidenciaron desde el inicio del proceso legislativo, relacionadas con la
necesidad de estimular el acceso al crédito y el pago de las obligaciones, a
través de un régimen excepcional con un término de caducidad más corto.
Previsiones de esta naturaleza guardan, según lo expuesto, una conexidad
clara y específica con los asuntos estudiados desde el primer debate en el
Senado de la República.
Por último, debe reiterarse la regla jurisprudencial según la cual la definición
de lo que constituye “tema nuevo” depende no del artículo particular en donde
se inscribe el contenido normativo, como lo sostienen algunos de los
intervinientes, sino que debe analizarse en el contexto del proyecto de ley en
su conjunto. Al respecto, la jurisprudencia reciente de la Corte insiste en
que “los cambios en el texto pueden ser consi derables, si se respeta el
principio de identidad flexible o relativa, a partir de los temas principales del
proyecto, no de un artículo específico. [74] Por tal motivo la Corte ha sostenido
que en “(…) el análisis acerca del cumplimiento de los principios de identidad
relativa y de consecutividad, el proyecto se examine en su conjunto, sin que
sea posible una consideración aislada de normas para encontrar diferencias en
los textos aprobados en los distintos debates, en la medida en que tales
diferencias pueden carecer de significación en el contenido de regulación del
proyecto mirado como un todo.” [75] También ha concluido la jurisprudencia que
el principio de consecutividad exige que el objeto de lo decidido a lo largo de
los cuatro debates corresponda al mismo tema, así el sentido de las decisiones
sea diferente e, inclusive, contrario. En caso de con tradicción o de
divergencias, sobre el mismo objeto de la decisión, es posible armonizar el
proyecto mediante el mecanismo de las comisiones de conciliación. [76]”[77]
A juicio de la Sala, llegar a un extremo rigorismo en la aplicación de el
principio de identidad en el trámite legislativo, al punto de exigir una
inalteración textual de lo aprobado en cada etapa del procedimiento, desvirtúa
el carácter flexible de ese instituto, desconoce el cambio cualitativo que sobre
la materia previó el Constituyente de 1991 y, en suma, limita de forma
desproporcionada la participación de las plenarias en el proceso democrático
de creación de la ley.
En consecuencia, la Corte encuentra que el tema regulado por los incisos 2º,
3º, 4º y 5º del artículo 21 se ajusta a los principios de identidad y
consecutividad, por lo que no se advierte reproche constitucional alguno a ese
respecto. Lo anterior, por supuesto, sin perjuicio del control material que sobre
el mismo precepto se realice en apartado posterior de este mismo fallo.
3.7. Cumplimiento de los requisitos predicables de las normas que ordenan
gasto público
Verificado el texto del Proyecto de Ley, la Corte advierte que no concurren
normas que ordenen gasto o que estipulen beneficios tributarios, de modo tal

que para el presente caso no resulta exigible la condición prevista en el artículo
7º de la Ley Orgánica de Presupuesto, [78] en el sentido de exigir que la
iniciativa determine la compatibilidad entre sus efectos presupuestales y el
Marco Fiscal de Mediano Plazo, al igual que la fuente de financiamiento
correspondiente. Por ende, tampoco resultarían exigibles las condiciones para
la iniciativa en la presentación de proyectos de ley, de que trata el artículo 154
de la Carta.
Empero, podría objetarse esta conclusión a la luz de lo dispuesto en el artículo
20 del Proyecto de Ley, norma que establece que en el término de seis meses
siguientes a la entrada en vigencia de la ley, el Gobierno Nacional adoptará las
medidas necesarias para adecuar la estructura de las Superintendencias de
Industria, Comercio y Financiera, dotándolas de la capacidad presupuestal y
técnica necesaria para cumplir con las funciones de vigilancia y sanción. Al
respecto, se consideraría que una disposición de este carácter involucra una
orden de gasto público y, por ende, obligaría a que el Proyecto cumpliera con
las condiciones previstas en la Ley Orgánica de Presupuesto.
A juicio de la Corte esta conclusión no es acertada. Como lo ha resaltado la
jurisprudencia constitucional sobre el contenido y alcance del principio de
legalidad del gasto público, el Congreso y el Gobierno Nacional tienen
competencias
concurrentes
y
separadas
en
la
definición
del
gasto, “correspondiéndole al primero la ordenación del gasto propiamente
dicha y al segundo la decisión libre y autónoma de su incorporación en el
Presupuesto General de la Nación, de manera que ninguna determinación que
adopte el Congreso en este sentido puede implicar una orden imperativa al
Ejecutivo para que incluya determinado gasto en la ley anual de presupuesto,
so pena de ser declarada inexequible”. [79]. Con base en lo anterior, es válido
concluir que la extralimitación en el ámbito de las competencias del Congreso
en la actividad presupuestal se presenta cuando establece órdenes imperativas
de gasto público, pues ello desconocería la facultad privativa del Ejecutivo de
definir el contenido concreto del proyecto de ley de presupuesto. Estas órdenes
imperativas no concurren cuando, por ejemplo, el legislativo “autoriza” al
Gobierno a incluir un gasto en el presupuesto, sin que lo obligue a hacerlo. En
estos casos, lo que se está es ante la configuración, por ministerio de la ley, de
un título jurídico, a partir del cual el Gobierno Nacional, en ejercicio de la
competencia prevista en el artículo 346 C.P., decide si incluye o no el gasto
correspondiente en el proyecto de ley de presupuesto. Así, como lo ha
resaltado la Corte, “el Congreso tiene la facultad de decretar gastos públicos,
pero su incorporación en el presupuesto queda sujeta a la voluntad del
Gobierno, en la medida en que tiene la facultad de proponer o no su inclusión
en la Ley.[80] Desde esta perspectiva la Corte no ha encontrado reparo de
constitucionalidad en las normas que se limitan a “autorizar” al Gobierno para
incluir un gasto, pero de ninguna manera lo conminan a hacerlo. En esos casos
ha dicho la Corporación que el artículo 39 de la Ley Orgánica del
Presupuesto[81] no se vulnera, en tanto el Gobierno conserva la potestad para
decidir si incluye o no dentro de sus prioridades, y de acuerdo con la

disponibilidad presupuestal, los gastos autorizados en las disposiciones
cuestionadas.”[82]
Para el caso concreto, la Sala advierte que el artículo 20 del Proyecto de Ley
no establece un mandato imperativo de gasto público o una orden concreta de
erogación a cargo del Estado, sino que, en contrario, se limita a autorizar al
Gobierno Nacional para que realice los arreglos presupuestales a fin de dotar a
las Superintendencias Financiera y de Industria y Comercio de los recursos
para cumplir con las funciones que le adscribe la ley estatutaria. El
cumplimiento de ese deber general de financiación, por supuesto, deberá
someterse a las reglas constitucionales y orgánicas que regulan la materia
presupuestal, entre ellas la sujeción al Marco Fiscal de Mediano Plazo prevista
en el artículo 7º de la Ley 819/03.
En este orden de ideas, la Corte concluye que el Proyecto de Ley Estatutaria
No. 27/06 Senado-221/07 Cámara (Acum. 05/06 Senado) es constitucional por
su aspecto formal. Por lo tanto, la Sala asumirá a continuación el estudio sobre
el fondo de la iniciativa, de conformidad con la metodología fijada
anteriormente.
Análisis sobre la constitucionalidad material del Proyecto de Ley
1. La materia del Proyecto de Ley Estatutaria
1.1.

El Proyecto de Ley constituye una regulación parcial del derecho al
hábeas data

El artículo 1º del Proyecto de Ley, al definir su objeto, establece que la
iniciativa desarrollará el derecho constitucional que tienen todas las personas a
conocer, actualizar y rectificar las informaciones que se hayan recogido sobre
ellas en bancos de datos, y los demás derechos, libertades y garantías
constitucionales relacionadas con la recolección, tratamiento y circulación de
datos personales a que se refiere el artículo 15 de la Constitución Política.
Empero, el legislador estatutario hace una advertencia en el mismo artículo, en
el sentido de indicar que esas garantías constitucionales estarán dirigidas a
operar, en los términos de la ley, “particularmente en relación con la
información financiera y crediticia, comercial, de servicios y la proveniente de
terceros países.” Esta previsión responde, igualmente, al título mismo de la
iniciativa, que especializa las disposiciones generales del hábeas data a las
bases de datos personales que versen sobre esa misma información.
Sin embargo, esa particularización del artículo 1º entra en contradicción con
las previsiones del artículo 2º, que establece que la ley se aplicará a “todos los
datos de información personal registrados en un banco de datos, sean estos
administrados por entidades de naturaleza pública o privada”. A su vez, la
misma norma establece un grupo de ámbitos de exclusión de la aplicación de
la ley, relacionados con los datos sometidos a reserva, las bases de datos

relacionados con la seguridad y defensa nacional, el registro mercantil de las
cámaras de comercio y los datos mantenidos en un ámbito personal o
doméstico y, por ende, no sometidos a la circulación. Este carácter general del
Proyecto de Ley, que lo ubicaría dentro de la tradición de ordenamientos
normativos que establecen estatutos sobre la administración de datos
personales,[83] es replicado por lo regulado en los artículos 3º sobre
definiciones, 4º sobre los principios de administración de datos, 5º sobre
circulación de la información, al igual que las disposiciones contenidas en el
título III. No obstante, el proyecto vuelve a retomar la especialización que fijó
en su artículo 1º, habida cuenta de lo regulado en los títulos IV, V, VI y VII, los
cuales estipulan regulaciones que sólo resultan aplicables a la administración
de datos personales de carácter financiero, comercial y crediticio, en especial,
aquellos que dan cuenta del nivel de cumplimiento en el pago de obligaciones
dinerarias.
Para la Corte, el primer aspecto que debe definirse en este análisis es el de la
naturaleza del Proyecto de Ley sometido a su consideración y las
consecuencias que ésta contrae en términos de los requisitos exigibles por la
Constitución a las leyes estatutarias. Esto debido a que la definición sobre el
alcance del Proyecto de Ley aprobado por el Congreso resulta nodal a la hora
de determinar la índole de control constitucional, pues permitiría dilucidar el
ámbito de regulación que se somete a la consideración de este Tribunal.
La dicotomía existente en el Proyecto entre disposiciones de carácter general,
que por su naturaleza regularían todo el espectro de relaciones derivadas de la
administración de datos personales y normas particulares, destinadas a prever
las reglas para la gestión de datos relacionados con el cálculo del riesgo
creditito es, en criterio de la Corte, apenas aparente. Ello en tanto concurren
varios argumentos para concluir que el proyecto de ley estatutaria objeto de
examen constituye una regulación parcial del derecho fundamental al hábeas
data, concentrada en las reglas para la administración de datos personales de
carácter financiero destinados al cálculo del riesgo crediticio, razón por la cual
no puede considerarse como un régimen jurídico que regule, en su integridad,
el derecho al hábeas data, comprendido como la facultad que tienen todas las
personas a conocer, actualizar y rectificar las informaciones que se hayan
recogido sobre ellas en archivos y bancos de datos de naturaleza pública o
privada. Para sustentar esta conclusión existen argumentos de carácter
sistemático, teleológico e histórico, como pasa a explicarse.
En cuanto a los argumentos de carácter sistemático, debe advertirse que la
comprensión global del Proyecto de Ley demuestra que las normas generales,
en especial, aquellas contenidas en la parte preliminar y los títulos II y III sólo
logran operatividad y concreción material en las demás disposiciones de la
iniciativa, éstas sí de carácter particular y concreto para la información
personal de carácter crediticio. Nótese que es en este apartado en el que se
establece el modo en que deberá valorarse la información para efectos del
cálculo del riesgo (parágrafo 1º del artículo 10); se establecen las condiciones
especiales que deben cumplir tanto los operadores de bancos de datos como

las fuentes, restringiéndose a la información financiera, comercial, de servicios
y proveniente de terceros países (artículos 11 y 12); se impone una cláusula
de caducidad de la información sobre incumplimiento en el pago, aplicable sólo
a la misma clase de información (artículo 13); establece un modo particular de
presentación de la información contenida en las bases de datos que sólo es
aplicable para el caso de la información derivada del cumplimiento en el pago
de obligaciones (artículo 13); determina las finalidades del acceso de la
información por parte de los usuarios, concentrándola en actividades propias
del tráfico mercantil (artículo 15); subordina el trámite de reclamo judicial para
obtener la corrección o actualización de la información a que se trate de
una “obligación reportada como incumplida” (numeral 6, apartado II del
artículo 16); concentra las funciones de vigilancia de las Superintendencias de
Industria y Comercio y Financiera a impartir instrucciones y órdenes sobre la
manera como deben cumplirse las disposiciones de la ley, relacionadas con la
administración de la información financiera, crediticia, comercial, de servicios y
la proveniente de terceros países (artículo 17, numeral 1º); y establece
normas de transición sobre caducidad del dato financiero sobre incumplimiento
que sólo son aplicables para aquella información derivada de la mora en el
pago de obligaciones (artículo 22).
En ese sentido, el ámbito de protección del derecho fundamental al hábeas
data previsto en el Proyecto de Ley, se restringe a la administración de datos
de índole comercial o financiera, destinada al cálculo del riesgo crediticio.
Considerar lo contrario, esto es, aplicar la normatividad objeto de examen a los
distintos escenarios de administración de datos personales, llevaría a
equívocos,
perplejidades
e,
incluso,
violaciones
de
los
derechos
constitucionales. Por ejemplo, tendría que concluirse que la fórmula de reclamo
judicial por la información inexacta no sería aplicable respecto de las fuentes
que originan información distinta a la financiera, comercial o de servicios;
posibilidad abiertamente contraria al derecho de acceso a la administración de
justicia y a la igualdad de trato ante autoridades judiciales. Otra contradicción
surgiría en el hecho que la calificación del contenido de la información sólo
puede expresarse, al tenor del artículo 14, de modo positivo o negativo,
clasificación que no puede predicarse de todas las modalidades de dato
personal. Inclusive, se generarían contradicciones evidentes entre los
apartados generales de la ley y sus normas específicas. Así por ejemplo, el
artículo 4º establece un principio de temporalidad de la información, pero la
regulación concreta de ese principio, consagrada en el artículo 13, solo es
aplicable para la información financiera, lo que prima facieeliminaría la
posibilidad de caducidad a otro tipo de información. En la misma línea,
comprender al Proyecto de Ley como una norma genérica aplicable a todos los
modos de administración de datos personales, ocasionaría problemas de
relevancia constitucional en cuanto al régimen sancionatorio aplicable a los
operadores, fuentes y usuarios, en la medida en que permite la imposición de
sanciones a aquellos actores, sólo cuando administren información comercial y
financiera.

En idéntico sentido podría plantearse otra serie de contradicciones entre la
comprensión de la norma estatutaria como una regulación integral y el ámbito
de reglamentación concreta previstos en la norma objeto de examen. En
consecuencia, a partir de un criterio de entendimiento sistemático de la
normatividad, se tiene que su única interpretación plausible es la de
considerarla como un régimen jurídico sobre la administración de datos
personales con un carácter particular, esto es, de naturaleza financiera,
crediticia, comercial, de servicios y la proveniente de terceros países con
idéntica naturaleza.
El carácter específico de la normatividad también se advierte con base en un
criterio teleológico. En efecto, la lectura de las herramientas concretas de
protección del derecho contenidas en el proyecto de ley demuestra que la
intención del legislador estatutario fue establecer un régimen jurídico de
protección de los datos personales de naturaleza comercial, financiera,
crediticia y proveniente de terceros países. No de otra manera podría
entenderse el vínculo inescindible entre dichas herramientas y la presencia de
controversias jurídicas que involucren información personal de esta naturaleza,
con exclusión de otras modalidades de datos personales.
Finalmente, la constatación acerca del carácter sectorial de la regulación objeto
de estudio se acredita a partir de un análisis histórico. Así, la Corte advierte
que tanto en la exposición de motivos del proyecto de ley, como de los
sucesivos debates efectuados, existió claridad al interior del Congreso sobre el
verdadero alcance de la iniciativa, al punto de reconocerse la necesidad que,
en el futuro, se tramitaran nuevas regulaciones, también de carácter
estatutario, que establecieran las reglas para la administración de datos
personales en escenarios distintos. Sobre este preciso particular, en la
exposición de motivos del Proyecto 27/06 Senado se lee lo siguiente:
“Infortunadamente no se logró tramitar este proyecto en los
términos que exige una ley estatutaria, razón por la cual debido al
compromiso adquirido con sacar adelante una reglamentación frente
a este tema y por la urgencia de llenar ciertos vacíos, ponemos a
consideración del nuevo Congreso el proyecto de ley estatutaria que
desarrolla el manejo de la información registrada en las centrales de
información o banco de datos, exclusivamente de las entidades
financieras, sin torpedear el desarrollo amplio y detallado de lo que
debe ser el hábeas data en nuestro país.
(…)
Consideraciones
En Colombia, no existe en el momento una ley que regule las
centrales de información de las entidades financieras y los términos
de permanencia de los datos negativos en el historial crediticio de las
personas; lo que existe son pronunciamientos de la Corte, dando
respuesta a casos específicos y de los cuales ha dado ciertas

recomendaciones de lo que podría llegar a ser un tiempo razonable y
justo, pero a su vez ha dejado bien claro que es competencia del
legislador a través de ley estatutaria determinar ese tiempo.
(…)
Al no existir una reglamentación, las centrales de información de las
entidades financieras, de manera discrecional han determinado el
tiempo que consideran razonable en la caducidad de los datos
negativos, basándose más en un término que disminuya el nivel de
riesgo para el otorgamiento de créditos de las entidades financieras,
y no en lo que podría ser un tiempo justo para sus usuarios.
Si bien es cierto que estos centros de información son un necesario
apoyo para el funcionamiento del sistema financiero ya que permiten
mantener en sus bases de datos una información parcial y veraz, el
manejo de estos debe ser igual de ventajoso para las entidades
financieras como para sus usuarios, que en los últimos años han
caído en la “dictadura del reporte negativo”, sin que esta información
sea responsablemente procesada por quienes deben analizar
solicitudes de crédito en el sector financiero, o tomar otras
decisiones que nazcan de lo que contienen las bases de datos del
sistema financiero.
(…)
Cómo se manejará lo de los datos en las centrales de
información financiera:
Los datos positivos permanecerán indefinidamente en el historial
crediticio de cada titular. El cambio se presenta en el dato negativo,
el cual dejará de ser utilizado como un estigma y un factor
excluyente del sistema financiero y crediticio. Así cuando cualquier
operador consulte la fuente de información crediticia en este caso
alguna central de riesgo, la información que encontrará será: ESTÁ
AL DIA O ESTÁ EN MORA.
Estar al día es cuando no se tiene deuda o cuando se haya pagado
de manera voluntaria alguna obligación o cuota vencida, sin importar
el tiempo en que estuvo en mora ni el monto de la obligación . Se
entiende por pago voluntario todo aquel que se realice antes de que
se inicie un proceso judicial de cobro.
De esta manera si algún titular estuvo en mora por años o meses y
logra ponerse al día antes de que se inicie un proceso ejecutorio de
pago, el reporte que aparecerá en las bases de datos financieros y
crediticios será POSITIVO. Diferente el caso en el que el pago se
hace después de una sentencia judicial, el titular quedará con
reporte de mora por cinco años tal como lo fija el término de
permanencia del presente proyecto de ley.
Con esta nueva modalidad de manejar los datos de información
financiera y crediticia, se generará una cultura de pago en los
titulares de las fuentes, ya que sabiendo que el ponerse al día antes
de alguna sentencia no los perjudicará financiera y crediticiamente
será un incentivo de pago, distinto el caso actual en el que no hay
interés de pagar porque igual así se hayan atrasado unos días o un

mes van a estar reportados entre 2 y 5 años. Esta propuesta logrará
responder al sinnúmero de injusticias que existen en el sistema
financiero y crediticio. Un estudio realizado para este fin nos llevó a
conocer casos dramáticos: personas reportadas y excluidas por dos
años o más por una mala facturación de una empresa de telefonía
móvil, por sumas tan irrisorias como 20 centavos, otros casos no
menos escandalosos son los de los fiadores que a pesar de haber
hecho un favor asumen la deuda del deudor principal, y por no hacer
el pago en los días estipulados, sino unos más tarde, se encuentran
reportados por dos años y son catalogados como morosos del
sistema financiero en lugar de ser reconocidos como buenas pagas al
asumir en últimas obligaciones de terceros.
En qué momento entran los datos a las bases de datos de la
información financiera y crediticia.
Los datos positivos son incluidos inmediatamente al historial
crediticio de cada titular, la diferencia se presenta en el contenido de
la información de estado de mora o vencimiento, pues antes de ser
incluida a la o las bases de datos, se debe comunicar a cada titular
que presenta una mora de 30 días en determinada entidad. Esto con
el fin de que se le dé la oportunidad al titular de verificar si la
información remitida por el operador es cierta y dar el preaviso para
que logre ponerse al día. En las centrales de riesgo, muchos son los
casos de personas reportadas por equivocaciones de los operadores,
cuyas consecuencias no recaen sobre la entidad que emitió mal el
dato sino sobre el titular quien queda reportado negativamente por
varios años.
A las centrales de riesgo se les exigirá un formato para
manejar la información: El Gobierno Nacional diseñará un formato
único para que las centrales de información financiera y crediticia
manejen los datos de sus titulares.
Este formato entre otros datos incluye de manera precisa el nombre
completo, la condición en la que actúa, es decir, si es el deudor
principal o es fiador, el valor de la obligación o cuotas vencidas y la
fecha de pago. Con el manejo de este formato se obligará a los
operadores a investigar y analizar correctamente el historial de cada
titular y a NO REGIRSE UNICA Y EXCLUSIVAMENTE POR EL ESTAR
REPORTADO O NO EN LAS CENTRALES DE RIESGO.
Se reglamenta el sistema de consultas y reclamaciones:
Las consultas que los titulares hagan para conocer el estado de sus
datos serán gratuitas. En cuanto a los reclamos se establece que
cada titular que considere que la información presentada no es veraz
y que existe algún tipo de equivocación, podrá presentar por escrito
a la fuente de información o central de riesgo la queja en la que
relata los hechos. Una vez sea recibido el reclamo las centrales de
información deberán registrar una leyenda que diga “reclamo en
trámite”. Dicha leyenda será suprimida una vez se haya estudiado,
verificado y dado respuesta al reclamo en un termino máximo de 15

días. Varios son los casos en los que los reportes negativos
corresponden a equivocaciones no subsanables a tiempo.
(…)
En síntesis, con esta propuesta se logrará no solo eliminar el estigma
de estar reportado en una central de riesgo y con ello excluir del
sistema financiero y crediticio a quienes por ciertas circunstancias se
vencieron en alguna cuota u obligación, o por amabilidad sirvieron de
fiador a una persona que no pagó, sino que obliga a los operadores a
hacer un estudio profundo y detallado cuando van a otorgar un
crédito pues ya no podrán remitirse al reporte negativo para no
facilitar el crédito u otorgar un plan de servicios,-que dejarán de
existir–, tendrán que estudiar todas las variables que determinen si
es o no una persona apta para facilitarle un préstamo o algún equipo
por poner el ejemplo de los requisitos para adquirir un celular.
En este sentido se logrará recuperar el sentido y la función que
tienen estas bases de datos financieros y crediticios que deben ser
una herramienta mas no la última palabra para el sector financiero y
crediticio.
Consideramos por último que este proyecto logra por la diversidad
de sus autores y por la conciliación que se hace con el Gobierno
Nacional, demostrar que desde diferentes orillas ideológicas, se
puede coincidir en temas de defensa de los derechos ciudadanos, lo
que le da la fuerza suficiente para hacer un buen trámite en el
Congreso.” (Negrillas y mayúsculas originales).[84]
Se comprueba, a la luz de la exposición de motivos, una intención decidida del
legislador de regular exclusivamente el tema de la información personal de
carácter financiero y crediticio, destinada al cálculo del riesgo, con exclusión de
otras modalidades de administración de datos personales. Para el Congreso,
estaba suficientemente claro que el ámbito de regulación era limitado, al punto
que al poner a consideración de la Comisión Primera del Senado el tema de la
extensión de los contenidos normativos a otras instancias, específicamente las
bases de datos regentadas por organismos de seguridad y defensa, existió
oposición por parte de uno de los autores de la iniciativa, puesto que la esencia
misma de la regulación era concentrarse en la problemática mencionada. Al
respecto, en dicha discusión se indicó lo siguiente:
“La Presidencia concede el uso de la palabra al honorable
Senador Luis Fernando
Velasco Chávez:
Señor Presidente. Una respuesta muy corta al doctor Petro. Dos
temas. El primero si bien es cierto que existe la sentencia de Tutela
del Consejo Superior, hay otras tutelas de la Corte, límite en materia
de tutela en la Corte Constitucional, que nosotros tratamos de
interpretar en la definición de la norma y que indica que hay varias,
indica que la salida de la base de datos no es automática, por eso

fue que nosotros nos inventamos la fórmula de ordenar el reporte
positivo inmediatamente se pague.
Lo que mata al ciudadano es el reporte negativo, entonces nosotros
apenas paguen, reporte positivo. Y el positivo tan, neutraliza al otro,
que lo que hace.
Y lo segundo es el tema que usted planteo con mucha inteligencia de
las bases de datos del Das, dos comentarios, hoy en Colombia por
Reforma Constitucional aun ciudadano lo pueden investigar sin que
él sepa, es un poco el sistema acusatorio, a uno lo están
investigando, inclusive muy seguramente le tienen interceptado el
teléfono, obviamente con una orden y uno no sabe, es un poco la
lucha frente a como se ha modernizado la delincuencia, entonces el
Das también necesita tener la posibilidad de mantener una
información sobre unas personas que pueden en algún momento
poner en riesgo la seguridad del Estado, yo estoy completamente de
acuerdo con usted doctor Petro, señor Presidente, que tenemos que
generar un espacio de desclasificación, pero se lo digo con el mayor
respeto, pero con el mayor sentido de la realidad, nosotros quisimos
que en este proyecto doctor Petro, reguláramos solo el hábeas data
del sistema financiero, si es difícil que un Congreso apruebe un tema
tan necesario solo en el sistema financiero, usted se imagina doctor
Petro que le metamos a este proyecto toda la generalidad del hábeas
data, no lo sacamos nunca.”[85] (Subrayas no originales).

Las consideraciones expuestas demuestran que el Proyecto de Ley tiene un
propósito unívoco, dirigido a establecer las reglas para la administración de
datos personales de contenido financiero y crediticio. [86] Esta comprobación,
como lo han puesto de presente algunos de los intervinientes y el Ministerio
Público, plantea dos aspectos que deben analizarse de forma específica: (i) la
legitimidad que el legislador estatutario realice regulaciones de los derechos
fundamentales, aplicables de manera sectorial; y (ii) la objeción fundada en
que regulaciones de esta naturaleza violan la Constitución, en tanto incurren
en una omisión legislativa relativa.

1.2.

El legislador estatutario está facultado para realizar regulaciones de los
derechos fundamentales aplicables de manera sectorial

Entre las materias que el artículo 152 Superior establece como aquellas que
deben regularse a través de leyes estatutarias, se encuentran los derechos y
deberes fundamentales de las personas y los procedimientos y recursos para
su protección. En la estructura constitucional, la expedición de normatividades
de esta naturaleza responde a la facultad que tiene el legislador para que, bajo
la aprobación de mayorías especiales y cumplido un procedimiento más
exigente que el aplicable a las leyes ordinarias, regule los aspectos que
configuran el contenido esencial del derecho fundamental. Es a través de las
leyes estatutarias que el legislador cumple un propósito doble: de un
lado, integrar, perfeccionar regular y complementar normas sobre derechos
fundamentales, que apunten a su adecuado goce y disfrute; y del otro,
establecer una garantía constitucional a favor de los ciudadanos frente a los
eventuales límites que, exclusivamente en virtud del principio de
proporcionalidad, pueda establecer el legislador.[87] De lo que se trata,
entonces, es de delegar en normas estatutarias la definición de los aspectos
centrales y esenciales de los derechos fundamentales, de modo tal que esas
materias cuenten con un régimen estable, sometido a mayorías especiales y
precedidas del control automático de constitucionalidad y, a su vez, se
preserve la competencia del legislador ordinario, habida cuenta la necesaria
conexión entre buena parte del ordenamiento jurídico y estos derechos.

A su vez, la jurisprudencia también ha indicado que una de las características
que permiten acreditar que una regulación es de carácter estatutario consiste
en que regule la materia“sea integral. Este criterio fue aplicado en la
sentencia C-425/94, donde la Corte señaló que la “Constitución Política de
1991 introdujo la modalidad de las leyes estatutarias para regular algunas
materias respecto de las cuales quiso el Constituyente dar cabida al
establecimiento
de
conjuntos
normativos
armónicos
e
integrales,
caracterizados por una mayor estabilidad que la de las leyes ordinarias, por un
nivel superior respecto de éstas, por una más exigente tramitación y por la
certeza inicial y plena acerca de su constitucionalidad” [88].”[89]

Esta verificación se mostraría problemática respecto al Proyecto de Ley objeto
de análisis, en tanto se ha comprobado que su regulación no es genérica del
derecho fundamental al hábeas data, sino que limita su alcance al
establecimiento de reglas para la administración de datos personales de
naturaleza comercial, financiera y crediticia, destinada al cálculo del riesgo. Al
respecto, la Corte debe distinguir entre dos escenarios definidos, relacionados

con la regulación del contenido esencial de un derecho fundamental y de los
mecanismos para hacerlo efectivo, y la posibilidad legítima que el legislador
establezca normas estatutarias que regulen ese contenido esencial para un
sector específico.

En cuanto a lo primero, es claro que uno de los aspectos que distingue a la
reserva de ley estatutaria es el hecho que el legislador regule de manera
integral, aspectos que conforman el contenido esencial del derecho
fundamental. Para el caso específico del hábeas data, esta Corporación se ha
pronunciado en diversas ocasiones en el sentido que los asuntos relativos
a (i) el ejercicio de las facultades de conocer, actualizar y rectificar la
información personal contenida en una base de datos; y (ii) el establecimiento
de términos de caducidad del dato financiero sobre incumplimiento en el pago,
son materias relacionadas con el contenido esencial del derecho al hábeas data
y, por ende, deben ser reguladas a través de leyes estatutarias. Así por
ejemplo, en la sentencia C-384/00 se declaró inexequible una norma que
regulaba, en el marco de la Ley 510/99 sobre disposiciones generales del
sector financiero, asegurador y cambiario, aspectos propios de la caducidad del
dato financiero negativo. Para avalar esa conclusión, la Corte indicó:

“28. El derecho de habeas data, definido por el artículo 15 de la
Carta, consiste en la facultad que tiene cada persona para “conocer,
actualizar y rectificar las informaciones que se hayan recogido sobre
ellas en bancos de datos y en archivos de entidades públicas y
privadas.” La ubicación de la precitada norma en el Capítulo Primero
del Libro Segundo de la Carta, correspondiente a los “derechos
fundamentales”, no deja duda acerca de la categoría de tal
reconocida al derecho en referencia. Respecto de su protección, el
constituyente indicó adicionalmente que “(e)n la recolección,
tratamiento y circulación de datos se respetarán la libertad y demás
garantías consagradas en la Constitución”.

Es claro, por lo tanto, que el contenido normativo del artículo 114
superior se refiere a la regulación de un derecho fundamental. Ahora
bien, en lo relativo a si este contenido regula un aspecto inherente al
ejercicio del derecho fundamental de habeas data que signifique, en
los términos de la jurisprudencia constitucional, la consagración de
límites, restricciones, excepciones y prohibiciones, en cuya virtud se

afecte el núcleo esencial de tal derecho, la Corte aprecia que sí lo
hace.

En efecto, la norma bajo examen se refiere al suministro de datos
financieros de personas naturales, indicando qué clase de datos
podrán ser suministrados y tratados automatizadamente y en qué
condiciones podrán ser recogidos y transmitidos. Así mismo, señala
también las condiciones bajo las cuales el titular de los datos podrá
tener acceso a la información que le concierne, pues al respecto
indica que “previo el pago de la tarifa que autorice la
Superintendencia Bancaria y la solicitud escrita de su titular, el
responsable del banco de datos deberá comunicarle las
informaciones difundidas y el nombre y dirección del cesionario”. Por
otro lado, la disposición permite a la Superintendencia Bancaria fijar
límites o pautas respecto de los datos que se pueden registrar y
ceder, y, finalmente, consagra disposiciones relativas a la caducidad
excepcional del dato financiero, únicamente respecto de deudores
morosos que se pongan al día en el pago de sus obligaciones, dentro
del término perentorio fijado por la disposición.

29. El anterior contenido regulante, tiene implicaciones directas con
el núcleo esencial del derecho de habeas data, pues involucra de
lleno la facultad de las personas para “conocer, actualizar y rectificar
las informaciones que se hayan recogido sobre ellas en bancos de
datos”. Sobre la manera en la cual pueden conocerse tales
informaciones,

contiene

normas

expresas

arriba

mencionadas

(formular una solicitud y pagar una tarifa), y sobre la posibilidad de
actualizar y rectificar dichos datos, resulta claro que la norma
establece restricciones, pues al indicar que sólo se podrán registrar
los datos que, según las normas o pautas de la Superintendencia
Bancaria y de conformidad con el artículo 15 de la Constitución, se

consideren relevantes para evaluar la solvencia de sus titulares, pone
en manos de esa entidad la fijación de límites a ese derecho, además
de dejar por fuera del derecho de actualización y rectificación otras
informaciones distintas a las relativas a la solvencia de la persona
concernida (disponibilidad de recursos económicos), como por
ejemplo la referente a su comportamiento crediticio (puntualidad en
el pago), etc., que también son importantes para la valoración y
calificación de los posibles clientes del sistema financiero.

Todo lo anterior afecta sin lugar a dudas el derecho fundamental en
referencia en lo más propio de su núcleo fundamental, pues “(l)os
datos personales que se recogen, el tipo de tratamiento que reciben
y las formas y límites de su circulación, son aspectos de una misma
decisión que no deja de tener repercusiones sobre la
autodeterminación informativa.”[90] Por ello, la reserva de ley
estatutaria sobre este punto es la garantía más importante en la
protección de ese derecho fundamental. Así las cosas, la Corte
encuentra que las disposiciones contenidas en la norma reprochada,
no podían adoptarse sino mediante el trámite propio de una ley de
esa naturaleza, como bien lo indican el demandante, varios de los
intervinientes y la vista fiscal.”

Este precedente ha sido reiterado por la Corte en la sentencias C-729/00, C687/02 y C-993/04. En todas estas sentencias, la Corte ha concluido que
normas dirigidas a fijar términos de caducidad o condiciones para la exclusión
de información financiera sobre incumplimiento hacen parte de la reserva de
ley estatutaria, puesto que regulan el contenido esencial del derecho al hábeas
data. Ello en tanto regulaciones de este tipo tenían una relación inescindible
con (i) el ejercicio de las facultades de conocimiento, actualización y
rectificación de la información personal contenida en bases de datos; (ii) el
ejercicio del derecho a la información, propio de la facultad de recolectar,
tratar y circular esos mismos datos personales; competencias estas previstas
en el artículo 15 C.P.[91]

Estas decisiones demuestran que los aspectos regulados por el Proyecto de
Ley, indudablemente, constituyen materias propias de la reserva de ley
estatutaria, lo que resuelve el primer interrogante, relacionado con el vínculo
entre la temática desarrollada por el Proyecto de Ley y la reserva de ley
estatutaria. Sin embargo, subsiste el segundo aspecto objeto de este apartado,
relacionado con la legitimidad que el legislador estatutario fije regulaciones
sectoriales del derecho fundamental al hábeas data, aplicable en este caso solo
para la administración de datos personales de índole comercial, financiera y
crediticia. La Corte considera que la respuesta a ese interrogante es positiva,
con base en las razones que pasan a explicarse:

En primer término, la Corte debe subrayar que el ejercicio de la competencia
del legislador para promulgar normas estatutarias se inscribe, como las demás
actividades propias de la actividad de producción normativa, a la cláusula
general de competencia legislativa. En ese sentido, la restricción que impone la
Carta Política para la regulación estatutaria es que su temática verse sobre los
aspectos del derecho fundamental que conformen su contenido esencial. En
ese sentido, puede válidamente el legislador estatutario establecer un régimen
de regulación que, aunque verse sobre dicho contenido esencial, sólo resulte
aplicable a un determinado ámbito, puesto que la Constitución no le impone
una limitación relacionada con el carácter genérico de la regulación. Si, como
sucede en el presente análisis, el legislador ha considerado que determinado
ámbito de regulación de un derecho fundamental, amén de sus condiciones
particulares, exige una regulación estatutaria autónoma, esta decisión no es
incompatible con la reserva de ley estatutaria, a condición que la normatividad
promulgada por el Congreso regule aspectos que hagan parte del contenido
esencial del derecho.

En segundo lugar, debe tenerse en cuenta que el carácter integral de la
regulación estatutaria no se predica de los distintos ámbitos en que pueda
expresarse un derecho fundamental, sino del escenario concreto que el
Congreso, en ejercicio de la cláusula general de competencia legislativa, ha
considerado pertinente regular, a través de un conjunto de reglas que den
respuesta a las necesidades de regulación propias del ámbito escogido. Es
evidente que los derechos fundamentales son cláusulas abiertas que tienen
múltiples efectos en los más diversos planos de la vida social, de modo que no
solo resulta irrazonable, sino en muchas ocasiones imprescindible, que incluso
los aspectos más generales de regulación tengan carácter sectorial. Por

ejemplo, derechos como la igualdad, la información y el libre desarrollo de la
personalidad tienen diversas facetas, que exigen regulaciones igualmente
diferenciadas, pues responden a condiciones disímiles, no susceptibles de
sujeción a un denominador común. Por lo tanto, no podría supeditarse la
constitucionalidad de una ley estatutaria a que regule la totalidad de las
materias susceptibles de relacionarse con el derecho fundamental, pues ello
supondría crear un requisito que la Carta Política no contempla.

Para el caso concreto, la Corte advierte que el Proyecto de Ley ofrece un
conjunto normativo de reglas para la administración de datos personales de
naturaleza comercial, financiera y crediticia, que prevé un catálogo de
principios, definiciones, derechos y deberes de los actores involucrado en dicha
administración, peticiones, reclamos y sanciones; régimen que en sí mismo
cumple con la condición de integralidad propia de las normas estatutarias. Este
conjunto normativo, como se observa, tiene en sí mismo naturaleza integral,
puesto que define los aspectos esenciales de la protección del derecho
fundamental al hábeas data, referido a la administración de datos personales
de contenido comercial, financiero y crediticio, sin que deje materias
estructurales delegadas a la determinación por parte del reglamento. Por ende,
el carácter sectorial de la regulación propuesta no afecta la constitucionalidad
de la iniciativa en cuanto a la reserva de ley estatutaria, debido a que
establece disposiciones vinculadas al contenido esencial del derecho
fundamental y, a su vez, configura un régimen integral de protección del
mismo derecho, aplicable al caso de la información personal de carácter
comercial, financiero y crediticio.

1.3.

El Proyecto de Ley no incurre en una omisión legislativa relativa

Varios intervinientes en el presente proceso cuestionan la constitucionalidad
del Proyecto de Ley, puesto que incurre en una vulneración del principio de
igualdad, al incorporar una omisión legislativa relativa. La tesis común en que
sustentan este reproche, consiste en considerar que como la norma estatutaria
reguló solo un ámbito concreto del derecho fundamental al hábeas data,
relativo a la administración de datos personales de naturaleza comercial,
financiera y crediticia y, por ende, excluyó de su alcance normativo a otros
escenarios involucrados en la gestión de datos personales de distinta índole,
incurre en una discriminación injustificada.

La jurisprudencia constitucional ha establecido que la Corte es incompetente
para decidir acerca de omisiones legislativas absolutas, en la medida en que en
estos casos no se cumple con uno de los presupuestos básicos para el ejercicio
del control de constitucionalidad, como es la existencia de una norma legal
objeto de pronunciamiento.[92] Empero, se ha contemplado la posibilidad que
las disposiciones puedan cuestionarse por la existencia de una omisión
legislativa relativa, caso en el cual el Congreso promulga un precepto pero
excluye injustificadamente personas; supuesto de hecho o posiciones jurídicas
que debían ser cobijadas por dicha regulación, so pena de afectar el principio
de igualdad. Así, la Corte ha previsto que la omisión legislativa relativa
recae “sobre una acción normativa del legislador, específica y concreta, de la
que éste ha excluido determinado ingrediente o condición jurídica que resulta
imprescindible a la materia allí tratada, o que habiéndolo incluido, termina por
ser insuficiente e incompleto frente a ciertas situaciones que también se han
debido integrar a sus presupuestos fácticos.” [93]

Para establecer la existencia de una omisión legislativa relativa, el mismo
precedente ha considerado que debe acreditarse en el caso concreto (i) que
exista una norma sobre la cual se predique necesariamente el cargo; (ii) que la
misma excluya de sus consecuencias jurídicas aquellos casos que, por ser
asimilables, tenían que estar contenidos en el texto normativo cuestionado, o
que el precepto omita incluir un ingrediente o condición que, de acuerdo con la
Constitución, resulta esencial para armonizar el texto legal con los mandatos
de la Carta; (iii) que la exclusión de los casos o ingredientes carezca de un
principio de razón suficiente; (iv) que la falta de justificación y objetividad
genere para los casos excluidos de la regulación legal una desigualdad
negativa frente a los que se encuentran amparados por las consecuencias de la
norma; y (v) que la omisión sea el resultado del incumplimiento de un deber
específico impuesto por el constituyente al legislador. [94] Adicionalmente, el
mismo precedente ha previsto que el cargo por omisión legislativa relativa se
dirija contra una norma en específico, “de suerte que resultan inadmisibles las
acusaciones que se dirigen a derivar la omisión no de lo prescrito en una
norma, sino en un sistema o conjunto de normas.”[95]

La Corte advierte, como se indicó en el apartado precedente, que la norma
objeto de examen establece un régimen integral para la administración de
datos personales de contenido financiero, comercial y crediticio. Así, el
legislador estatutario estableció un grupo de condiciones, instituciones y
mecanismos que responden a las particularidades propias de dicha actividad de

gestión de información personal y a las calidades de los sujetos que
intervienen en esa modalidad de ejercicio del derecho al hábeas data.

En el asunto objeto de análisis debe verificarse si resulta inconstitucional que
el legislador hubiera concentrado la regulación en el hábeas data financiero, sin
extender las consecuencias jurídicas de la regulación a otros escenarios de
protección de datos personales. Al respecto, la Corte advierte que, contrario a
como lo sostienen algunos de los intervinientes, en el presente caso no se está
ante una omisión legislativa relativa sino una de carácter absoluto, inasible por
el control de constitucionalidad. En efecto, en el apartado 1.1. del análisis
material del Proyecto de Ley se demostró, a partir de argumentos de
naturaleza sistemática, teleológica e histórica, que la iniciativa es una
regulación del derecho al hábeas data con un carácter sectorial, en la medida
en que los mecanismos concretos para la protección del derecho contenidos en
el Proyecto respondían exclusivamente a la recopilación de datos personales de
contenido financiero, comercial y crediticio, destinados al cálculo. Dentro de
ese análisis se dieron algunos ejemplos de cómo conceder carácter genérico al
Proyecto, esto es, extender sus reglas a todos los escenarios de administración
de datos personales, llevaría a contrasentidos e, incluso, a vulneraciones de las
normas constitucionales. Con base en lo anterior, se concluyó que el
entendimiento acertado del Proyecto de Ley es el de un régimen particular y
específico, dirigido a la fijación de reglas para la administración de datos
personales financieros, comerciales y crediticios, con exclusión de otras
modalidades de ejercicio del derecho al hábeas data. Por lo tanto, se advierte
que en relación con esos escenarios distintos, no existe una disposición jurídica
respecto de la cual pueda predicarse la omisión legislativa, pues no concurre
para el presente caso una regulación genérica del derecho fundamental al
hábeas data, la cual hubiera excluido injustificadamente un supuesto o
consecuencia jurídica cuya inclusión fuera constitucionalmente obligatoria.
Además, la presunta omisión legislativa relativa no se dirige en contra de una
disposición legal en específico, sino ante un sistema de normas que regula
integralmente un ámbito del ejercicio del derecho al hábeas data, lo que del
mismo modo impide un pronunciamiento de la Sala sobre la materia.

Finalmente, la Corte debe advertir que lo anterior no significa, como lo
consideran algunos de los intervinientes, que los demás ámbitos de ejercicio
del derecho fundamental al hábeas data queden, en virtud de la promulgación
de la ley estatutaria, excluidos de protección jurídica. En contrario, la Sala
considera imprescindible expresar de antemano, como lo hará a propósito del

análisis de constitucionalidad del artículo 2º del Proyecto de Ley, que las
distintas modalidades de administración de datos personales, como es el caso
de la recopilación, tratamiento y circulación de datos en materia de seguridad
social, asuntos tributarios, la realizada por las instituciones de inteligencia y
seguridad del Estado, el registro mercantil, las bases de datos de naturaleza
tributaria, etc., continúan cobijadas por las garantías contenidas en el
artículo 15 de la Constitución y desarrolladas por la jurisprudencia de la Corte,
en ejercicio de las competencias previstas en el artículo 241 C.P.

Conforme a lo expuesto, una vez establecida la materia sobre la que versa el
Proyecto de Ley, la Corte pasa a determinar la exequibilidad material de la
iniciativa. Con este fin, expondrá un apartado preliminar sobre los aspectos
generales del régimen del derecho fundamental al hábeas data, para luego
asumir el análisis del articulado.

2. Consideración preliminar. Aspectos generales del régimen del
derecho al hábeas data

2.1. El inusitado auge de la administración automatizada de datos personales
ofrece retos de primer orden para la vigencia de los derechos fundamentales
en el Estado Social y Democrático de Derecho, basado en la dignidad humana
y la democracia pluralista. Ello en tanto las herramientas tecnológicas
contemporáneas permiten la gestión masiva de la información y su circulación
a nivel global, posibilidades fácticas que adscriben a quienes operan estos
sistemas de información un alto grado de injerencia en la autonomía del
individuo, potestad conocida como poder informático.

Esta potestad es resultado de un cambio cualitativo en el ejercicio de
relaciones de poder en las sociedades contemporáneas. Antes del
advenimiento de las tecnologías de la información, los mecanismos de control
y coacción correspondían a prácticas necesariamente vinculadas con la
interferencia de las manifestaciones materiales del individuo. La propiedad y el
cuerpo del sujeto eran los campos sobre los cuales el poder se hacía efectivo.

Así, las medidas de protección de derechos que interesaban en esa instancia al
Estado Constitucional, estaban dirigidas unívocamente al establecimiento de
límites a las intervenciones en dichos ámbitos materiales de la persona.

La protección de los derechos se torna más compleja cuando irrumpen las
tecnologías de la información, que construyen entornos inmateriales respecto
de los cuales se predican intereses individuales objeto de protección jurídica.
Así, el campo de ejercicio del poder se complementa, pues ya no radica sólo en
las posibilidades físicas de coacción, sino que permite otros modos de sujeción,
especialmente dirigidos al control del dato personal sometido a procesos
informáticos, en tanto expresión de la autonomía del sujeto en dicho entorno
inmaterial.
La comprobación acerca de la posibilidad cierta y verificable de que los
procesos informáticos conformen escenarios de ejercicio del poder
potencialmente lesivos a la autonomía del individuo, obliga al Estado
Constitucional a prever herramientas concretas para garantizar que la
integridad de los derechos fundamentales del sujeto concernido se preserve
ante las nuevas tecnologías. Existe, bajo esta perspectiva, el deber estatal de
impedir que los procesos de administración de datos personales se conviertan
en escenarios excluidos de la vigencia de los derechos, lo que para el caso
significa el establecimiento de reglas de protección jurídica de la libertad del
individuo ante los actos de gestión de información.

En respuesta a la problemática antes identificada, el artículo 15 de la
Constitución Política establece el derecho que tiene toda persona a conocer,
actualizar y rectificar las informaciones que se hayan recogido sobre ellas en
bancos de datos y en archivos de entidades públicas y privadas. El contenido y
alcance de este derecho ha sido profusamente desarrollado por la
jurisprudencia de la Corte Constitucional, en especial a partir del análisis de
fallos de tutela relativos a controversias sobre la administración de datos
personales de carácter financiero, recopilados por centrales de información y
destinadas al cálculo del nivel de riesgo crediticio. En ese sentido, para efectos
de la presente decisión se denominará hábeas data financiero el derecho que
tiene todo individuo a conocer, actualizar y rectificar su información personal
comercial, crediticia y financiera, contenida en centrales de información
públicas o privadas, que tienen como función recopilar, tratar y circular esos
datos con el fin de determinar el nivel de riesgo financiero [96] de su titular.
Empero, debe advertirse que esta es una clasificación teórica que no configura
un derecho fundamental distinto, sino que simplemente es una modalidad de

ejercicio del derecho fundamental, este sí autónomo y diferenciable, al hábeas
data.[97]

El hábeas data confiere, según la norma constitucional citada, un grupo de
facultades al individuo para que, en ejercicio de la cláusula general de libertad,
pueda controlar la información que de sí mismo ha sido recopilada por una
central de información. En ese sentido, este derecho fundamental está dirigido
a preservar los intereses del titular de la información ante el potencial abuso
del poder informático, que para el caso particular ejercen las centrales de
información financiera, destinada al cálculo del riesgo crediticio. La Corte,
desde sus primeros fallos,[98] ha identificado esta tensión entre la preservación
del hábeas data, la intimidad, la información y, en menor medida, el derecho al
buen nombre, que surte a partir de los actos de recolección y circulación de
información personal de carácter financiero. Así, desde la sentencia primigenia
de este debate, el fallo T-414/92, se identificó con claridad la necesidad de
garantizar el derecho al hábeas data como un requisito imprescindible para la
satisfacción de la libertad y la dignidad humana del individuo en la sociedad
democrática contemporánea, signada por el uso extendido de los medios
tecnológicos destinados a la gestión de información personal.

2.2. Si bien existe un grupo considerable de fallos que se han dedicado al
análisis del derecho fundamental al hábeas data, específicamente dirigidos a la
resolución de conflictos generados por la administración de datos personales
de contenido financiero y crediticio, [99] la Corte advierte que la recopilación y
sistematización de la jurisprudencia vigente sobre la materia y, a su vez, el
mayor grado de precisión conceptual sobre los diferentes aspectos de
regulación del derecho fue realizado por este Tribunal en la sentencia T729/02.[100] En ese sentido, para efectos de esta decisión, se utilizarán las
herramientas previstas en dicho fallo como marco general de análisis sobre el
contenido y alcance del derecho al hábeas data. Ello sin perjuicio que en
apartado posterior se realice un estudio detallado de la doctrina constitucional
relacionada con la naturaleza del dato personal sobre el comportamiento
financiero y crediticio y las condiciones constitucionales para la circulación de
esa información, entre otros aspectos.

2.3. El derecho al hábeas data es definido por la jurisprudencia constitucional
como aquel que otorga la facultad al titular de datos personales de exigir de
las administradoras de esos datos el acceso, inclusión, exclusión, corrección,

adición, actualización y certificación de los datos, así como la limitación en las
posibilidades de divulgación, publicación o cesión de los mismos, de
conformidad con los principios que regulan el proceso de administración de
datos personales. Este derecho tiene naturaleza autónoma y notas
características que lo diferencian de otras garantías con las que, empero, está
en permanente relación, como los derechos a la intimidad y a la información.

El ámbito de acción del derecho al hábeas data es el proceso de administración
de bases de datos personales, tanto de carácter público como privado. “De tal
forma que integran el contexto material: el objeto o la actividad de las
entidades administradoras de bases de datos, las regulaciones internas, los
mecanismos técnicos para la recopilación, procesamiento, almacenamiento,
seguridad y divulgación de los datos personales y la reglamentación sobre
usuarios de los servicios de las administradoras de las bases de datos.” [101]

2.4. La jurisprudencia ha contemplado, igualmente, que la protección efectiva
de los derechos fundamentales interferidos en las actividades de recolección,
procesamiento y circulación de datos personales, en especial el hábeas data, la
intimidad y la información, depende la formulación de un grupo de principios
para la administración de datos personales, todos ellos destinados a crear
fórmulas armónicas de regulación que permitan la satisfacción equitativa de los
derechos de los titulares, fuentes de información, operadores de bases de
datos y usuarios.[102] Estas prerrogativas alcanzan concreción a partir de la
vigencia de los principios de libertad, necesidad, veracidad, integridad,
incorporación, finalidad, utilidad, circulación restringida, caducidad e
individualidad.

De acuerdo con el principio de libertad, las actividades de registro y
divulgación de los datos personales sólo pueden ejercerse con el
consentimiento libre, previo y expreso del titular de esa información, esto es,
el sujeto concernido. Así, esos datos no podrán ser obtenidos o divulgados sin
esa previa autorización, o en ausencia de mandato legal o judicial que releve
de ese consentimiento.
El principio de necesidad implica que la información personal concernida debe
ser aquella estrictamente necesaria para el cumplimiento de los fines de la
base de datos. Esta previsión trae como consecuencia que se encuentre
prohibido el registro y divulgación de datos que no guarden una relación

estrecha con el objetivo de la base de datos. Adicionalmente y de manera
lógica, el principio de necesidad también contrae la obligación que cada base
de datos identifique de manera clara, expresa y suficiente, cuál es el propósito
de la recolección y tratamiento de la información personal.

Según el principio de veracidad, los datos personales deben corresponder a
situaciones reales, lo que impone la prohibición de recopilar, procesar y circular
información falsa, errónea o equívoca.

El principio de integridad impone la obligación a las fuentes de información y a
los operadores de suministrar y recopilar datos personales completos, de tal
forma que está prohibido el registro y divulgación de información parcial,
incompleta o fraccionada. El alcance de este principio, salvo casos
excepcionales, no debe entenderse de modo tal que faculte la constitución de
sistemas de información que, a través de una única base de datos pueda
compilar datos que, sin valerse de otras bases de datos, permitan realizar un
perfil completo de las personas.

De acuerdo con el principio de finalidad, las actividades de acopio,
procesamiento y divulgación de la información personal deben obedecer a un
fin constitucionalmente legítimo y que, a su vez, debe ser definido de forma
clara, suficiente y previa. Esto implica que quede prohibida (i) la recopilación
de información personal sin que se establezca el objetivo de su incorporación a
la base de datos; y (ii) la recolección, procesamiento y divulgación de
información personal para un propósito diferente al inicialmente previsto y
autorizado por el titular del dato.

De conformidad con el principio de utilidad, las actividades de acopio,
procesamiento e información de datos personales deben cumplir una función
determinada, acorde con el ejercicio legítimo de la administración de los
mismos. En consecuencia, queda proscrita la divulgación de datos que, al
carecer de función, no obedezca a una utilidad clara y suficientemente
determinable.

El principio de circulación restringida implica que las actividades de recolección,
procesamiento y divulgación de información personal estén sometidas a los
límites específicos determinados por el objeto de la base de datos, por la
autorización del titular y por el principio de finalidad. Por lo tanto, queda
prohibida la divulgación indiscriminada de datos personales.

Según el principio de incorporación, en los casos en que la recolección de
información personal en bases de datos signifique situaciones ventajosas para
su titular, el operador de la base estará obligado a incorporarlos, si el titular
reúne los requisitos que el orden jurídico exija para tales efectos. Por ende,
está prohibida la negativa injustificada a la incorporación de datos personales
de dicho carácter.
El principio de caducidad estipula que la información desfavorable del titular
debe ser retirada de las bases de datos, de forma definitiva, con base en
criterios de razonabilidad y oportunidad. En consecuencia, se prohíbe la
conservación indefinida de datos personales, después que hayan desaparecido
las causas que justificaron su acopio y administración.
De acuerdo con el principio de individualidad, los operadores deben mantener
separadas las bases de datos que se encuentren bajo su administración, de
manera que está prohibida la conducta que tenga por objeto facilitar el cruce
de datos a partir de la acumulación de informaciones provenientes de
diferentes bases de datos.

Finalmente, la misma doctrina ha planteado que la fijación de estos principios
no es incompatible con la posibilidad que se prediquen, a partir de normas
constitucionales y legales, otros deberes a los titulares, fuentes,
administradores y usuarios de la información personal, como es el caso de una
obligación de diligencia y seguridad en el manejo de los datos personales y la
obligación de indemnizar por los perjuicios causados en razón de las
actuaciones u omisiones que violen los requisitos para la información personal
antes enunciados.

2.5. Para la jurisprudencia constitucional el dato personal es el objeto de
protección del derecho fundamental al hábeas data. Las características de ese
dato son: “i) estar referido a aspectos exclusivos y propios de una persona
natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias
a la visión de conjunto que se logre con el mismo y con otros datos; iii) su

propiedad[103] reside exclusivamente en el titular del mismo, situación que no
se altera por su obtención por parte de un tercero de manera lícita o ilícita, y
iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo
a su captación, administración y divulgación.”[104]

Respecto a estos datos personales, la jurisprudencia propone dos modos de
clasificación. La primera, relacionada con el nivel de protección del derecho a la
intimidad, divide los datos entre información personal e impersonal,
definiéndose la segunda como aquella que no reúne los requisitos mencionados
anteriormente. Esta división, para el precedente estudiado, es útil por tres
razones, “la primera, es la que permite afirmar que en el caso de la
información impersonal no existe un límite constitucional fuerte [105] al derecho
a la información, sobre todo teniendo en cuenta la expresa prohibición
constitucional de la censura (artículo 20 inciso 2º), sumada en algunos casos a
los principios de publicidad, transparencia y eficiencia en lo relativo al
funcionamiento de la administración pública (artículo 209) o de la
administración de justicia (artículo 228). Una segunda razón, está asociada
con la reconocida diferencia entre los derechos a la intimidad, al buen nombre
y al habeas data, lo cual implica reconocer igualmente las diferencias entre su
relación con la llamada información personal y su posible colisión con el
derecho a la información. La tercera razón, guarda relación con el régimen
jurídico aplicable a los llamados procesos de administración de datos inspirado
por principios especiales y en el cual opera, con sus particularidades, el
derecho al habeas data.”[106]

La siguiente gran tipología divide los datos personales con base en un carácter
cualitativo y según el mayor o menor grado en que pueden ser divulgados. Así,
se establece la existencia de información pública, semiprivada, privada y
reservada. La información pública es aquella que puede ser obtenida sin
reserva alguna, entre ella los documentos públicos, habida cuenta el mandato
previsto en el artículo 74 C.P. Otros ejemplos se encuentran en las
providencias judiciales, los datos sobre el estado civil de las personas o sobre
la conformación de la familia. Esta información, como lo indica el precedente
analizado, puede ser adquirida por cualquier persona, sin necesidad de
autorización alguna para ello.

La información semiprivada es aquel dato personal o impersonal que, al no
pertenecer a la categoría de información pública, sí requiere de algún grado de

limitación para su acceso, incorporación a bases de datos y divulgación. Por
ende, se trata de información que sólo puede accederse por orden de autoridad
judicial o administrativa y para los fines propios de sus funciones, o a través
del cumplimiento de los principios de administración de datos personales antes
analizados. Ejemplo de estos datos son la información relacionada con el
comportamiento financiero, comercial y crediticio y los datos sobre la
seguridad social distintos a aquellos que tienen que ver con las condiciones
médicas de los usuarios.

Para la Corte, la información privada es aquella que se encuentra en el ámbito
propio del sujeto concernido y, por ende, sólo puede accederse por orden de
autoridad judicial competente y en ejercicio de sus funciones. Entre dicha
información se encuentran los libros de los comerciantes, los documentos
privados, las historias clínicas, los datos obtenidos en razón a la inspección de
domicilio o luego de la práctica de pruebas en procesos penales sujetas a
reserva, entre otros.

Por último, se encuentra la información reservada, eso es, aquella que sólo
interesa al titular en razón a que está estrechamente relacionada con la
protección de sus derechos a la dignidad humana, la intimidad y la libertad;
como es el caso de los datos sobre la preferencia sexual de las personas, su
credo ideológico o político, su información genética, sus hábitos, etc. Estos
datos, que han sido agrupados por la jurisprudencia bajo la categoría de
“información sensible”,[107] no son susceptibles de acceso por parte de terceros,
salvo que se trate en una situación excepcional, en la que el dato reservado
constituya un elemento probatorio pertinente y conducente dentro de una
investigación penal y que, a su vez, esté directamente relacionado con el
objeto de la investigación. En este escenario, habida cuenta la naturaleza del
dato incorporado en el proceso, la información deberá estar sometida a la
reserva propia del proceso penal.

De otro lado, la restricción de divulgación de los datos de naturaleza privada y
reservada opera sin perjuicio de la existencia de hipótesis, en todo caso
restrictivas, de circulación interna, como sucedería, por ejemplo, en la
circulación de los datos contenidos en las historias clínicas dentro de una
institución hospitalaria y para los fines de la adecuada atención médica. Estas
modalidades son admisibles a condición que se cuente con la expresa

autorización del titular y la circulación interna esté dirigida al cumplimiento de
fines constitucionalmente legítimos.

De acuerdo con este precedente, el establecimiento de estas dos tipologías se
muestra útil, en la medida en que permite diferenciar los datos que pueden ser
objeto de libre divulgación en razón al ejercicio del derecho fundamental a la
información, a la vez que contribuye a la delimitación e identificación de las
personas que se encuentran constitucionalmente facultadas para el acceso a
los diferentes tipos de información.

2.6. Para la Sala, los citados principios para la administración de datos
personales, desarrollados por la jurisprudencia constitucional y sistematizados
en la sentencia citada, configuran el contenido y alcance de las facultades de
conocimiento, actualización y rectificación de la información personal contenida
en bases de datos de naturaleza pública y privada, previstas por el
Constituyente en el artículo 15 de la Carta Política. Por ende, al momento de
realizar el estudio específico de las disposiciones que hacen parte de la
iniciativa de la referencia, el grupo de principios antes citado será tenido en
cuenta para decidir acerca de la armonía entre estos preceptos y la
Constitución.

Por último, la Corte considera importante señalar que el régimen de protección
del derecho al hábeas data en el constitucionalismo colombiano, no sólo es
plenamente compatible con las consideraciones que al respecto ofrece el
sistema universal de protección de los derechos humanos, sino que, inclusive,
prevé un conjunto de garantías a favor del sujeto concernido de un carácter
más amplio, basado en la existencia de un derecho fundamental autónomo,
distinguibles de otras garantías, como la intimidad y el buen nombre, y un
conjunto de principios de administración personal que le son predicables. Esta
compatibilidad se hace evidente a partir de las previsiones realizadas por el
Comité de Derechos Humanos en la Observación General No. 16, interpretativa
del artículo 17 del Pacto Internacional de Derechos Civiles y Políticos. Al
respecto, la Observación indicó:

“La recopilación y el registro de información personal en
computadoras, bancos de datos y otros dispositivos, tanto por las
autoridades públicas como por las particulares o entidades privadas,

deben estar reglamentados por la ley. Los Estados deben adoptar
medidas eficaces para velar por que la información relativa a la vida
privada de una persona no caiga en manos de personas no
autorizadas por ley para recibirla, elaborarla y emplearla y por que
nunca se la utilice para fines incompatibles con el Pacto. Para que la
protección de la vida privada sea lo más eficaz posible, toda persona
debe tener el derecho de verificar si hay datos personales suyos
almacenados en archivos automáticos de datos y, en caso afirmativo,
de obtener información inteligible sobre cuáles son esos datos y con
qué fin se han almacenado. Asimismo, toda persona debe poder
verificar qué autoridades públicas o qué particulares u organismos
privados controlan o pueden controlar esos archivos. Si esos archivos
contienen datos personales incorrectos o se han compilado o
elaborado en contravención de las disposiciones legales, toda
persona debe tener derecho a pedir su rectificación o
eliminación.”[108]

Como lo ha propuesto la doctrina especializada, [109] el Comité ha reconocido
como predicado lógico del derecho a la vida privada la obligación de los
Estados de establecer medidas de control para las actividades de acopio y
almacenamiento de información personal, al igual que mecanismos para hacer
efectivo el derecho del titular de acceder a la información sobre sí mismo que
obre en archivos y bancos de datos públicos y privados. [110] Bajo este marco, es
válido concluir que existe una identidad de propósitos entre las normas de
derechos humanos y el régimen antes analizado. Por ende, será la
compatibilidad entre el contenido y alcance del derecho al hábeas data y el
texto del Proyecto de Ley, la que determine la exequibilidad de norma objeto
de examen en esta sentencia.

2.7. Aunque el breve marco general expuesto se muestra, en criterio de la
Sala, suficiente para abordar el estudio de la constitucionalidad del articulado
contenido en el Proyecto de Ley, es pertinente realizar otro grupo de
consideraciones preliminares, esta vez dirigidas a sustentar la legitimidad en el
Estado Social y Democrático de Derecho de la administración de datos
personales dirigida al cálculo del riesgo crediticio.

2.8. El hábeas data financiero está dirigido a proteger la libertad del individuo
de controlar la información personal concernida en bases de datos, destinadas

a ofrecer a terceros datos útiles para el cálculo del riesgo crediticio del titular.
En el ejercicio de este derecho confluyen varios valores y principios
constitucionales, a la vez que otros derechos.
En efecto existe, de un lado, la necesidad de proteger los derechos
fundamentales del sujeto concernido, que en el caso propuesto se concentran
en que su información sea tratada de conformidad con los principios de
administración de los datos personales antes descritos. Adicionalmente, de ese
adecuado tratamiento dependen, en buena medida, la eficacia del derecho a la
intimidad del individuo, en tanto la intervención en la información personal que
hacen las bases de datos debe llegar a un grado tal que permita que aquellos
datos que no estén relacionados con el cálculo del riesgo, permanezcan en la
órbita propia del sujeto concernido y, en consecuencia, no ingresen al tráfico
de datos propio de las centrales de información financiera.

De otro, también debe acotarse que el adecuado cálculo del riesgo crediticio es
un aspecto importante para la protección de los recursos de intermediación y,
por ende, del sistema financiero en su conjunto. Si se parte de la base que los
recursos utilizados para las actividades del sector financiero se obtienen del
ahorro de los ciudadanos, entonces resulta válido, desde la perspectiva
constitucional, que se efectúen acciones destinadas a evitar que tales recursos
se dilapiden y, en últimas, a satisfacer el interés público representado en las
actividades de intermediación financiera (Art. 335 C.P.). Adicionalmente, debe
tenerse en cuenta que de la estabilidad del sistema financiero en su conjunto
dependen otros fines constitucionalmente valiosos, entre ellos la
democratización del crédito, en especial aquel destinado a la financiación de
vivienda (Art. 51 C.P.)

Sin embargo, también debe advertirse que el cálculo del riesgo es un
parámetro que no sólo es útil para el ejercicio de las actividades crediticias
sino que, como lo demuestra la experiencia, es definitivo para un sinnúmero de
actividades de la vida social, en especial de naturaleza mercantil las cuales,
aunque son actividades protegidas por el Estado, se inscriben en el marco
propio de la iniciativa privada y, por ende, separada del interés público en el
que se inscriben las actividades financieras, bursátil, aseguradora y las demás
relacionadas con el manejo y aprovechamiento de recursos de captación.

Así las cosas, desde ahora es importante anotar que en lo que interesa al
derecho constitucional y en virtud de la aplicación del principio pro
homine, propio de la interpretación de las normas de la Carta Política, la
protección de las legítimas finalidades que adelanten las entidades que
conforman el sector comercial y financiero deberán, en todo caso, subordinarse
a la eficacia de los derechos fundamentales del individuo, que para el presente
caso se concentran en el plexo de garantías que conforman el derecho al
hábeas data. Correlativamente, la consecución de instrumentos legales
dirigidos a garantizar la protección de la estabilidad del sistema financiero no
puede, en modo alguno, constituir una barrera para el acceso de los individuos
a ese mercado, pues ello les impediría obtener los recursos económicos
necesarios para la ejecución de sus proyectos vitales y, por lo tanto, los
alejaría de la concreción de varios derechos constitucionales. [111]

Es bajo esta lógica en que se inscribe la jurisprudencia constitucional que ha
tratado el tema de la importancia del cálculo del riesgo financiero en la
sociedad democrática. Sobre el particular, tal vez uno de los avances
conceptuales más decididos se encuentra en la sentencia SU-082/95,[112] en la
que la Corte estableció un grupo de reglas definidas para la administración de
datos personales sobre comportamiento crediticio.

Esta sentencia partió de considerar que la información sobre comportamiento
crediticio debía considerarse titular de un grado de protección distinto al de
otros tipos de información personal, esta sí de carácter privado y reservado.
Ello en tanto “(i) el ser buen o mal pagador es algo que necesariamente no
sólo interesa al deudor, sino a éste y a quienes son sus acreedores actuales o
potenciales; y (ii) lo relativo al crédito tiene un contenido económico, que no
puede equipararse con lo que pertenece a planos superiores, como la vida, la
libertad y la dignidad del hombre. Dicho en los términos más sencillos, quien
obtiene un crédito de una entidad dedicada a esta actividad y abierta al
público, no puede pretender que todo lo relacionado exclusivamente con el
crédito, y en especial la forma como él cumpla sus obligaciones, quede
amparado por el secreto como si se tratara de algo perteneciente a su
intimidad.” Aquí si bien la jurisprudencia estaba basada en considerar que el
dato sobre comportamiento crediticio tenía el carácter de información pública,
aspecto que luego vino a corregirse en decisiones posteriores como se tuvo
oportunidad de indicar, es claro que la Corte partió de un supuesto práctico-la
utilidad del dato financiero para el cálculo del riesgo financiero-como criterio de
legitimidad de la administración de esta clase de información.

Esta misma decisión, con base en esa acreditación entre el vínculo existente
entre la administración de datos personales sobre comportamiento crediticio y
la preservación de la estabilidad del sistema financiero, consideró que el acceso
a esa información[113] era un derecho en cabeza de las instituciones de crédito,
a condición que la misma fuera veraz, completa y actualizada, esto es, que
reflejara el historial crediticio del sujeto concernido. Al respecto, consideró
que “las instituciones de crédito, precisamente por manejar el ahorro del
público, ejercen una actividad de interés general, como expresamente lo
señala el artículo 335 de la Constitución. No tendría sentido pretender que
prestaran sus servicios, y en particular otorgaran créditos, a personas de las
cuales no tienen información. Por el contrario: un manejo prudente exige
obtener la información que permita prever qué suerte correrán los dineros
dados en préstamo. Obsérvese que cuando un establecimiento de crédito
solicita información sobre un posible deudor, no lo hace por capricho, no ejerce
innecesariamente su derecho a recibir información. No, la causa de la solicitud
es la defensa de los intereses de la institución que, en últimas, son los de una
gran cantidad de personas que le han confiado sus dineros en virtud de
diversos contratos.”[114]

Resulta claro, entonces, que la administración de datos personales sobre
comportamiento crediticio es una actividad necesaria, a efectos de proteger el
ahorro público y satisfacer los intereses del tráfico mercantil, actividades
que prima facie no se oponen a los postulados constitucionales. Sin embargo,
esta actividad está supeditada a la eficacia del derecho fundamental al hábeas
data del sujeto concernido, conforme al conjunto de principios y prerrogativas
que tuvo oportunidad de exponerse en el apartado 2.4. de esta sentencia.

2.9. Por último, la Corte debe insistir, en estos comentarios preliminares, en
que el ejercicio de la administración de datos personales relativos al
comportamiento crediticio es un ámbito de la vida social que busca fines
compatibles con la Constitución. Sin embargo, esa compatibilidad no constituye
una autorización ilimitada para el ejercicio arbitrario de las facultades de
recolección, tratamiento y circulación de la información personal. En contrario,
estas facultades sólo resultarán legítimas si (i) preservan el plexo de principios
y garantías que conforman el derecho fundamental al hábeas data; y (ii) se
ejercen a partir del criterio de responsabilidad social predicable de las fuentes,
los operadores y los usuarios de la información.

Sobre este último aspecto, la jurisprudencia constitucional [115] ha considerado
que el uso de la información personal contenida en bases de datos dirigidas a
suministrar datos útiles para la determinación del comportamiento comercial y
crediticio del sujeto concernido no puede constituir una barrera irrazonable
para el acceso a los recursos de crédito o al tráfico comercial. Así, ante el
ejercicio de la posición dominante que sobre sus usuarios ejercen los
establecimientos bancarios y de crédito, el Estado debe exigir a dichas
instituciones y, en general, a todas aquellas personas naturales y jurídicas que
acceden a la información personal destinada al cálculo del riesgo crediticio, “en
todos los casos, pero en especial cuando pretenden fundar la prestación del
servicio en las informaciones divulgadas por las centrales de riesgo i) permitirle
al interesado exponer las circunstancias que dieron lugar a los registros, ii)
considerar la información adicional suministrada por el proponente, y ii)
exponer minuciosamente su decisión de no asignar el producto, de abstenerse
de prestar el servicio ofrecido, o de prestarlo en condiciones determinadas, a
fin de satisfacer las expectativas que el carácter público de la actividad
bancaria genera en los usuarios, y las creadas por ella misma, con la
presentación individual de sus productos y servicios.” [116] Del mismo modo, el
uso de dicha información deberá ser compatible con la eficacia de los principios
constitucionales de la buena fe y el deber de respetar los derechos ajenos y
abusar en el ejercicio de los propios. (Arts. 83 y 95 C.P.).

3. Análisis del articulado
3.1. Disposiciones generales (Arts. 1º a 5º)

3.1.1. Artículo 1º-Objeto

El artículo 1º prevé el objeto del Proyecto de Ley Estatutaria. Esta norma, que
reproduce el contenido del artículo 15 C.P., establece que la iniciativa está
dirigida a desarrollar el derecho que tiene toda persona a conocer, actualizar y
rectificar las informaciones que sobre ellas se hayan recogido en bancos de
datos, al igual que a proteger los demás derechos, libertades y garantías
constitucionales relacionadas con las actividades de recolección, tratamiento y
circulación de datos personales, particularmente en relación con la información
financiera y crediticia, comercial, de servicios y la proveniente de terceros
países.

Una cláusula de esta naturaleza no plantea mayores inconvenientes desde la
perspectiva constitucional, en tanto se circunscribe a reiterar el contenido de
una disposición de la Carta Política. Esta conclusión resulta igualmente
predicable para el apartado del artículo que indica como uno de los objetivos
del Proyecto de Ley el desarrollo del derecho a la información establecido en el
artículo 20 de la Constitución Política. Como se indicó en el apartado 3.6.1. del
análisis formal del Proyecto de Ley, algunos aspectos sometidos a regulación
por parte de la iniciativa objeto de examen se explican a partir del ejercicio del
derecho a la información por parte de algunos de los agentes que participan en
el proceso de administración de datos personales de contenido comercial,
financiero y crediticio, destinado al cálculo del riesgo financiero, en especial los
titulares de la información y sus usuarios. De acuerdo con las consideraciones
efectuadas en el fundamento jurídico 1.1., el Proyecto de Ley tiene un carácter
sectorial, dirigido a la regulación de la administración de datos personales de
contenido comercial, financiero y crediticio; por ende, la referencia realizada
por el legislador estatutario al derecho a la información se circunscribe a ese
carácter sectorial, y, en ese sentido, desvirtúa la posibilidad de interpretar la
normatividad como una regulación integral de ese derecho.

En consecuencia, hecha esta aclaración sobre la interpretación del precepto
analizado, el artículo 1º del Proyecto de Ley resulta acorde con la Carta
Política.

Artículo 2º-Ámbito de aplicación

El artículo 2º del Proyecto de Ley está dirigido a definir el ámbito de aplicación
de la iniciativa. En ese sentido, establece que la regulación se aplicará a todos
los datos de información personal registrados en un banco de datos, sean éstos

Este primer precepto es constitucional, pues tiene relación con la temática de
la iniciativa, según los términos expuestos en el citado apartado 1.1. Esta
conclusión se predica incluso en lo relativo a la expresión “todos los datos de
información personal registrados en un banco de datos”, puesto que, según lo
descrito en el apartado 3.6.1. del análisis sobre procedimiento legislativo, este

apartado normativo debe interpretarse a partir de un criterio sistemático, esto
es, en coordinación con las demás reglas fijadas por el legislador estatutario.
Esto implica que los bancos de datos a los que hace referencia el artículo 2º no
son otros que aquellos continentes de información personal de contenido
comercial y financiero, recopilada con el fin de determinar el nivel de riesgo
crediticio de su titular. Por ende, la citada expresión no contradice la unidad
temática del Proyecto de Ley en su conjunto.

El artículo 2º establece, igualmente, que la ley se aplicará sin perjuicio de
normas especiales que disponen la confidencialidad o reserva de ciertos datos
o información registrada en bancos de datos de naturaleza pública, para fines
estadísticos, de investigación, de sanción de delitos o para garantizar el orden
público. Esta primera distinción se encuentra justificada desde la perspectiva
constitucional, pues lo que busca es hacer compatible el texto de la iniciativa,
que tiene un propósito específico, con la vigencia de otras normas que, en
tanto regulan escenarios diferentes a la administración de datos personales de
naturaleza comercial, crediticia, financiera y de servicios, requieren una
regulación igualmente diferenciada.

No obstante lo anterior, para la Corte es imprescindible anotar que una
disposición de esta naturaleza no debe comprenderse de manera tal que afecte
el principio general de publicidad de las actuaciones del Estado, el libre
ejercicio del derecho a la información y, en últimas, la aceptabilidad de ámbitos
de la actuación estatal que incorporen una “cultura del secreto”, en todo
incompatible con el carácter participativo del Estado Social y Democrático de
Derecho.

Como lo ha establecido la jurisprudencia constitucional, [117] el contenido y
alcance del artículo 74 Superior involucra que todas las personas tengan el
derecho a acceder a la información pública, en tanto presupuesto para la
vigencia del principio democrático. A su vez, este derecho está desarrollado en
normas del derecho internacional de los derechos humanos que estipulan el
derecho de toda persona a recibir información. Así la Convención Americana
sobre Derechos Humanos, en su artículo 13.1 dispone que “Toda persona tiene
derecho a la libertad de pensamiento y de expresión. Este derecho comprende
la libertad de buscar, recibir y difundir informaciones e ideas de toda índole,
sin consideración de fronteras, ya sea oralmente, por escrito o en forma
impresa o artística, o por cualquier otro procedimiento de su elección”. Sobre

este derecho, la Corte Interamericana de Derechos Humanos, en el dictamen
consultivo OC-05/85, insiste en que el contenido del derecho a la libertad de
expresión involucra, necesariamente, la existencia de un derecho colectivo a
buscar, recibir y difundir informaciones de toda índole. [118] Por ende, la
interpretación de lo preceptuado en el Proyecto de Ley, debe ser compatible
con el ejercicio de este derecho, que como lo ha resaltado esta Corporación,
involucra que, “en una sociedad democrática, la regla general consiste en
permitir el acceso ciudadano a todos los documentos públicos. De allí que
constituya un deber constitucional de las autoridades públicas entregarle, a
quien lo solicite, informaciones claras, completas, oportunas, ciertas y
actualizadas sobre cualquier actividad del Estado.”. [119]

De este modo, la previsión de excepciones a la publicidad de la actuación
estatal debe dejar incólumes las garantías destinadas a preservar el derecho de
toda persona a acceder a la información, por lo que solo serán oponibles
aquellos modos de reserva o confidencialidad que (i) tengan carácter
excepcional
y
respondan
a
un
criterio
de
proporcionalidad
y
razonabilidad; (ii) estén
expresamente
previstas
por
el
legislador;
y (iii) respondan a fines constitucionalmente legítimos, en especial la
protección del derecho a la intimidad del sujeto concernido, cuando se trate de
información personal de carácter privado que, según lo expuesto en esta
sentencia, no tiene vocación de circulación, habida cuenta su vínculo
inescindible con la órbita íntima y familiar del individuo.[120]

El artículo 2º fija, de la misma manera, tres ámbitos de exclusión a la
aplicación de las normas de la ley estatutaria. El primero, las bases de datos
que tienen por finalidad producir la inteligencia del Estado por parte del
Departamento Administrativo de Seguridad y de la Fuerza Pública, destinadas a
garantizar la seguridad nacional interna y externa. El segundo, los registros
públicos a cargo de las cámaras de comercio, los cuales se regularán por las
normas especiales que le son aplicables. Y el tercero, aquellos datos
circulan internamente, es decir, que no se suministran a otras personas
naturales o jurídicas.

Varios de los intervinientes, al igual que el Ministerio Público, cuestionan la
constitucionalidad de estos ámbitos de exclusión, bajo el común argumento
que los dos primeros escenarios involucran la administración de datos

personales y, en consecuencia, no resulta justificado que el legislador
estatutario los haya excluido de la vigencia del derecho fundamental al hábeas
data. De otro lado, uno de los intervinientes cuestiona la exequibilidad de la
expresión “y aquellos que circulan internamente”, puesto que en su criterio la
protección del hábeas data debe predicarse de todo dato objeto de circulación.

Para la Corte, la constitucionalidad de estos ámbitos de exclusión debe
analizarse a partir de (i) el carácter sectorial de la regulación del derecho al
hábeas data que ofrece el Proyecto de Ley; y (ii) el vínculo entre las materias
excluidas y el objeto de regulación. En cuanto a lo primero, debe nuevamente
insistirse en que la norma objeto de examen restringe su ámbito de acción al
establecimiento de reglas para la administración de datos personales de
carácter comercial, financiero, crediticio, de servicios y proveniente de terceros
países, recopilados con el fin de calcular el riesgo crediticio del sujeto
concernido. En ese sentido, para la Corte resulta prima facie justificado que el
legislador estatutario excluya la aplicación de la normatividad a otros
escenarios que, aunque están relacionados con la administración de datos
personales, no tienen el propósito mencionado. Ello es comprensible si, como
se señaló en el fundamento jurídico 1.1., sobre la materia del Proyecto de Ley,
la disposición bajo análisis es un cuerpo normativo establecido para la
protección del derecho al hábeas data en ese preciso ámbito, lo que impide que
sus reglas se extiendan a materias que le son ajenas al mismo.

Respecto a lo segundo, habrá entonces que establecerse si cada uno de los
ámbitos de exclusión es diferenciable de la administración de datos personales
de contenido comercial, financiero y crediticio.

El primero de los ámbitos excluidos es el de las bases de datos que recopilan
información para la inteligencia y seguridad nacional interna y externa. Para la
Corte es claro que la recopilación de datos de esta naturaleza tiene un
propósito distinto que la determinación del nivel de riesgo crediticio, pues su
finalidad se enmarca dentro del ejercicio de las facultades estatales de obtener
información personal destinada al cumplimiento de sus funciones. Esta
actividad, valga anotar, es compatible con la Constitución, en tanto la
recopilación de datos personales por parte de los organismos de seguridad y
defensa, en especial la Fuerza Pública, es un elemento importante para el logro
de sus fines constitucionales de mantenimiento del orden constitucional y de
las condiciones necesarias para el ejercicio adecuado de los derechos y

libertades previstos en la Carta.[121]Empero, el reconocimiento de esta facultad
no es omnímodo sino que, antes bien, está estrictamente limitado por la
vigencia de los derechos fundamentales a la intimidad, la honra, el buen
nombre, el hábeas data, de petición y el debido proceso. Del mismo modo, esa
competencia debe estar sustentada en criterios de proporcionalidad,
razonabilidad y necesidad, de manera que su uso se restrinja a aquellos casos
en que el acopio de información es imprescindible para el cumplimiento de los
fines antes anotados.
Bajo este marco, resulta justificado que el legislador estatutario haya excluido
a la administración de datos personales a las bases de datos de inteligencia,
pues su propósito es diferente al de la recopilación de información crediticia,
financiera y comercial, acopiada con el propósito descrito.
El segundo supuesto de exclusión es el de los registros públicos a cargo de las
cámaras de comercio, esto es, el registro mercantil y el registro de
proponentes para la contratación con el Estado. El registro mercantil que
administran esas entidades está dirigido a recopilar información institucional
sobre comerciantes y sociedades comerciales, con el fin de conocer quiénes,
cómo y en qué condiciones concurren al mercado de bienes y servicios. Esta
actividad, como lo ha señalado la Corte, responde a un fin constitucionalmente
legítimo, puesto que “la disponibilidad pública e inmediata señala a todos los
integrantes de una comunidad la garantía del acceso al intercambio económico
y les brinda las herramientas mínimas para ello, las cuales son conocimiento
de los participantes y conocimiento de las actividades que se realizan.” [122] Este
mismo precedente ha señalado que, en consecuencia, es necesario que un
escenario de intercambio comercial se cuente con un registro mercantil, puesto
que el mismo “presta a la actividad económica la posibilidad de configuración
de uno de sus supuestos más importantes, cual es el de (i) la organización. De
la que se deriva igualmente otro elemento esencial no sólo al ejercicio del
intercambio comercial sino a la dinámica misma del Estado Constitucional de
Derecho, que es (ii) la seguridad jurídica. Todo esto, a través de la satisfacción
de otro principio fundamental de las actividades económicas, cual es el de (iii)
la publicidad.”[123]. Finalmente, también se ha contemplado que la previsión
legal de un registro mercantil es un instrumento necesario para que el Estado
ejerza adecuada y suficientemente la dirección general sobre la economía, en
los términos del artículo 334 C.P. Ello en tanto la existencia de información
completa, veraz y actualizada sobre los participantes en el mercado es un
insumo imprescindible para el ejercicio de la intervención económica, en los
términos previstos por la Constitución.

Una de las notas características de este registro es su carácter público, el cual
se justifica, precisamente, por la conexión entre la circulación de información
sobre empresas y comerciantes, y la preservación de la estabilidad y
transparencia del mercado económico. Así lo prevé el artículo 26 del Código de
Comercio, cuando establece que “el registro mercantil será público. Cualquier
persona podrá examinar los libros y archivos en que fuere llevado, tomar
anotaciones de sus asientos o actos y obtener copias de los mismos.”Este
mismo estatuto prevé reglas particulares sobre la competencia de las cámaras
de comercio para llevar el registro mercantil, la descripción de los actos que
deben someterse a registro, las reglas para la inscripción de los mismos, las
normas particulares para obtener la matrícula comercial, el régimen de
sanciones por la omisión de contar con dicha matrícula, entre otros aspectos
(Art. 26 a 47 del Código de Comercio).

Como se observa, estas actividades son diferentes a la recopilación de
información personal de naturaleza comercial, financiera y crediticia, con el fin
de determinar el nivel de riesgo crediticio. El registro mercantil, si bien
comparte con la administración de datos personales financieros la función de
incorporar datos con contenido económico, cumple un propósito distinto. En
efecto, se trata de una base de datos de acceso público, que pretende hacer
igualmente pública la información de empresas y comerciantes, a fin que
quienes concurran en ese mercado, conozcan las condiciones de los distintos
participantes, sepan quiénes son sus representantes, su nivel de solvencia, las
actividades que ejercen, etc. Es entonces, un instrumento amplio de publicidad
de las actuaciones económicas, que busca garantizar, en los términos
expuestos, la seguridad jurídica en el tráfico mercantil y la transparencia en
esas mismas transacciones. Por lo tanto, resulta justificado que las reglas de
administración de datos personales de contenido crediticio, destinado al cálculo
del riesgo, no se extiendan al escenario propio del registro mercantil, habida
cuenta la diversidad de propósito de estas bases de datos.

Las cámaras de comercio también administran el registro de proponentes,
utilizado en la contratación administrativa. Esta base de datos tiene por objeto
incorporar la información de las personas naturales o jurídicas que aspiren a
celebrar contratos con entidades estatales. Conforme lo previsto en la ley, en
este registro constará la información relacionada con la experiencia, capacidad
jurídica, financiera y de organización del proponente, que se establecerá de
conformidad con los factores de calificación y clasificación que defina el
reglamento.[124] Igualmente, en esta base de datos se incluirá la información

sobre contratos, multas y sanciones impuestas a los proponentes dentro de los
procesos de contratación con el Estado.

Como se observa, el propósito de estas instancias de administración de datos
es el de ofrecer a las entidades del Estado la información suficiente para
adelantar procesos de contratación enmarcados en el cumplimiento de los
principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y
publicidad que informan a la función administrativa. Así, a partir de la
clasificación y calificación que el registro único confiere a cada proponente, la
Administración puede adoptar decisiones sobre adjudicación contractual que
permitan el cumplimiento de las finalidades estatales, en función del uso más
eficiente de los recursos públicos.

Esta actividad, por ende, difiere de la recopilación de la información financiera
y crediticia, con el ánimo de determinar el riesgo de crédito del sujeto
concernido. En efecto, la información contenida en el registro único de
proponentes tiene al Estado como destinatario definido y su propósito también
es concreto, pues está dirigido a apoyar la labor de contratación administrativa
en los términos expuestos. En consecuencia, resulta legítimo que el legislador
estatutario haya decidido excluir a este tipo de registro de información de las
reglas previstas en el Proyecto de Ley, en tanto existe una evidente
divergencia de objetivos entre las actividades de administración de datos
personales reguladas en él y las que realizan las cámaras de comercio.

No obstante, sobre este particular la Sala considera oportuno aclarar que si
bien la regulación de los registros públicos que administran las cámaras de
comercio a través de normas especiales resulta constitucional, ello opera sin
perjuicio que esos procesos de administración de datos personales resulten
exigibles las prerrogativas y facultades que el derecho fundamental al hábeas
data consagra a favor del titular de la información.

El tercer ámbito de exclusión es el de las datos que no son suministrados a
terceros, bien porque pertenecen a un ámbito exclusivamente personal o
porque circulan internamente. En esta instancia es del todo explicable la
exclusión de este escenario de las reglas de la norma estatutaria, pues si se
parte de considerar que la administración de datos personales de contenido
comercial y financiero tiene por objeto otorgar información a los usuarios de

esos datos, con el fin que adopten decisiones sobre el otorgamiento de créditos
y, en general, la celebración de contratos mercantiles, es claro que dicha
administración debe estar sustentada en la transferencia de datos a terceros,
en este caso los mencionados usuarios. Por lo tanto, el hecho que legislador
estatutario haya considerado que la recopilación de información que no
responden a esa condición de transferencia, no sea uno de los ámbitos de
aplicación de la iniciativa, no encuentra reproche alguno.

Esta conclusión es válida incluso respecto de aquellos datos que, en los
términos del inciso quinto del artículo 2º del Proyecto “circulan internamente”.
Ello en la medida en que la misma disposición califica esa circulación a la
imposibilidad de transferencia a terceros la cual, como se dijo, es uno de los
presupuestos para la administración de datos personales a la que refiere la
norma estatutaria. Al respecto, la Sala considera oportuno identificar dos
contenidos diferenciados, que se predican del inciso quinto. El primero, que
prescribe la inaplicabilidad de la normatividad estatutaria a aquellos datos que
mantenidos en un ámbito personal o doméstico. El segundo, relacionado con la
exclusión de la aplicación de la norma estatutaria respecto de los datos que
naturales jurídicas. Hecha esta diferenciación, se tiene que los datos
mantenidos en un ámbito personal o doméstico, por definición, no circulan. Los
que circulan internamente, en cambio, sí lo hacen, sólo que la divulgación se
circunscribe al entorno de la misma fuente de información, lo que en virtud del
carácter sectorial de la ley estatutaria, quiere decir que la circulación se
delimita en el ámbito de la misma empresa y para el cumplimiento de fines
exclusivamente comerciales y financieros.

Las posibilidades expuestas devienen legítimas, puesto que supeditan la
inaplicación de la norma estatutaria a la imposibilidad de transmisión del dato
personal a terceros. Sin embargo, debe resaltarse que en aras de conservar la
eficacia de los derechos del titular del dato, inclusive en dichos ámbitos de
circulación interna resultan predicables las garantías propias del derecho
constitucional al hábeas data, en cuanto resulten aplicables.

Consecuencialmente, debe tenerse en cuenta que si el dato que no circula o
que circula internamente cambia de naturaleza, en razón a que se transmite a
tercera, serán exigibles todas las prerrogativas propias de la administración de
datos personales, previstas en la Constitución y la norma estatutaria a favor

del titular del dato. Especialmente, serán predicables los requisitos de
autorización del sujeto concernido y especificidad de la materia del dato a
aquellos de contenido comercial, crediticio, financiero, de servicios y

Según lo expuesto, resultan desvirtuadas las consideraciones efectuadas por
los intervinientes en el proceso, puesto que, advertida el carácter sectorial del
Proyecto de Ley, resulta legítimo que el legislador haya excluido determinados
ámbitos de la recolección, tratamiento y circulación de información de los
preceptos contenidos en la iniciativa, cuando éstos no están relacionados con el
objeto de la normatividad analizada.

No obstante esta comprobación, la Corte advierte necesario estipular que la
legitimidad constitucional de la consagración de ámbitos de exclusión a las
reglas contenidas en el Proyecto de Ley no significa, de ningún modo, que
tanto esos ámbitos, como todos aquellos en los que se llevan a cabo labores de
recopilación, tratamiento y circulación de datos personales, estén excluidos de
la protección que incorpora el derecho fundamental al hábeas data y, en
general, la libertad y las demás garantías en la Constitución, según la fórmula
establecida en el artículo 15 C.P. y conforme a los principios identificados por la
jurisprudencia constitucional y descritos en el apartado 2 del presente análisis
material. Por lo tanto, en cada una de las actividades de gestión de datos
personales deberá cumplirse con el plexo de derechos, libertades y garantías
propias del derecho fundamental al hábeas data, según las consideraciones
expresadas a lo largo de esta sentencia. Inclusive, la Sala advierte que las
mismas normas de la ley estatutaria, en cuanto prevén los principios de
administración de datos personales, al igual que los derechos y deberes de
titulares, fuentes y usuarios; pueden servir de parámetro para la evaluación de
la legitimidad de otras modalidades de tratamiento de información personal, en
tanto dichos preceptos resulten pertinentes y aplicables.

Esta conclusión se soporta en el hecho que la promulgación de una disposición
estatutaria no desvirtúa el valor normativo del Texto Constitucional y la
aplicación inmediata de las disposiciones que consagran los derechos
fundamentales (Art. 85 C.P.). Por ende, aunque para el caso de la ley que se
analiza el desarrollo del derecho al hábeas data se circunscribió a un sector
específico, la aplicación de los derechos constitucionales interferidos por la
administración de datos personales, cuyo contenido y alcance ha sido

delimitado por la jurisprudencia de esta Corporación, se mantienen incólumes y
deben ser salvaguardados por las instancias involucradas en estos procesos.
Así, en cada acto de acopio, tratamiento y recolección de datos personales
deberá preservarse la competencia del sujeto concernido de conocer, actualizar
y rectificar la información contenida en la base de datos correspondiente. De
igual manera, la administración de dicha información deberá garantizar la
vigencia de los principios de libertad, necesidad, veracidad, integridad,
incorporación, finalidad, utilidad, circulación restringida, caducidad e
individualidad; los cuales, de acuerdo con la jurisprudencia constitucional,
definen el contenido y alcance del derecho fundamental al hábeas data.

3.1.3. Artículo 3º-Definiciones

El artículo 3º del Proyecto de Ley determina un conjunto de definiciones
estipulativas, aplicables a la iniciativa. De manera general, la Corte advierte
que la labor de definición realizada por el legislador es prima facie legítima,
puesto que recae claramente dentro de la cláusula general de competencia
legislativa y, a su vez, que es un instrumento útil para otorgar claridad acerca
de la interpretación de los contenidos de la normatividad de que se trate. Por
lo tanto, el análisis de constitucionalidad de estos conceptos debe restringirse a
la identificación de aspectos que se muestren problemáticos, habida cuenta su
posible contradicción con los postulados superiores y, en especial, con el
contenido y alcance del derecho fundamental al hábeas data.

El literal a) define al titular de la información, como aquella persona natural o
jurídica a quien se refiere la información que reposa en un banco de datos. El
concepto le otorga al titular la condición de sujeto del derecho de hábeas data
y demás derechos y garantías a que se refiere el Proyecto de Ley.

Esta definición no plantea controversia constitucional alguna. Sobre el
particular, basta señalar que la condición de titular de información es
predicable tanto de las personas naturales como jurídicas, en la medida en que
las dos son susceptibles de producir información que puede ser recolectada por
las bases de datos, lo que impone el deber de otorgar un nivel de protección
suficiente y adecuado a esa información personal. Aquí debe resaltarse que,
comprobado el carácter autónomo del derecho al hábeas data, el mismo se
predica de todo proceso de administración de datos, al margen de las

características o condiciones del sujeto concernido. Esta conclusión se muestra
reforzada para el caso particular regulado por el Proyecto de Ley, relacionado
con la administración de datos de contenido financiero, comercial y crediticio,
puesto que es innegable que las personas jurídicas son participantes
indiscutibles del mercado comercial y de crédito, de modo tal que resultaría
injustificado excluirlas de las garantías que se predican a favor del titular de
información de esta naturaleza. Finalmente, debe advertirse que, junto con las
anteriores razones, es el mismo Texto Constitucional el que otorga un carácter
amplio al ejercicio de las garantías de acceso, actualización y rectificación de
datos recolectados en una central de información, potestades que se predican
de “todas las personas”. Así, la jurisprudencia ha considerado, de forma
consistente, que las personas jurídicas son titulares de algunos derechos
fundamentales, a condición que pueda acreditarse razonablemente su
capacidad de ejercicio.[125] Para el presente caso, como se indicó, es evidente
que las personas jurídicas producen información susceptible de ser sometidas a
procesos de recolección, tratamiento y circulación. Así, conforme los
presupuestos previstos en el artículo 15 C.P., es necesario que las garantías
propias de la administración de datos personales se prediquen en dicho
escenario.

El literal b) define a la fuente de información. Se trata, en los términos del
Proyecto de Ley, de una definición amplia, que incorpora toda persona, entidad
y organización que en virtud de una relación comercial o de servicio o de
cualquier otra índole que, en razón de autorización legal o del titular de la
información, suministra datos a un operador de información, que a su vez los
entrega a un usuario final. Del mismo modo, la definición dispone que si la
fuente entrega la información directamente a los usuarios, tendrá la doble
condición de usuario y operador y, en consecuencia, le será aplicable el
régimen de deberes y responsabilidades de ambos. Por último, la norma
establece que la fuente de la información responde por la calidad de los datos
suministrados al operador la cual, en cuanto tiene acceso y suministra
información personal de terceros, se sujeta al cumplimiento de los deberes y
responsabilidades previstas para garantizar la protección de los derechos del
titular de los datos.

Como se observa, esta previsión impone a la fuente de información la
obligación de garantizar el ejercicio de los derechos constitucionales del titular,
en especial, su derecho al hábeas data, prescripción que es en todo compatible
con el Texto Superior. Empero, la Sala considera pertinente analizar uno de los

contenidos normativos de la definición, advertido por uno de los intervinientes,
relativo a la constitucionalidad de la posibilidad que una fuente de información
transfiera los datos de manera directa a los usuarios, sin que medie la
actividad del operador de información. Al respecto, pudiera señalarse que esta
práctica impediría el ejercicio adecuado del derecho, habida cuenta que son los
operadores de información quienes (i) tienen a su disposición las instancias
adecuadas para la administración de los datos personales; y (ii) son objeto de
los procedimientos de consultas, peticiones y reclamos de que trata el artículo
16 del Proyecto de Ley. A su vez, esta práctica podría, en los términos del
mismo interviniente, generar una suerte de cadena de transferencias entre
fuentes y usuarios, útil para impedir que los titulares del dato pudieran ejercer
las facultades de conocimiento, actualización y rectificación.

Ante esta objeción, la Corte encuentra que la misma definición establece un
mecanismo que salva los cuestionamientos anotados. En efecto, se prevé que
en el caso que la fuente transfiera información directamente al usuario de la
información, esta tendrá las responsabilidades y deberes que se predican de
las fuentes y de los operadores. Así, advertida la temática específica que tiene
el Proyecto de Ley, las fuentes de información definidas en la norma objeto de
examen, en tanto no pueden ser otras que aquellas dedicadas a la
administración de datos personales de contenido financiero, comercial,
crediticio, de servicios y proveniente de otros países, tendrán que cumplir con
las condiciones previstas en los artículos 11 y 12 de la iniciativa. Por ende, la
fuente que pretenda transferir datos personales de manera directa a los
usuarios deberá contar con las condiciones previstas por el Proyecto para los
operadores, de manera tal que puedan hacerse efectivas las facultades de
titular del dato de conocimiento, actualización y rectificación, mediante los
procedimientos de consultas, peticiones y reclamos antes mencionados. Es
claro que a través del cumplimiento de estos requisitos, que en los términos de
la norma estatutaria son predicables de las fuentes y de los operadores,
resultan adecuadamente protegidos los derechos constitucionales de los
titulares de la información.

El literal c) define a los operadores de información como la persona, entidad u
organización que recibe de la fuente datos personales sobre varios titulares de
la información, los administra y los pone en conocimiento de los usuarios, bajo
los parámetros previstos en la norma estatutaria. En consecuencia, los
operadores, en cuanto tienen acceso a la información personal, se sujetan al
cumplimiento de los deberes y responsabilidades previstos para garantizar los

derechos del titular de la información. Finalmente establece una cláusula según
la cual salvo en los casos en que el operador sea la misma fuente de
información, este no tiene relación comercial o de servicio con el titular y por
ende no es responsable por la calidad de los datos que le sean suministrados
por la fuente.

Esta norma, en los apartados que definen al operador de información y
establecen su sujeción a los deberes y responsabilidades que se predican de la
eficacia de los derechos constitucionales del titular de la información, es
exequible, puesto que se limita a reiterar el carácter vinculante de las
garantías que el derecho fundamental al hábeas data confiere al sujeto
concernido. No obstante, debe realizarse un análisis más detallado acerca de la
exclusión de responsabilidad por la calidad del dato personal para el caso de
los operadores.

Al respecto, la Corte advierte que el propósito de la norma estatutaria es
concentrar en las fuentes de información el análisis acerca de la veracidad,
integridad y actualidad del dato personal, de manera tal que una vez sea
transferida a los operadores, éstos queden liberados de determinar el
cumplimiento de esas condiciones. Esta posibilidad, a juicio de varios de los
intervinientes y del Procurador General, se muestra problemática, pues
configura un ámbito de excepción en la responsabilidad de proteger las
facultades de conocimiento, actualización y rectificación del dato personal,
incompatible con la vigencia del derecho al hábeas data.

Sobre el particular, la Sala considera, en primer lugar, que el contenido y
alcance del derecho fundamental al hábeas data, expresado en los principios
de administración de datos personales identificados por la jurisprudencia
constitucional, son oponibles a todos los sujetos involucrados en los procesos
de recolección, tratamiento y circulación de datos. Así, para el presente caso,
los operadores son responsables concurrentes con las fuentes en la satisfacción
de, entre otras garantías constitucionales, los principios de veracidad,
integridad y finalidad e incorporación.

En efecto, el operador tiene el deber de determinar si la información que le
envía la fuente es unívoca y, por ende, veraz. Aunque es claro que con base en
la vigencia del principio de buena fe, el operador debe asumir que el dato

personal que le remite la fuente es verdadero, ello no quiere decir que la
recopilación de la información sea un proceso neutro, en que el operador se
limita a incorporar en la base de datos todo aquello que le remita la fuente. En
contrario, la adecuada protección del derecho al hábeas data exige que el
operador verifique si el dato suministrado cumple con los requisitos para que
sea incluido en la base de datos, lo que para el caso del Proyecto de Ley objeto
de examen involucra que su contenido esté relacionado con la información
financiera, crediticia, comercial y proveniente de terceros países, pertinente
para el cálculo del riesgo crediticio.

De igual modo, si se parte de considerar que el operador es quien tiene a
cargo la administración de los datos, la Corte estima que el operador, junto
con la fuente, concurren en la obligación de garantizar que la información
recolectada sea completa, por lo que está proscrita el envío y la recolección de
información parcial, incompleta o fraccionada. Considerar lo contrario, a juicio
de la Sala, llevaría a resultados incompatibles con la adecuada protección del
derecho al hábeas data, puesto que significaría que una vez los datos son
enviados por la fuente, cesa toda posibilidad de determinar la calidad de la
misma, de modo tal que si la fuente remite datos personales que no cumplan
las características anotadas, el operador quedaría, por ministerio de la ley,
autorizado para ejercer la administración de datos personales bajo el supuesto
de la violación del derecho al hábeas data del titular de la información,
posibilidad que para la Corte es inadmisible.

Igualmente, la legitimidad de la administración de datos personales depende
de que el acopio, procesamiento y divulgación de la información responda a
una finalidad constitucionalmente legítima, obligación que contrae la
prohibición de la recopilación de información personal sin un objetivo definido y
autorizado por el titular del dato, al igual que el uso de la misma para un
propósito distinto al previsto y consentido por el sujeto concernido. La
satisfacción del principio de finalidad, por ende, es una obligación
constitucional aplicable tanto al proceso de recolección-que corresponde
primariamente a la fuente-y de procesamiento y divulgación, que son
responsabilidad del operador en tanto administrador de la información.

El deber de inclusión de datos personales que otorgan situaciones ventajosas
al titular, que para el presente caso están relacionados con aquella información
que de cuenta del cumplimiento del pago de las obligaciones comerciales y

crediticias a cargo del sujeto concernido, es una responsabilidad que
corresponde tanto a la fuente, que debe enviar esa información, como al
operador, quien está obligado a incorporarla en la base de datos y divulgarla a
los usuarios, a fin de garantizar que éstos accedan a información actualizada
del sujeto concernido. A partir de esta comprobación, es posible contemplar
hipótesis en las que la fuente ha enviado la información favorable al operador
pero éste, incumpliendo las obligaciones que se derivan del derecho al hábeas
data financiero, omite incorporar dicho dato. En este escenario, es claro que
quien tiene responsabilidad en la calidad de la información es el operador,
razón por la cual el legislador estatutario no está constitucionalmente facultado
para incorporar una cláusula de exclusión de responsabilidad como la prevista
en la disposición objeto de examen.[126]

Finalmente, queda por considerar un argumento de carácter sistemático. El
artículo 16 del Proyecto de Ley, que regula los procedimientos de peticiones,
consultas y reclamos, indica que estas potestades se ejercen ante el operador
de la información. Por lo tanto, la exclusión de responsabilidad prevista en la
norma analizada llevaría a considerar que las facultades de conocimiento,
actualización y rectificación del dato personal, todas ellas relacionadas con el
mantenimiento de la calidad de la información del sujeto concernido, que en
los términos de la normatividad estatutaria, se protegen a través del trámite
de consultas y reclamos, no serían aplicables para el operador de la
información. Esta hipótesisprima facie vulnera el derecho fundamental al
hábeas data del titular.

Como se observa, luego de la recepción del dato transmitido por la fuente, el
operador adquiere deberes específicos respecto a la protección del derecho al
hábeas data del sujeto concernido, lo que incorpora obligaciones concretas en
cuanto a la calidad de los datos, luego de la transmisión. En efecto, es
evidente que las responsabilidades del operador se predican a partir que ha
recibido la información personal por parte de la fuente, pues es desde ese
momento en que se involucra en los procesos de recolección, tratamiento y
divulgación de datos. En ese sentido, resulta válido que el operador esté
excluido de responsabilidad por actos anteriores a la transmisión de la
información por parte de la fuente, lo que justifica la constitucionalidad de la
prescripción del legislador estatutario, en el sentido que salvo que el operador
sea la misma fuente de información, éste no tiene relación comercial o de
servicio con el titular y por ende no es responsable por la calidad de los datos
que le sean suministrados por la fuente. Empero, conforme a los argumentos

planteados en este apartado, la exclusión de responsabilidad al operador no
puede predicarse luego de la transmisión de la información por la fuente, pues
a partir de esa actuación el operador adopta la posición de agente responsable
de la protección del derecho al hábeas data del sujeto concernido.

Por ende, la Sala condicionará la exequibilidad del literal c) del artículo 3º del
Proyecto de Ley Estatutaria, en el entendido que el operador es responsable a
partir de la recepción del dato suministrado por la fuente, por el
incumplimiento de los deberes de diligencia y cuidado en relación con la
calidad de la información, consagrados en esta Ley Estatutaria.

El literal d) del artículo 3º del Proyecto define al usuario como la persona
natural o jurídica que, en los términos y condiciones previstas en la norma
estatutaria, puede acceder a la información personal suministrada por el
operador o por la fuente, o directamente por el titular de la información. Al
usuario, en los términos del mismo precepto, se le sujeta al cumplimiento de
los deberes y responsabilidades previstos para garantizar la protección de los
derechos del titular de los datos. En consecuencia, la norma prevé que en el
caso que el usuario transfiera información directamente al operador, tendrá
simultáneamente las calidades de usuario y fuente, asumiendo los deberes y
responsabilidades de ambos.

El precepto planteado es compatible con la Constitución, en la medida en que
impone a los usuarios de la información personal el cumplimiento de los
deberes y obligaciones propios de la protección del derecho al hábeas data de
que es sujeto el titular del dato. Adicionalmente, debe tenerse en cuenta que
de manera similar a como sucede con las fuentes de información, en el caso
que el usuario transfiera datos personales a un operador, adquirirá las
obligaciones que se predican de las fuentes, esto es, tanto aquellas previstas
en la definición contenida en el literal b), como las señaladas en el artículo 8º
del Proyecto.

De este modo, la Corte advierte que la definición de usuario de la información
personal confiere previsiones efectivas para garantizar el derecho al hábeas
data del titular y, en especial, los principios de la administración de datos
personales a los que se ha hecho continua referencia en esta decisión. Por lo
tanto, su contenido resulta exequible.

El literal e) ofrece tres contenidos normativos diferenciados. El primero
establece que es dato personal cualquier pieza de información vinculada a una
o varias personas determinadas o determinables o que puedan asociarse con
una persona natural o jurídica. El segundo es una regla que establece que los
datos impersonales no se sujetan al régimen de protección de datos previsto
en la iniciativa. El tercero toma la forma de una presunción según la cual
cuando la norma estatutaria haga referencia a dato, se entenderá que es de
carácter personal.

El primero de los contenidos de la norma es constitucional, puesto que
describe de conformidad con lo sostenido por la jurisprudencia de la Corte, la
definición de dato personal. Como se expuso en apartado anterior de esta
sentencia, el dato personal tiene este carácter cuando permite vincular la
información concernida con un sujeto en específico, de manera tal que puedan
predicarse características del mismo. Aunque el precedente citado ha
contemplado que la información de esta condición es propia de las personas
naturales, en criterio de la Sala nada se opone a que la categoría se extienda a
las personas jurídicas. Ello debido a que, en consonancia con lo señalado a
propósito del análisis de constitucionalidad del literal a) del artículo objeto de
examen, la aplicación del derecho al hábeas data financiero y, en general, de
los principios de administración de datos personales, se predica a favor de todo
sujeto jurídico que esté en capacidad de producir información susceptible de
ser objeto de los actos de recolección, tratamiento y circulación a que refiere el
artículo 15 C.P. En consecuencia, es compatible con la Carta Política que
dentro de la definición de dato personal, se incluya el producido por las
personas jurídicas, pues éstas son titulares del derecho al hábeas data.

Los literales f), g) y h) definen las distintas clasificaciones de datos personales,
los cuales pueden ser públicos, semiprivados y privados. El dato público, en los
términos de la norma estatutaria, corresponde a aquellos que sean calificados
de esa manera por la Constitución y la ley, al igual que todos los que no estén
incluidos en las categorías de datos semiprivados y privados. El legislador
prevé dentro de la categoría en comento a los documentos públicos, las
sentencias judiciales debidamente ejecutoriadas que no estén sometidas a
reserva y los relativos al estado civil de las personas.

Los datos semiprivados corresponde a aquellos que no tienen naturaleza
íntima, reservada, ni pública y que, por ende, su conocimiento puede interesar
no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en
general. Ejemplo de esta categoría es el dato financiero y crediticio de
actividad comercial o de servicios, el que, como se ha indicado insistentemente
en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el
dato privado es aquel que por su naturaleza íntima o reservada sólo es
relevante para el titular.

Esta clasificación responde, en buena medida, a la establecida por la
jurisprudencia constitucional, a través de las tipologías de información personal
de índole cualitativa. El legislador estatutario adopta, en este sentido, una
gradación de la información personal a partir del mayor o menor grado de
aceptabilidad de la divulgación. Así, la información pública, en tanto no está
relacionada con el ámbito de protección del derecho a la intimidad, recae
dentro del ejercicio amplio del derecho a recibir información (Art. 20 C.P.) y,
en consecuencia, es de libre acceso. Ello, por supuesto, sin perjuicio que en
relación con la divulgación de la información pública, resulten aplicables las
garantías que el derecho al hábeas data le confiere al sujeto concernido, en
cuanto resulten pertinentes. En contrario, los datos semiprivados y privados,
habida cuenta la naturaleza de la información que contienen, se les adscriben
restricciones progresivas en su legítima posibilidad de divulgación, que se
aumentan en tanto más se acerquen a las prerrogativas propias del derecho a
la intimidad.[127] De esta forma, el dato financiero, comercial y crediticio, si bien
no es público ni tampoco íntimo, puede ser accedido legítimamente previa
orden judicial o administrativa o a través de procedimientos de gestión de
datos personales, en todo caso respetuosos de los derechos fundamentales
interferidos por esos procesos, especialmente el derecho al hábeas data
financiero.[128]

En este escenario, como lo ha reconocido esta Corporación en oportunidades
anteriores, el acceso a la información es un acto compatible por la
Constitución, amén de la necesidad de ponderar el ejercicio del derecho al
hábeas data del titular de la información semiprivada, para el caso objeto de
análisis la de contenido comercial y crediticio, y la protección del derecho a la
información que tienen los sujetos que concurren al mercado económico y que,
por ende, están interesados en obtener datos que les permitan determinar el
nivel de riesgo crediticio de los sujetos concernidos. Precisamente, el objeto
general del Proyecto de Ley es establecer las reglas que permitan que la

utilización de esa información semiprivada resulte respetuosa de los derechos y
libertades predicables de los procesos de recolección, tratamiento y circulación
de datos personales.

Por último, en la categoría de datos privados, el legislador estatutario ha
englobado las categorías de información privada y reservada. En este caso,
según se ha expuesto en esta sentencia, la posibilidad de acceso a la
información es excepcional, debe estar mediada de orden judicial, y se predica
únicamente de aquellos datos que, siendo privados, difieren de lo que la
jurisprudencia ha denominado como datos sensibles. Al respecto, debe
insistirse en que el acceso a la información privada constituye una restricción
apreciable de libre ejercicio del derecho a la intimidad, razón por la cual, la
decisión acerca del conocimiento de la misma es un asunto que sólo puede ser
decidido por las autoridades judiciales en ejercicio de sus funciones, habida
consideración de la cláusula general de reserva judicial para la restricción
legítima de los derechos fundamentales.

Caso distinto se predica de la información sensible, relacionada, entre otros
aspectos, con la orientación sexual, los hábitos del individuo y el credo
religioso y político. En estos eventos, la naturaleza de esos datos pertenece al
núcleo esencial del derecho a la intimidad, entendido como aquella “esfera o
espacio de vida privada no susceptible de la interferencia arbitraria de las
demás personas, que al ser considerado un elemento esencial del ser, se
concreta en el derecho a poder actuar libremente en la mencionada esfera o
núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que
los derechos de los demás y el ordenamiento jurídico”. [129] En este caso, todo
acto de divulgación mediante los procesos genéricos de administración de
datos personales, distintos a las posibilidades de divulgación excepcional
descritas en el fundamento jurídico 2.5. del presente análisis, se encuentra
proscrita. Ello en la medida que permitir que información de esta naturaleza
pueda ser objeto de procesos ordinarios de acopio, recolección y circulación
vulneraría el contenido esencial del derecho a la intimidad.

A pesar que la clasificación propuesta por el legislador estatuario, así
entendida, no presenta reproche constitucional, para la Corte es importante
analizar algunos aspectos puestos a consideración por los intervinientes y el
Procurador General, relacionados con (i) la exequibilidad de una suerte de

“presunción de dato público” que ofrece la definición contenida en el literal f);
y (ii) la delimitación de concepto de “interés” a que refiere el literal g).

En cuanto a lo primero, se acusa al literal f) de establecer una presunción de
dato público, en la medida en que confiere esa calidad a la información
personal que no encuadre dentro de las categorías de dato semiprivado o
privado. Esta circunstancia, a juicio de los intervinientes y del Ministerio
Público, atentaría contra el derecho a la intimidad, puesto que permitiría una
adscripción arbitraria de la información personal a la condición de dato público
y, por ende, de libre acceso. Al respecto, la Corte considera que aunque la
redacción del literal f) pudiera ofrecer confusión, su interpretación concreta se
logra a partir del análisis de los literales g) y h). En efecto, estas previsiones
definen adecuadamente los datos privados y semiprivados, distinguiéndolos del
dato público en razón al mayor o menor nivel de interés para el titular que
tenga la información en ellos contenida. Así las cosas, la previsión del
legislador estatutario de considerar como datos públicos “todos aquellos que
no sean semiprivados o privados” es inane, en la medida en que la misma
norma se encarga de establecer qué datos pertenecen a esas categorías y, a
su vez, las definiciones propuestas delimitan suficientemente el espectro
material en el que son aplicables. Por ende, no es posible concluir que la citada
expresión del literal f) permita la adscripción indiscriminada de datos
personales a la condición de públicos, puesto que las definiciones de datos
semiprivados y privados son igualmente amplias, de modo tal que no resulta
viable sostener una interpretación que permita que un dato personal vinculado
al contenido y alcance del derecho a la intimidad resulte incorporado al
concepto de dato público, pues es indudable que por sus características
particulares se ubicaría bien en la categoría de dato semiprivado o de dato
privado.

Adicionalmente, debe tenerse en cuenta que para los efectos de la regulación
sectorial que se predica del Proyecto de Ley, el legislador estatutario ha
previsto que la información financiera, comercial y crediticia es una modalidad
de información semiprivada. En consecuencia, no será válido que en la
aplicación de las reglas contenidas en la iniciativa, que como se ha insistido,
solo resultan aplicables a la administración de datos personales de contenido
comercial y crediticio, se establezca que dicha información tiene carácter
público, puesto que existe un mandato legal que establece, de forma expresa,
lo contrario.

En cuanto a la segunda de las problemáticas planteadas, relacionada con la
delimitación del concepto de “interés” de que trata el literal g), uno de los
intervinientes advierte que el mismo puede afectar el derecho al hábeas data.
Ello en tanto el interés es un aspecto esencialmente subjetivo, por lo que toda
información podría tornarse en pública, si en cada caso se considera que su
contenido tiene un “interés” para un tercero, inclusive si se trata de
información con carácter privado.

Sobre el particular, la Corte considera que este cuestionamiento se basa en
una interpretación errónea de los preceptos analizados. En efecto, el interés al
que remiten las definiciones objeto de estudio no será otro que un interés
público y objetivo, esto es, relacionado con las actividades sociales que buscan
satisfacer finalidades constitucionalmente reconocidas, como sucede en este
caso con las operaciones comerciales y de crédito. No se trata, bajo esta
perspectiva, de cualquier interés personal, sino de aquellos necesariamente
vinculados con la satisfacción del bien común. Es precisamente por esta razón
que el legislador estatutario incorporó, para los efectos de la aplicación de la
normatividad objeto de examen, a los datos personales de carácter financiero
y crediticio dentro de la categoría de datos semiprivados, ya que las
actividades de recopilación, tratamiento y divulgación de esta información
están relacionadas con el ejercicio de la actividad financiera, cuyo interés
público ha sido previsto expresamente por el artículo 335de la Constitución.

El literal i) define a las agencias de información comercial como las empresas
legalmente constituidas que tienen como actividad principal la recolección,
validación y procesamiento de información comercial sobre las empresas y
comerciantes, específicamente solicitada por sus clientes. Esta información
comercial versa, en los términos de la misma norma, sobre aquellos datos
históricos y actuales relacionados con la situación financiera, patrimonial, de
empresa. Estas agencias, según lo dispuesto en el Proyecto, tienen la condición
de operadores y fuentes de información.

Seguidamente, la norma establece que a las agencias de información
comercial, así como a sus fuentes y usuarios, no se les aplicarán las
disposiciones previstas en los numerales 2º y 6º del artículo 8, el artículo 12 y
el artículo 14. En ese sentido, se les excluye del cumplimiento de las normas

relacionadas con (i) el deber de las fuentes de información de reportar, en
forma periódica al operador, todas las novedades respecto de los datos que
previamente le haya suministrado y adoptar las demás medidas necesarias
para que la información suministrada a éste se mantenga actualizada (Art. 82); (ii) certificar, semestralmente al operador, que la información suministrada
cuenta con la autorización de conformidad con lo previsto en la ley estatutaria
(Art. 8-6); (iii) los requisitos especiales predicables de las fuentes de
información, relacionadas con el deber de actualizar mensualmente los datos
suministrados al operador, al igual que las reglas para el reporte de
información sobre incumplimiento en el pago de obligaciones (Art. 12);
y (iv) la utilización del formato diseñado por el Gobierno Nacional para la
presentación de la información financiera sobre cumplimiento de obligaciones a
sus titulares. (Art. 14).

Sobre esta disposición, la Corte advierte que el legislador estatutario distingue
entre los operadores de información que tienen como propósito recolectar
datos personales pertinentes para el cálculo del riesgo crediticio del sujeto
concernido, de las agencias de información comercial que no tienen ese
propósito particular, sino que se dedican a realizar estudios de mercado y, en
general, obtener a través de varias vías datos relevantes sobre la situación
patrimonial y técnica de las empresas y comerciantes participantes en el
mercado, a fin de suministrar dicha información a esos mismos participantes, a
cambio de un pago. Las agencias de información comercial, bajo esta lógica,
no tienen como función específica la generación de reportes sobre el
cumplimiento de obligaciones de dichos comerciantes y empresas, sino que
centran su objeto en entregar datos valiosos para la adopción de decisiones
que tienen que ver con el tráfico mercantil.

En cuanto las agencias de información comercial participan en procesos de
acopio, recolección y tratamiento de datos personales, les es exigible el
cumplimiento de las prerrogativas propias del derecho al hábeas data, y es por
ello que el legislador estatutario las ha identificado como uno de los sujetos a
los que se les aplica la normatividad objeto de examen. Sin embargo, las ha
también exonerado de determinadas obligaciones, cuya constitucionalidad ha
sido cuestionada por varios de los intervinientes y por el Ministerio Público,
bajo el argumento de la inexistencia de una razón suficiente para disminuir el
nivel de protección de los derechos y la posibilidad correlativa de permitir la
instauración de ámbitos en los que la circulación de datos personales pueda
realizarse en perjuicio de la efectividad del derecho al hábeas data y de la

vigencia y de la libertad y de los demás derechos y garantías constitucionales
involucrados en las labores de acopio, tratamiento y divulgación de datos.

Respecto a las previsiones contenidas en los numerales 2º y 6º del artículo 8º
del Proyecto de Ley, la Sala considera que su cumplimiento está
estrechamente relacionado con las labores que realizan las fuentes y
operadores dentro de los procesos de administración de datos personales
destinados al cálculo del riesgo crediticio. En efecto, la obligación que tiene las
fuentes de reportar al operador las novedades respecto de los datos que haya
suministrado presupone la existencia de una relación bilateral entre fuente y
operador, la cual se acredita claramente en la gestión de datos que efectúan
las centrales de riesgo, pero que no aplican necesariamente respecto a las
agencias de información comerciales, las cuales ofrecen información a sus
clientes, sin que para ello concurra la actividad de los operadores. En tal
sentido, resulta razonable que el legislador estatutario haya excluido esta
obligación para el caso de las agencias de información comercial, pues su
funcionamiento difiere de las labores adelantadas por las centrales de riesgo
crediticio.

En lo que refiere a la exclusión de responsabilidad a las agencias de
información comercial frente al deber previsto en el numeral sexto del artículo
8º, relacionada a la obligación de certificar semestralmente al operador, que la
información suministrada cuenta con la autorización de conformidad con lo
previsto en la normatividad estatutaria, la Corte encuentra que es acorde con
la Constitución. Al respecto, debe partirse de considerar que la actividad que
realizan las agencias de información comercial no se circunscribe al esquema
ordinario de administración de datos personales, el cual parte de la base de la
existencia de una fuente, quien transmite la información al operador, quien
luego la divulga a los usuarios. En contrario, conforme la definición ofrecida
por el legislador estatutario, las agencias de información comercial realizan
estudios económicos, a pedido de sus clientes, dirigidos a constatar la situación
integral de una empresa o comerciante. Por lo tanto, el hecho que la norma
objeto de análisis excluya ese deber de certificación, el cual encuentra
fundamento sólo en el caso de la administración ordinaria antes descrita.

De otro lado, para la Corte es importante resaltar que, contrario a como lo
sostienen el Ministerio Público y algunos de los intervinientes, la exclusión de
responsabilidad estudiada no releva con la obligación que tiene la agencia de

información comercial, en su condición de fuente de información, de obtener la
autorización del titular para la inclusión del dato personal en un archivo o
banco de datos. Como se desarrolla in extenso en el fundamento jurídico 3.1.5.
de esta sentencia, el principio de libertad es uno de los aspectos que conforma,
por expreso mandato constitucional, el núcleo esencial del derecho al hábeas
data. Este principio encuentra su expresión concreta en el consentimiento del
sujeto concernido para la inclusión de su información personal en los archivos
y bancos de datos. De acuerdo con lo regulado por la normatividad estatutaria,
las fuentes tienen la obligación de solicitar y conservar copia y evidencia de la
respectiva autorización otorgada por el titular (Art. 8-5), lo que implica en el
evento analizado que las agencias de información comercial, cuando actúan
como fuentes y pretendan transmitir el dato personal a un operador, deben
cumplir con el requisito de consentimiento previo, expreso y suficiente del
titular del dato, en tanto condición para la eficacia de la autodeterminación
informática del mismo.

Similares consideraciones son aplicables para el caso de la exoneración de
responsabilidad para las agencias de información comercial, sus fuentes y
usuarios en lo relativo al deber especial de las fuentes de actualizar
mensualmente la información suministrada al operador, en los términos del
artículo 12 del Proyecto, que refiere al reporte de información financiera sobre
incumplimiento a los operadores de las centrales de riesgo crediticio. Es
evidente que los efectos de esta disposición se circunscriben a la relación entre
las fuentes y las administradoras de información comercial y financiera y en el
ámbito propio del cálculo del riesgo. Como se indicó en apartado precedente,
esta modalidad de administración de datos difiere de la actividad que realizan
las agencias de información comercial, las cuales, se insiste, llevan a cabo
estudios económicos sobre las empresas y comerciantes, diferenciables de la
gestión de información personal sobre cumplimiento en el pago de
obligaciones. Por este motivo, resulta razonable que el legislador estatutario
haya incorporado una exclusión de responsabilidad de tal naturaleza.

En cuanto a la tercera restricción, la Corte encuentra que se explica a partir de
las particulares condiciones de las agencias de información comercial, no
afecta el contenido y alcance del derecho al hábeas data y, por lo mismo, es
compatible con la Constitución. Nótese que el artículo 14 del Proyecto de Ley
regula el contenido del formato que debe utilizarse para la presentación de la
información comercial, financiera y crediticia por parte de los operadores de
información. Esta disposición versa sobre los requisitos mínimos que debe

contener el reporte y las reglas para determinar cuando éste es calificado
como positivo o negativo. Es sencillo inferir que previsiones de esta naturaleza
sólo son aplicables para aquellos operadores que administran datos personales
con el propósito de evaluar el nivel de riesgo crediticio del sujeto concernido.
Por ende, en la medida en que las actividades desplegadas por las agencias de
información comercial difieren de la de dichos operadores de datos personales,
nada se opone a que el legislador estatutario excluya estos sujetos de su
cumplimiento.

Con base en lo expuesto, la Corte declarará exequible el literal i) del artículo 3º
del Proyecto de Ley.

El literal j) del artículo 3º define a la información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países como aquella
referida al nacimiento, ejecución y extinción de obligaciones dinerarias,
independientemente de la naturaleza del contrato que les dé origen, así como
la información relativa a las demás actividades propias del sector financiero o
sobre el manejo financiero o los estados financieros del titular.

De manera general, esta definición no presenta inconvenientes desde la
perspectiva constitucional, habida cuenta que recoge los aspectos que resultan
relevantes y pertinentes para el cálculo del riesgo financiero y, cuya
recolección por parte de los operadores de información resulta justificada, en
los términos que se han expuesto en esta decisión y bajo el acatamiento
estricto de las facultades propias del derecho al hábeas data, los principios de
administración de datos personales y las demás libertades y garantías
aplicables a los procesos de recolección, tratamiento y circulación de datos.

No obstante esta comprobación general, deben realizarse dos precisiones. La
primera relativa a la constitucionalidad de la inclusión dentro de la definición
de la expresión “así como la información relativa a las demás actividades
propias del sector financiero o sobre el manejo financiero o los estados
financieros del titular”. La segunda destinada a determinar si la posibilidad que
la definición comprenda las obligaciones derivadas del pago de servicios
públicos, entre ellos los domiciliarios y los de salud y educación, es contraria a
la Constitución.

En cuanto al primer aspecto, la Sala advierte que del citado apartado pueden
identificarse dos contenidos normativos. El primero de ellos adscribe el
carácter de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países a aquella “relativa a las demás actividades
propias del sector financiero o sobre el manejo financiero”. El segundo otorga
igual condición a “los estados financieros del titular”.

El primero de los contenidos normativos expuestos, en criterio de la Sala, se
muestra problemático en términos de protección del derecho fundamental al
hábeas data, en especial respecto a la eficacia del principio de finalidad
predicable de la administración de datos personales. En efecto, una expresión
que confiera la condición de dato financiero, comercial y crediticio a todo dato
relativo a las actividades financieras, resulta una cláusula en extremo genérica
y vaga, por lo que impide identificar con exactitud a qué tipo de información se
refiere, situación que posibilitaría la administración de datos personales que,
incluso, no guarden relación con el cálculo del riesgo crediticio, en tanto
finalidad constitucionalmente legítima. Bajo estas circunstancias, no existe un
contexto lo suficientemente claro para el ejercicio del derecho al hábeas data
en relación con esa modalidad de datos personal, lo que justifica la
inconstitucionalidad del precepto.

De otro lado, debe insistirse en que la fórmula adoptada por el legislador
estatutario, según la cual el dato financiero, comercial y crediticio es aquel
referido al nacimiento, ejecución y extinción de las obligaciones dinerarias,
engloba las distintas variables de información personal que resultan
pertinentes para el cálculo del riesgo crediticio, en tanto variable que interesa
a la administración de datos personales regulada por la norma estatutaria. En
ese sentido, la adición de cláusulas que amplían la definición al punto de
tornarla vaga e imprecisa, es incompatible con el principio de finalidad antes
citado.

En lo relativo a la segunda expresión, que incluye dentro del concepto de
terceros países a “los estados financieros del titular”, la Corte parte de
considerar que de conformidad con el inciso final del artículo 15 C.P., para
efectos tributarios o judiciales y para los casos de inspección, vigilancia e

intervención del Estado podrá exigirse la presentación de libros de
compatibilidad y demás documentos privados, en los términos que señale la
ley. A partir de esta previsión, la jurisprudencia constitucional ha señalado que
los libros de los comerciantes, que contienen los estados financieros, pueden
ser solicitados por las autoridades tributarias o judiciales, a condición que
dicha solicitud se realice para fines concretos, específicos y vinculados con las
competencias legales y constitucionales y, a su vez, se respeten las garantías
propias de los derechos fundamentales a la intimidad y al hábeas data. [130]

Es a partir de lo previsto en el artículo 15 C.P., entonces, que el Constituyente
ha calificado a los libros de contabilidad como documentos privados, cuyo
acceso es constitucionalmente legítimo en tres supuestos definidos: (i) cuando
sean solicitados por las autoridades administrativas de carácter tributario y
para los fines propios de sus funciones; (ii) cuando el requerimiento lo realice
una autoridad judicial; o (iii) en el marco de las actividades de inspección,
vigilancia e intervención del Estado. Esta restricción supone, a juicio de la
Corte, que en los demás eventos el acceso a los libros de contabilidad se
encuentra restringido, en tanto sólo interesa a los propósitos y fines de las
empresas y comerciantes. Ello, por supuesto, sin perjuicio de la posibilidad que
la información relacionada con balances, estados de pérdidas y ganancias, etc.,
pueden ser presentados voluntariamente por el titular o exigidos por una
entidad crediticia o comercial, para efectos de análisis de solvencia o de
capacidad de pago del cliente potencial. Ello en razón a que estas hipótesis son
legítimas, en tanto difieren de la incorporación de los “estados financieros del
titular” a archivos y bancos de datos, con el ánimo de que sean divulgados a
partir de las reglas ordinarias de tratamiento de datos personales, consagrados
en la normatividad estatutaria.

Bajo este marco de referencia, la inclusión de los estados financieros dentro la
definición de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países, se muestra problemática. En efecto, si se
considera que los libros de contabilidad, que son el soporte de los estados
financieros, hacen parte de la información personal susceptible de ser sometida
a los procesos de administración de datos previstos en la norma estatutaria,
podrían ser objeto de circulación por parte de los terceros usuarios de la
información que ofrecen los operadores. En estas circunstancias, se
desconocería la restricción prevista en el artículo 15 C.P., que circunscribe el
acceso a los libros de contabilidad a los supuestos mencionados.

Por lo tanto, según las consideraciones expuestas, la expresión “así como la
información relativa a las demás actividades propias del sector financiero o
sobre el manejo financiero o los estados financieros del titular”, prevista en el
literal j) del artículo 3º se torna inexequible.

En cuanto al segundo aspecto, uno de los intervinientes sostiene que la
posibilidad que la definición objeto de estudio se extienda a los servicios
públicos domiciliarios y a los de salud y educación, provocaría que la
administración de datos personales destinada al cálculo del nivel del riesgo
financiero se constituyera en una barrera injustificada para el acceso al crédito,
imponiéndose por tanto una carga desproporcionada a los ciudadanos, quienes
suscriben los contratos para acceder a dichos servicios no en el marco de la
libertad económica entre particulares, sino ante la necesidad de contar con los
medios indispensables para la satisfacción de sus derechos constitucionales. En
ese sentido, el interviniente solicita a la Corte que se declare un
condicionamiento a la definición objeto de análisis, en el sentido que la
expresión “de servicios” se entienda de modo que no proceda el reporte de
información relacionada con obligaciones generadas en la prestación de los
servicios de educación, salud o servicios públicos domiciliarios, sino sólo de
servicios onerosos de carácter estrictamente comercial.

La Corte advierte que la interpretación que hace el interviniente de la
definición no se predica del texto de la misma, sino que está basada en una
hipótesis de uso abusivo y arbitrario de la información comercial, crediticia,
financiera y de servicio concernida en bases de datos personales. Como se
indicó al momento de analizar los aspectos generales del derecho al hábeas
data, la administración de información personal está sujeta a un deber de
responsabilidad social que obliga a los usuarios del dato a no convertir los
reportes de riesgo en una barrera para el acceso al crédito. Este deber se
concreta, en el caso propuesto por el interviniente, en la obligación de las
entidades de crédito de abstenerse de negar la solicitud de acceso a los
productos de crédito, a partir de simple reporte negativo ofrecido por el
operador, basado en el incumplimiento de obligaciones dinerarias propias de
los contratos de servicios públicos.

Al respecto debe reiterarse que aunque la actividad de administración de datos
personales de contenido comercial y financiero es constitucionalmente
legítima, esto no avala los comportamientos abusivos de las entidades que

ejercen actividades de intermediación, que comprenden, entre otras prácticas
restrictivas del mercado de crédito: (i) la confección de “listas negras”, que se
restringen a incluir datos comerciales y financieros negativos; (ii) el uso
coercitivo de los reportes de riesgo para obtener el pago de las obligaciones
dinerarias, pretermitiéndose los procedimientos de los instrumentos de
ejecución previstos en la ley;[131] y (iii) de manera general, el uso
indiscriminado de los reportes de riesgo como instrumento para la exclusión in
limine del acceso a los productos financieros y de crédito.

Adicionalmente, debe tenerse en cuenta que el alcance del deber de
responsabilidad social en la administración de datos personales está
expresamente regulado en la norma objeto de estudio. Así, en los términos
propuestos por el legislador estatutario, este deber se hace específico en una
norma positiva (Art. 10 del Proyecto) que obliga a que (i) la administración de
datos personales se realice de forma tal que permita favorecer los fines de
expansión y democratización del crédito; (ii) los usuarios valoren esa
información de forma concurrente con otros factores o elementos de juicio que
técnicamente incidan en el estudio del riesgo y el análisis crediticio; y (iii) en
consecuencia,
los
establecimientos
financieros
no
podrán
basarse
exclusivamente en la información relativa al incumplimiento de obligaciones
suministradas por los operadores, para adoptar decisiones frente a solicitudes
de crédito. La misma disposición otorga a la Superintendencia Financiera la
facultad de imponer las sanciones previstas en la norma estatutaria a los
usuarios de información que incumplan con los deberes mencionados. Por
ende, resulta claro que la administración de datos personales de contenido
comercial, crediticio y de servicios, bajo el supuesto del cumplimiento de las
restricciones, límites y requisitos previstos por la norma estatutaria, no tiene
en si misma la virtualidad de impedir el acceso al mercado de crédito a los
ciudadanos suscriptores de los servicios públicos.

No obstante lo anterior, la Corte comparte con el interviniente la preocupación
acerca de la comprobada existencia de prácticas abusivas en el mercado
financiero y comercial colombiano, que han llevado a magnificar el alcance de
los reportes de riesgo, convirtiéndolos en barreras que impiden el
cumplimiento de las finalidades constitucionales de democratización del crédito
(Art. 335 C.P.). Empero, la Sala también advierte que la norma estatutaria
ofrece herramientas coercitivas para el cumplimiento del deber de
responsabilidad social exigible de la administración de datos personales, de
modo tal que los supuestos de uso abusivo que sustentan la solicitud de

exequibilidad condicionada están debidamente proscritos en el ordenamiento
legal analizado. De esta manera, una decisión en ese sentido no resulta
necesaria, puesto que la interpretación sistemática de las disposiciones del
Proyecto de Ley enerva las hipótesis de uso arbitrario, contrarias a los
derechos constitucionales de los titulares de la información comercial y
financiera.

3.1.4. Artículo 4º. Principios de administración de datos

El artículo 4º prevé que en el desarrollo y aplicación de la norma estatutaria,
se tendrán en cuenta los principios de veracidad o calidad, finalidad, circulación
restringida, temporalidad, interpretación integral de derechos constitucionales,
seguridad y confidencialidad.

El principio de veracidad o calidad de los registros o datos obliga a que la
información contenida en los bancos de datos sea veraz, completa, exacta,
actualizada, comprobable y comprensible. De igual manera, este principio
prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados
o que induzcan al error.

El principio de finalidad, en los términos del Proyecto de Ley, obliga a que las
actividades de recolección de datos personales obedezcan a una finalidad
legítima de acuerdo con la Constitución y la ley. De la misma forma, establece
que la finalidad deberá comunicársele al titular de la información previa o
concomitante con el otorgamiento del titular de la autorización, cuando ella sea
necesaria o, en general, siempre que el titular solicite información al respecto.

El principio de circulación restringida está dirigido a determinar que la
administración de los datos personales se sujeta a los límites que se derivan de
su naturaleza, de la norma estatutaria y de los principios que le son aplicables
a esa actividad, en especial los de temporalidad de la información y finalidad
del banco de datos. De igual manera, en virtud de este principio los datos
personales, salvo la información pública, no podrán ser accesibles por Internet
o por otros medios de divulgación o comunicación masiva, salvo que el acceso
sea técnicamente controlable para brindar un conocimiento restringido sólo a

los titulares o a los usuarios autorizados para ello, en los términos de la
disposición estatutaria.

El principio de temporalidad de la información refiere a la necesidad que el
dato del sujeto concernido no podrá ser suministrado a los usuarios cuando
deje de servir para la finalidad del banco de datos.

Conforme al principio de interpretación integral de derechos constitucionales,
la norma estatutaria se interpretará en el sentido que se amparen
adecuadamente los derechos constitucionales, como son el hábeas data, el
derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el
derecho a la información. Igualmente, establece que los derechos de los
titulares se interpretarán en armonía con lo previsto en el artículo 20 de la
Constitución y con los demás derechos constitucionales aplicables.

El principio de seguridad impone que en la información personal contenida en
bases de datos, así como en la resultante de las consultas que realicen los
usuarios, se incorporen las medidas técnicas necesarias para garantizar la
seguridad de los registros, a fin de evitar su adulteración, pérdida, consulta o
uso no autorizado.

Por último, el principio de confidencialidad establece que todas las personas
naturales o jurídicas que intervengan en la administración de datos personales
que no tengan carácter público, están obligadas en todo tiempo a garantizar la
reserva de la información, inclusive después de finalizada su relación con
alguna de las labores que comprende la administración de datos, pudiendo sólo
realizar el suministro o comunicación de datos cuando ello corresponda al
desarrollo de las actividades autorizadas por la norma estatutaria.

La Corte considera que estos preceptos reiteran el contenido y alcance de los
principios que, en términos de la jurisprudencia constitucional, definen el
contenido y alcance del derecho fundamental al hábeas data. En ese sentido,
se muestran en todo compatibles con la Carta Política. Además, debe
resaltarse que los principios para la administración de datos personales
incorporados por el legislador estatutario están construidos a partir de una

fórmula amplia, en especial para el caso del principio de interpretación integral
de derechos constitucionales, lo cual permite la eficacia de las distintas
libertades y garantías aplicables a los procesos de recolección, tratamiento y
circulación de datos personales.

Sobre este particular debe indicarse que si bien el legislador estatutario no
incluyó la totalidad de los principios predicables de la administración de datos
personales e identificados por la jurisprudencia de esta Corporación, esto no
afecta la exequibilidad del precepto. Ello en la medida en que, de conformidad
con el principio de interpretación conforme, [132]las previsiones que integran el
orden jurídico deben interpretarse de forma tal que resulten compatibles con la
Carta Política. En consecuencia, si la Corte en ejercicio de su función de
intérprete autorizado de la Constitución, ha definido a través de los principios
de administración de datos personales el contenido y alcance del derecho
fundamental al hábeas data, las normas estatutarias deberán interpretarse en
armonía con el plexo de garantías y prerrogativas que integran ese derecho.

Finalmente, la Sala hace énfasis en que la interpretación de estos principios
debe realizarse de manera coordinada y sistemática, de modo tal que la
aplicación de uno de ellos no desvirtúe el contenido de los otros o de las demás
prerrogativas que integran el derecho fundamental al hábeas data, conforme
se ha expuesto en distintos apartados de esta sentencia. Así por ejemplo, la
posibilidad prevista por la descripción del principio de confidencialidad, según
la cual las personas naturales o jurídicas que intervengan en la administración
de datos personales pueden transmitir la información luego de finalizada su
relación con alguna de las labores que comprende dicha administración, estará
supeditada a (i) la comprobación del vínculo entre ese acto de administración y
el desarrollo de las actividades autorizadas en la norma estatutaria; (ii) la
conservación, en todo caso, de la reserva sobre la información personal
transmitida; y (iii) la vigencia de los demás principios de administración de
datos, en especial los de finalidad, temporalidad e interpretación integral de
derechos constitucionales.

3.1.5. Artículo 5º-Circulación de la información

El artículo 5º estipula los supuestos en los que la información personal
recolectada en bases de datos o suministrada en los eventos previstos en la

norma estatutaria, puede ser entregada o puesta a disposición. De forma
preliminar debe advertirse que, habida consideración del carácter sectorial de
la legislación estatutaria, la información personal a la que se hace referencia
en esta disposición no será otra que la de contenido financiero, crediticio,
comercial, de servicios y la proveniente de terceros países, conforme a las
razones reiteradas en esta decisión.

El primer supuesto de circulación es a los titulares de la información, a las
personas debidamente autorizados por éstos y a sus causahabientes, a través
del procedimiento de consulta previsto en el artículo 16 de la norma
estatutaria. Esta posibilidad, en criterio de la Corte, es constitucional, en tanto
el artículo 15 C.P. confiere a los sujetos concernidos la facultad de conocer la
información que sobre ellos se haya incorporado en un sistema automatizado
de información. Así, lo que hace la norma es posibilitar el ejercicio de esa
competencia.

Del mismo modo, la posibilidad que incorpora la norma de entrega de
información a los causahabientes del titular se encuentra justificada de la
perspectiva constitucional. Al respecto, decisiones anteriores de esta
Corporación han establecido que en los casos el sujeto concernido en la base
de datos ha fallecido, la imposibilidad material de que el titular ejerza las
facultades de conocimiento, actualización y rectificación de la información
personal, no puede llevar a adscribir un poder omnímodo a los operadores,
consistente en la posibilidad de permitir la divulgación y control perpetuos del
dato.[133] Por lo tanto, resulta razonable que se incorporen en la legislación
instrumentos que permitan a los causahabientes, quienes en los términos
previstos en la ley representan los intereses jurídicos del causante, puedan
consultar su información personal y ejercer las facultades previstas en el
artículo 15 C.P. respecto de los procesos de administración de datos. Esto con
el fin que la información conserve las cualidades de veracidad e integridad
exigibles de la legítima recolección de datos personales.

El literal b) prevé que también podrán acceder a la información personal los
usuarios, conforme a los parámetros de la norma estatutaria. En lo que
respecta a los datos de contenido crediticio, comercial y financiero, materia del
Proyecto de Ley, su carácter de información semiprivada justifica su circulación
y entrega a terceros, a condición que se permita al titular del dato personal el
ejercicio de las facultades de conocimiento, actualización y rectificación del

mismo y, de manera más general, se cumplan con los principios de
administración de datos personales. De forma específica para el caso de los
usuarios, la posibilidad de acceder al dato estará restringida tanto por la
finalidad de acopio de la información autorizada por el titular del dato, como
por el cumplimiento del principio de confidencialidad previsto en el artículo 4º
de la norma estatutaria. En todo caso, la existencia de una disposición expresa
que sujeta la entrega de información al usuario a los requisitos previstos en la
regulación bajo estudio y, en consecuencia, le hace oponibles las garantías
propias del derecho fundamental al hábeas data financiero, permite acreditar la
exequibilidad del precepto.

El literal c) dispone que la información personal también pueda ser entregada a
cualquier autoridad judicial, previa orden judicial. Este es un escenario distinto
a los anteriores, puesto que ya no se trata del acceso por parte de los sujetos
tradicionalmente involucrados en el proceso de administración de datos
personales (titulares, fuentes, operadores y usuarios), sino de un tercero que,
investido de la potestad estatal de administrar justicia, accede a la información
comercial, crediticia y financiera del sujeto concernido, con el fin de obtener
material probatorio necesario para adoptar las decisiones que son de su
competencia.

En este evento, si bien no existe una autorización expresa del titular que
circunscriba la circulación del dato, la posibilidad de acceso resulta justificada
en la legitimidad que tienen en el Estado Constitucional de Derecho las
actuaciones judiciales, ámbitos de ejercicio de la función pública sometidos a
reglas y controles, sustentados en la eficacia del derecho al debido proceso y
rodeado de las garantías anejas a éste, en especial, los derechos de
contradicción y defensa. Así, reconociéndose la importancia de esta actividad
en el régimen democrático, entendida como pilar fundamental para la
consecución de los fines estatales de asegurar la convivencia pacífica y la
vigencia de un orden justo y advirtiéndose, del mismo modo, que el acto de
divulgación en este caso responde a una finalidad constitucionalmente
legítima, el precepto examinado es exequible.

El literal d) señala que la entrega o puesta a disposición de la información
personal a las entidades públicas del poder Ejecutivo, cuando el conocimiento
de dicha información corresponda directamente al cumplimiento de alguna de
sus funciones. En ese sentido, el legislador estatutario ha previsto que el dato

personal puede ser divulgado, de manera genérica, a los entes administrativos,
bajo la sola condición que la información esté relacionada, de forma directa, al
ejercicio de las funciones de ese ente.

Algunos de los intervinientes cuestionan la exequibilidad de este precepto.
Argumentan que establece una cláusula en extremo abierta e indefinida, que
puede poner en riesgo las garantías del derecho al hábeas data, en especial los
principios de finalidad, utilidad y circulación restringida exigibles de los
procesos de administración de datos personales.

La Corte advierte que la norma estatutaria circunscribe la hipótesis de
circulación de información a la correspondencia directa con el incumplimiento
de algunas de las funciones de la entidad pública correspondiente, razón por la
cual prima facie, no se estaría ante la vaguedad identificada por los
intervinientes. No obstante, la Sala también constata que esta hipótesis de
divulgación a las autoridades de la Rama Ejecutiva no puede convertirse en un
escenario proclive al abuso del poder informático, esta vez en cabeza de los
funcionarios del Estado. Así, el hecho que el legislador estatutario haya
determinado que el dato personal puede ser requerido por toda entidad
pública, bajo el condicionamiento que la petición se sustente en la conexidad
directa con alguna de sus funciones, de acompasarse con la garantía irrestricta
del derecho al hábeas data del titular de la información. En efecto, amén de la
infinidad de posibilidades en que bajo este expediente puede accederse al dato
personal, la aplicación del precepto bajo análisis debe subordinarse a que la
entidad administrativa receptora cumpla con las obligaciones de protección y
garantía que se derivan del citado derecho fundamental, en especial la vigencia
de los principios de finalidad, utilidad y circulación restringida.

Para la Corte, la eficacia del derecho al hábeas data en el evento analizado, se
logra a través de dos condiciones definidas: (i) el carácter calificado del vínculo
entre la divulgación del dato y el cumplimiento de las funciones de la entidad
del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y
obligaciones que la normatividad estatutaria predica de los usuarios de la
información, habida consideración que ese grupo de condiciones permite la
protección adecuada del derecho.

En cuanto a lo primero, la Sala considera oportuno señalar que la modalidad de
divulgación del dato personal prevista en el precepto analizado devendrá
legítima, cuando la motivación de la solicitud de información esté basada en
una clara y específica competencia funcional de la entidad. Además, en virtud
del carácter sectorial de la norma estatutaria antes identificado, la naturaleza
de la información no podrá ser otra que aquella de contenido financiero,
comercial y crediticio. En suma, para que la divulgación del dato sea
respetuosa del derecho al hábeas data, la entidad del poder Ejecutivo tendrá la
carga de demostrar que el acceso a la información financiera y crediticia del
sujeto concernido tiene un vínculo necesario con el ejercicio de sus
competencias funcionales específicas.

Respecto a la segunda condición, la Corte estima que una vez la entidad
administrativa accede al dato personal de naturaleza comercial, financiera y
crediticia, adopta la posición jurídica de usuario dentro del proceso de
administración de datos personales, lo que de forma lógica le impone el deber
de garantizar los derechos fundamentales del titular de la información,
previstos en la Constitución Política y desarrollados por la Ley Estatutaria
objeto de revisión en esta sentencia. En consecuencia, conforme a lo previsto
en el artículo 9º de la norma estatutaria, en los eventos en que las autoridades
administrativas accedan a la información personal concernida en archivos y
bancos de datos, en ejercicio de la facultad prevista en el literal d) del artículo
5º, deberán, sin perjuicio del cumplimiento de las demás disposiciones
prescritas en la Constitución y la Ley Estatuaria (i) guardar reserva de la
información que les sea suministrada por los operadores y utilizarla
únicamente para los fines que justificaron la entrega, esto es, aquellos
relacionados con la competencia funcional específica que motivó la solicitud de
suministro del dato personal; (ii) informar a los titulares del dato el uso que le
esté dando al mismo; (iii) conservar con las debidas seguridades la
información recibida para impedir su deterioro, pérdida, alteración, uso no
autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la
autoridad de control, en relación con el cumplimiento de la legislación
estatutaria.

Considerados estos argumentos, la Corte concluye que lo dispuesto en el literal
d) del artículo 5º resulta exequible, a condición que el precepto se interprete
en el entendido que las entidades públicas del poder Ejecutivo, cuando acceden
al dato personal, quedan sometidas a los deberes y responsabilidades previstos
por la Ley Estatutaria para los usuarios de la información.

El literal e) establece la posibilidad que el dato personal sea puesto a
disposición de los órganos de control y demás dependencias de investigación
disciplinaria, fiscal o administrativa, cuando la información sea necesaria para
el desarrollo de una investigación.

En este caso, advierte la Corte que la finalidad de la transferencia de
información está suficientemente definida, puesto que se circunscribe a la
existencia de una investigación disciplinaria, fiscal o administrativa, ámbitos
del derecho sancionador en que el sujeto concernido cuenta con las instancias
necesarias para ejercer las facultades de conocimiento, actualización y
rectificación del dato personal.

El acceso al dato personal en este evento responde, de la misma manera, al
cumplimiento de finalidades estatales que son legítimas desde la perspectiva
constitucional, están provistas de un régimen de reglas y procedimientos que
permiten la protección de los derechos de los ciudadanos y, en suma, dejan
incólumes las garantías que se predican de la administración de datos
personales. Se trata, como lo ha reiterado la jurisprudencia, de expresiones de
la actuación del Estado necesarias (i) “para el adecuado cumplimiento de sus
funciones y la realización de sus fines [134], pues ii) permite realizar los valores
del orden jurídico institucional, mediante la asignación de competencias a la
administración que la habilitan para imponer a sus propios funcionarios y a los
particulares el acatamiento, inclusive por medios punitivos, de una disciplina
cuya observancia propende indudablemente a la realización de sus
cometidos[135] y iii) constituye un complemento de la potestad de mando, pues
contribuye
a
asegurar
el
cumplimiento
de
las
decisiones
[136] [137]
administrativas
.”
. En todo caso, su legitimidad se sustenta en el
cumplimiento de los postulados propios del principio de legalidad y el debido
proceso,[138] lo que garantiza que el uso de datos personales en esas instancias
se realice con observancia de las garantías expuestas en esta decisión.

El literal f) del artículo 5º establece varios supuestos de circulación del dato
personal que requieren un análisis separado. El primero de ellos dispone que la
información personal pueda ser entregada o puesta a disposición de otros
operadores de datos, cuando se cuente con autorización del titular. Este
contenido normativo no ofrece mayor dificultad, en tanto la divulgación del

dato está sustentada en el ejercicio de libre voluntad del sujeto concernido de
autorizar su administración por un operador de datos distinto al que
originalmente había prestado su consentimiento. Esta autorización, además,
estará cobijada por las garantías propias del derecho al hábeas data,
especialmente el principio de finalidad dispuesto por la norma estatutaria, de
modo que deberá facilitar la identificación plena, suficiente y previa del
propósito de la base de datos y de los usos permitidos de la información.

El segundo supuesto establece que la circulación procederá en el caso en que
sin ser necesaria la autorización del titular, el banco de datos de destino tenga
la misma finalidad o una finalidad que comprenda la que tiene el operador que
entrega los datos. Esta disposición parte de la base que existen casos en que
la circulación del dato personal puede operar sin que el titular preste su
consentimiento. Adicionalmente, debe tenerse en cuenta que de conformidad
con el carácter sectorial que tiene la norma estatutaria, la información personal
a que refiere este precepto es aquella de contenido financiero, comercial,
crediticio, de servicios y la proveniente de terceros países, definida por el
literal j) del artículo 3º del Proyecto de Ley. Así analizada esta prescripción,
corresponde a la Corte definir si la decisión del legislador estatutario de
desligar la circulación del dato financiero del consentimiento del titular, es
ajustada a la Constitución.

Sobre este particular, algunos de los intervinientes y el Procurador General
sostienen que una previsión de esta naturaleza es inexequible. Sostiene que la
autorización del titular es el acto en que se concreta el principio de libertad,
contenido en el artículo 15 C.P. y predicable de los procesos de administración
de datos personales. De forma concurrente sostienen que dicho principio hace
parte del núcleo esencial del derecho fundamental al hábeas data y, por ende,
es contrario a la Constitución que se permita el establecimiento de
modalidades de gestión del dato personal que, al estar separadas del
consentimiento del titular, se tornan arbitrarias. Por último, uno de los
intervinientes insiste en que la limitación del derecho al hábeas data es
innecesaria, pues la evidencia empírica demuestra que por varias décadas se
han adelantado procesos de administración de datos personales con el
consentimiento del titular de la información, sin que ello haya significado la
parálisis de esa actividad o la imposición de cargas gravosas o
desproporcionadas a los sujetos que intervienen en dichos procesos.

Otro grupo de intervinientes defiende la constitucionalidad de la exclusión de
consentimiento, para lo cual ofrecen dos grupos de argumentos. El primero,
que se sustenta en considerar, sustentados en distintos pronunciamientos de
este Tribunal, que el dato financiero y crediticio no pertenece a la categoría de
información privada o reservada, es diferenciable de la esfera íntima del
individuo, respecto de la cual no son constitucionalmente admisibles las
intromisiones de terceros. Así, resulta justificado que la información personal
pueda ser accedida sin el consentimiento del titular, pues su derecho a la
intimidad no resulta afectado.

El segundo, se sostiene en considerar que la exclusión del consentimiento del
titular de la información constituye una limitación aceptable del derecho al
hábeas data, en la medida en que resulta acorde con el principio de
proporcionalidad. Para estos intervinientes, debe partirse de considerar que el
citado derecho, como sucede con los demás derechos fundamentales, carece
de carácter absoluto, por lo que en casos concretos puede resulta
legítimamente restringido, a condición que esa limitación sea proporcionada.
Este requisito se cumple para el caso de la exclusión objeto de estudio, en
tanto es una limitación leve del derecho al hábeas data, pues deja intactos los
demás principios aplicables a la administración personal y se circunscribe a una
actividad específica-la administración de datos personales-y para un tipo
particular de información-el dato financiero, comercial y crediticio-. Además, el
consentimiento del titular de la información no es una condición que haya sido
prevista por la Constitución, sino que fue fijada por la jurisprudencia de la
Corte, específicamente ante la ausencia de una legislación estatutaria sobre la
materia. Por ende, si el legislador estatutario había prescrito esa posibilidad,
no podía cuestionársele una decisión en ese sentido, pues haría parte de su
amplia facultad de configuración legislativa.

Estos intervinientes insisten en que la exclusión de consentimiento es una
medida idónea, pues pretende proteger un bien constitucional valioso, como es
la estabilidad del sistema financiero y el ahorro público. Así, si la jurisprudencia
constitucional había reconocido en varias oportunidades la legitimidad de la
administración de datos personales destinada al cálculo del riesgo crediticio, la
medida buscaba proteger el interés general, representado en el “bien
colectivo” de la estabilidad financiera; a la vez que permitía el cumplimiento de
otros objetivos compatibles con la Constitución, como el fomento de la
bancarización y la competencia entre entidades financieras, habida
consideración que contar con la consulta ágil de la información crediticia

permitiría diseñar adecuadamente planes para llegar a quienes no están
cobijados por los productos de crédito. Igualmente, la exclusión es necesaria,
pues para el interviniente no existe otra fórmula que otorgue un
favorecimiento igual o mayor del bien de la estabilidad financiera y que afecte
de menor medida el derecho fundamental al hábeas data. Por último, la
medida es proporcionada en sentido estricto, pues implica una restricción leve
del derecho al hábeas data y un favorecimiento intenso del bien constitucional
de la estabilidad financiera, en la medida en que permite la prevención de
riesgos de las entidades bancarias, la recolección completa y correcta de
información por parte de estas entidades, la bancarización de la población que
no participa en ese mercado, la competencia entre las instituciones de crédito
y la finalidad preventiva propia del cálculo del riesgo financiero, que fomenta el
pago oportuno de las obligaciones.

De manera preliminar, la Corte considera pertinente señalar que buena parte
de la discusión planteada por los intervinientes logra esclarecerse a partir de la
identificación del sentido de la disposición objeto de análisis. El literal f) del
artículo 5º del Proyecto de Ley establece una serie de eventos en los que la
información suministrada a los operadores, que haga parte del banco de datos
que administra, puede ser entregada o puesta a disposición de terceros, sin
que medie el consentimiento del titular. Esto significa que el relevo de la
autorización se predica de la transmisión del dato del operador al tercero,
posibilidad que en ningún caso significa que el deber de contar con el
consentimiento del titular para el envío de información personal al operador,
resulte exigible sin excepción alguna. En tal sentido, la fuente de información
siempre estará obligada a contar con el consentimiento expreso, previo y
suficiente del sujeto concernido, como requisito ineludible para la transferencia
del dato personal de contenido financiero, comercial y crediticio al operador.
Asunto distinto es que se releve al operador de contar con el consentimiento
del titular para entregar el dato a un tercero, en los términos de la ley
estatutaria, pues esta alternativa resulta en todo compatible con el derecho
fundamental al hábeas data, pues parte del supuesto que el titular ya ha
prestado su consentimiento ante la fuente de información.

Debe resaltarse que esta interpretación permite acompasar las distintas reglas
previstas en la normatividad estatutaria, en especial las referidas a los deberes
de las fuentes. Al respecto, el numeral 5º del artículo 8º del Proyecto de Ley
establece que las fuentes de información deberán (i) solicitar y conservar copia
o evidencia de la respectiva autorización otorgada por los titulares de la

información; y (ii) asegurarse de no suministrar a los operadores ningún dato
cuyo suministro no esté previamente autorizado. Para la Corte es evidente que
el efecto útil de estas disposiciones se logra a condición que lo previsto en la
norma analizada sea interpretado bajo el supuesto de la preexistencia del
consentimiento del titular del dato personal ante la fuente de información.

Ante estos argumentos, la Sala desvirtúa lo expuesto por algunos
intervinientes, en el sentido que la norma analizada significa la exclusión del
consentimiento previo, libre, expreso y suficiente del titular, expresado ante la
fuente, para la inclusión de su información personal en los archivos y bancos
de datos administrados por los operadores. En contrario, esta autorización es
la expresión concreta del principio de libertad, el cual no se deriva no
solamente de las reglas y principios identificados por la jurisprudencia
constitucional, sino que es un mandato constitucional expreso y definido. Así,
habida cuenta el carácter central de la autorización del titular, entendido como
una garantía básica para la eficacia material del derecho fundamental al
hábeas data, la Corte considera oportuno realizar algunas consideraciones
particulares sobre la materia, como pasa a explicarse.

El artículo 15 de la Constitución establece que “en la recolección, tratamiento y
circulación de datos se respetarán la libertad y demás garantías consagradas
en la Constitución”. Esta previsión del Constituyente lleva a una consideración:
¿qué debe entenderse por libertad en los procesos automatizados de
información personal? La respuesta ha sido cuidadosamente construida a
través de distintas decisiones de esta Corporación, las cuales han establecido
que la libertad en la administración de datos personales significa que el sujeto
concernido mantenga, en todo momento, las facultades de conocimiento,
actualización y rectificación de la información personal contenida en las bases
de datos. Si ello es así, es evidente que la libertad del individuo ante el poder
informático se concreta, entre otros aspectos, en la posibilidad de controlar la
información personal que sobre sí reposa en las bases de datos, competencia
que está supeditada a que exprese su consentimiento para la incorporación de
la información en el banco de datos o archivo correspondiente. Considerar lo
contrario significaría que los administradores de la información, que ejercen el
mencionado poder, pudieran acceder libremente a los datos personales del
sujeto concernido y, en consecuencia, aquel quedaría privado materialmente
de la posibilidad de ejercer las garantías previstas a su favor por el Texto
Constitucional.

El vínculo necesario entre la libertad en los procesos de acopio informático del
dato personal y la expresión del consentimiento del titular ha sido evidenciado
por la Corte a lo largo de su jurisprudencia. En cada una de estas decisiones se
ha planteado que el contenido concreto de la libertad del sujeto concernido y,
simultáneamente, el límite que impide el abuso del poder informático,
descansa en la exigencia de la autorización del titular como presupuesto del
ejercicio de las competencias constitucionales de conocimiento, actualización y
rectificación del dato personal. Así, en la sentencia T-414/92 se estableció que
en el Estado Constitucional, la legitimidad de los procesos de administración de
datos personales se predicaba sólo a partir de la vigencia de la libertad del
individuo, que involucraba necesariamente la potestad para permitir y
controlar el acceso a su información personal. Sobre el particular, señaló la
Corte en esa oportunidad que “la posibilidad de acumular informaciones en
cantidad ilimitada, de confrontarlas y agregarlas entre sí, de hacerle un
seguimiento en una memoria indefectible, de objetivizarlas y transmitirlas
como mercancía en forma de cintas, rollos o discos magnéticos, por ejemplo,
permite un nuevo poder de dominio social sobre el individuo, el denominado
poder informático. Como necesario contrapeso, este nuevo poder ha
engendrado la libertad informática. Consiste ella en la facultad de disponer de
la información, de preservar la propia identidad informática, es decir, de
permitir, controlar o rectificar los datos concernientes a la personalidad del
titular de los mismos y que, como tales, lo identifican e individualizan ante los
demás. Es, como se ve, una nueva dimensión social de la libertad individual
diversa, y por razón de las circunstancias que explican su aparición, de otras
clásicas manifestaciones de la libertad.”.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte,
se concreta en la exigencia de autorización previa, expresa y suficiente por
parte del titular de la información, requisito predicable de los actos de
administración de datos personales de contenido comercial y crediticio. Al
respecto, en la sentencia SU-082/95, la cual hizo un análisis extenso de las
condiciones exigidas para la admisibilidad constitucional de los procesos de
administración de datos personales de contenido comercial y crediticio, puso
de presente que la libertad del individuo, identificada bajo el concepto de
autodeterminación informática, dependía del cumplimiento del requisito de
consentimiento. Incluso, en esta decisión el Pleno de la Corte consideró que la
autorización del titular hacía parte del núcleo esencial del derecho al hábeas
data. La sentencia en cita señaló:

“A diferencia de lo que ocurre en otras legislaciones, en Colombia
el habeas data está expresamente establecido en la Constitución. Al
respecto, el artículo 15, después de consagrar los derechos de todas
las personas a la intimidad y al buen nombre, agrega: "De igual

modo, tienen derecho a conocer, actualizar y rectificar las
informaciones que se hayan recogido sobre ellas en bancos de datos
y en archivos de entidades públicas y privadas". Este,
concretamente, es el habeas data.

¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte,
está integrado por el derecho a la autodeterminación
informática y por la libertad, en general, y en especial económica.

La autodeterminación informática es la facultad de la persona a la
cual se refieren los datos, para autorizar su conservación, uso y
circulación, de conformidad con las regulaciones legales.

Y se habla de la libertad económica, en especial, porque ésta podría
ser vulnerada al restringirse indebidamente en virtud de la
circulación de datos que no sean veraces, o que no haya sido
autorizada por la persona concernida o por la ley.
(…)
Lo expuesto en esta providencia, en relación con el derecho a la
información y la legitimidad de la conducta de las entidades que
solicitan información de sus eventuales clientes, a las centrales de
información que para el efecto se han creado, así como la facultad de
reportar a quienes incumplan las obligaciones con ellos contraídas,
tiene como base fundamental y punto de equilibrio, la autorización
que el interesado les otorgue para disponer de esa
información, pues al fin y al cabo, los datos que se van a
suministrar conciernen a él, y por tanto, le asiste el derecho, no sólo
a autorizar su circulación, sino a rectificarlos o actualizarlos, cuando
a ello hubiere lugar.

Autorización que debe ser expresa y voluntaria por parte del
interesado, para que sea realmente eficaz, pues de lo contrario no
podría hablarse de que el titular de la información hizo uso efectivo
de su derecho. Esto significa que las cláusulas que en este sentido
están siendo usadas por las distintas entidades, deben tener una

forma y un contenido que le permitan al interesado saber cuáles son
las consecuencias de su aceptación.” (Negrillas originales).

Similares consideraciones fueron tenidas por la Corte en fallos posteriores, en
los que no sólo se reiteró que el consentimiento de la titular de la información
es un presupuesto para la legitimidad constitucional de los procesos de
administración de datos personales destinados al cálculo del riesgo financiero,
sino que también se cualificó esa autorización, exigiéndose que ésta fuera
previa, explícita y concreta. Ello con el fin que la gestión de la información
personal respondiera a propósitos definidos y respecto de los cuales existiera
conciencia plena por parte del titular del dato. Sobre el particular, la
sentencia T-592/03, que analizó un grupo de acciones de tutela de personas
respecto de las cuales se había incorporado información en bases de datos
sobre riesgo crediticio, sin que fuera retirada luego de vencerse el plazo de
caducidad, expresó los argumentos siguientes:

“En este orden de ideas cabe destacar que el consentimiento del
titular de la información sobre el registro de sus datos económicos en
los procesos informáticos [139], aunado a la necesidad de que aquel
cuente con oportunidades reales para ejercer sus facultades de
rectificación y actualización durante las diversas etapas de dicho
proceso, resultan esenciales para salvaguardar los derechos a la
intimidad y buen nombre de los usuarios de servicios financieros, y
con ello las garantías de los operadores económicos de informar y de
recibir información veraz e imparcial con miras a la adopción de
sanas políticas de crédito[140].

Respecto a la aquiescencia del titular, vale considerar que cuando
una persona acude a una entidad financiera, independientemente del
servicio que demande, autoriza la intromisión de terceros en
aspectos de su estado patrimonial, pero es cierto que la sola
demanda efectiva o potencial de servicios financieros no autoriza al
receptor para divulgar lo que conoce en razón o por ocasión del
servicio, habida cuenta que toda actividad profesional se ampara, en
principio, en la inviolabilidad del sigilo y confidencialidad de las
informaciones, en los términos del artículo 74 constitucional [141].

De ahí que la jurisprudencia constitucional, de manera unánime y
reiterada, en cumplimiento de la proyección constitucional de la
libertad individual en el derecho a la autodeterminación informática,
exija de los operadores informáticos obtener un previa, explicita y
concreta autorización de los usuarios del crédito para recopilar, tratar
y divulgar informaciones sobre su intimidad económica, la que
deberá utilizarse con miras a preservar la estabilidad económica que
comporta la sanidad general del crédito-artículos 15 y 335 C.P.- [142].
En este sentido, compete a los jueces, en cada caso, analizar el
contenido de la autorización que el usuario de los sistemas
informáticos obtiene del titular del dato, con miras a establecer su
alcance, considerando, además del interés general que demanda la
utilización del documento, especialmente, las condiciones en que
dicha autorización fue otorgada [143], como quiera que si la
aquiescencia del otorgante estuvo condicionada por el acceso al
servicio o a la operación de crédito, el juzgador debe tener presente
que al proponente de un servicio público no le está permitido obtener
ventajas injustas y dar lugar a desequilibrios contractuales,
amparado en el privilegio que comporta su calidad de autoridad.”

Estas motivaciones llevaron, como se expuso en apartado anterior de esta
decisión, que la jurisprudencia constitucional concluyera que los procesos de
administración de datos personales de financiero comercial y crediticio
estuvieran supeditados al cumplimiento de un principio del libertad, de acuerdo
con el cual dichos procesos solo pueden ejercerse con el consentimiento libre,
previo y expreso del titular de esa información, de manera tal que los datos no
pueden ser obtenidos y divulgados sin esa previa autorización, o en ausencia
de un mandato legal o judicial que releve de la misma. [144]

Es a partir de esta última consideración, no obstante, que algunos
intervinientes consideran que el legislador estatutario podía válidamente
establecer una restricción al principio de libertad, a través de una regla jurídica
que relevara del consentimiento en el caso de la información crediticia,
comercial, financiera, de servicios y la proveniente de terceros países. Ello en
tanto el principio de libertad no tiene carácter absoluto y, en algunos
escenarios, como sucede para el caso de la recopilación de datos por parte de
entidades públicas con fines de investigación y sanción penal [145] y tributaria,
[146]
entre otros, resulta permitido establecer excepciones a la necesidad de
contar con el consentimiento del titular, en razón a que esa limitación es

imprescindible para lograr el cumplimiento de fines estatales, como son el
aseguramiento del orden justo o la preservación del patrimonio público.

Para resolver esta objeción, la Corte parte de considerar que la pretermisión
del consentimiento del titular constituye, en cualquier caso, una limitación del
goce efectivo del derecho fundamental al hábeas data, para el caso particular
de la administración de datos personales de contenido financiero, comercial y
crediticio. Ello debido a que, como se demostró, el principio de libertad del
sujeto concernido es una de las garantías expresamente previstas por el
artículo 15 de la Carta Política para los actos de recolección, tratamiento y
circulación de datos personales. En ese sentido, para que la medida adoptada
por el legislador estatutario resulte justificada, debe atender al cumplimiento
de un fin constitucionalmente legítimo, ser necesaria para cumplir con ese
objetivo y resultar proporcionada respecto de la afectación del derecho
constitucional materia de limitación.

Sobre el primer aspecto, debe realizarse una distinción importante, en aras de
solucionar la confusión en que incurren los intervinientes, en el sentido de
considerar que la finalidad de la administración de datos personales es
indistinguible del objetivo perseguido por la restricción. Para la Sala resulta
imprescindible aclarar que del hecho que las actividades que realicen las
centrales de riesgo crediticio sean constitucionalmente legítimas, en razón de
su vínculo con la protección del ahorro del público y la estabilidad del sistema
financiero, no se sigue que la eliminación del consentimiento del titular persiga
un objetivo igualmente legítimo. En tal sentido, habrá de determinarse si la
objeción planteada por los intervinientes, en el sentido que la norma objeto de
análisis faculta la recopilación de información sin consentimiento del titular,
resulta plausible, en tanto cumple con un objetivo constitucionalmente
legítimo.

Al respecto, la Corte advierte que esta finalidad no está presente. En efecto,
contrario a como sucede en los ejemplos anteriormente expuestos, sobre la
recopilación por parte del Estado de información personal para efectos
tributarios o judiciales, en el caso del acopio del dato personal de contenido
crediticio no se evidencia un interés legítimo e imperioso para que el legislador
estatutario haya previsto una limitación al principio de libertad para el acceso a
la información personal.

Al respecto, se parte de considerar que la finalidad de la administración de
datos personales de contenido comercial y financiero es determinar el nivel de
riesgo crediticio del sujeto concernido. En otras palabras, la actividad que
realizan las centrales de riesgo es suministrar a los participantes del mercado
económico información acerca de las posibilidades que una persona natural o
jurídica incumpla en el pago de una obligación futura. Así, la determinación del
riesgo es una actividad previa al perfeccionamiento de contratos comerciales o
de crédito entre el usuario de la información y el sujeto concernido.

Esta comprobación es importante a la hora de determinar la legitimidad
constitucional de la restricción al principio de libertad que propone un grupo de
intervinientes. Como se observa, el acceso a la información crediticia y
comercial del sujeto concernido se inserta, necesariamente, en una actividad
contractual bilateral. Es decir, los usuarios del dato personal están interesados
en conocer la información de un cliente potencial específico, a fin de celebrar
contratos también definidos. A su vez, ese cliente potencial también ha
expresado su intención de acceder a determinado producto comercial o de
crédito, lo que ha motivado que la entidad o empresa correspondiente realice
una investigación sobre su historial de cumplimiento. Bajo esta perspectiva,
para que exista necesidad del cálculo del riesgo crediticio debe concurrir un
interés bilateral de las partes interesadas en el perfeccionamiento del contrato
futuro.

En este marco, la presunta eliminación del consentimiento del titular para la
incorporación del dato financiero y crediticio a la base de datos, permitiría que
los usuarios pudieran acceder a la información personal de todas las personas,
incluso aquellas que no han mostrado interés en celebrar operaciones
comerciales o de crédito con dichos usuarios. Este escenario, a juicio de la
Corte, constituye una expresión de abuso en el ejercicio del poder informático
de los operadores y los usuarios de la información. Ello es así puesto que si la
justificación constitucional de la recolección de datos personales de carácter
crediticio es que el direccionamiento de los recursos del crédito a quienes
honran debidamente sus obligaciones crediticias es un factor relevante para el
sostenimiento de la estabilidad financiera, un uso indiscriminado del dato, que
no consulta esa necesidad de distribución adecuada de los recursos de crédito,
sino otras finalidades desconocidas para el titular, desvirtúa esos objetivos y se
torna contrario a la Constitución.

La eliminación del consentimiento del titular, adicionalmente, genera una
desnaturalización del dato financiero, comercial y crediticio, que viola el
derecho fundamental al hábeas data, en tanto restringe injustificadamente la
autodeterminación del sujeto respecto de su información personal. El contenido
esencial de este derecho involucra, como se ha indicado en esta decisión, la
posibilidad que el titular del dato personal pueda controlar la información
concernida en las bases de datos. Cuando se pretermite la autorización del
titular del dato, su información personal pierde esa capacidad de ser
controlada y se convierte, en últimas, en información pública de libre acceso,
lo que es contrario a la categorización que el mismo legislador estatutario ha
dispuesto. Es evidente que si el dato personal de contenido comercial y
crediticio puede ser incorporado al registro de forma subrepticia, sin que el
titular haya advertido el acto de recolección y tratamiento de su propia
información, el ejercicio de las facultades constitucionales de conocimiento,
actualización y rectificación del dato se hace imposible.

La disposición en comento, que restringe injustificadamente el principio de
libertad, además, se muestra especialmente problemática para la legitimidad
de los procesos de administración de datos personales en una sociedad
democrática. Ante el crecimiento inusitado de las tecnologías de la información
en la época contemporánea, el Constituyente consideró necesario establecer
una previsión superior particular y específica, que salvaguardara al individuo
del abuso de ese poder. Para la Constitución, la libertad del sujeto concernido
significa que la administración de datos personales no pueda realizarse a sus
espaldas, sino que debe tratarse de un proceso transparente, en que en todo
momento y lugar pueda conocer en dónde está su información personal, para
qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición
para su actualización y rectificación. La eliminación de la autorización previa,
expresa y suficiente para la incorporación del dato en los archivos y bancos de
datos administrados por los operadores permite, en últimas, la ejecución de
actos ocultos de acopio, tratamiento y divulgación de información, operaciones
del todo incompatibles con los derechos y garantías propios del hábeas data.

Por último, no resultan acertados los argumentos expresados por otro grupo de
intervinientes, en el sentido que la presunta eliminación del consentimiento del
titular que derivan de la norma analizada es justificada, puesto que el dato de
contenido financiero, comercial y crediticio no hace parte de la esfera íntima
del individuo. Para la Sala, esta consideración omite que el contenido y alcance

del derecho fundamental al hábeas data es diferente al del derecho a la
intimidad. Como se ha señalado reiteradamente en esta decisión, la libertad y
el ejercicio de las facultades de conocimiento, actualización y rectificación de la
información personal recolectada en archivos y bases de datos, son postulados
constitucionales predicables de todo proceso de administración de datos, al
margen del contenido de la información. En ese sentido, si para el presente
caso se ha considerado que el dato financiero y crediticio constituye
información semiprivada, accesible por orden de autoridad judicial o
administrativa, o a través de procesos de administración de datos personales,
no significa que se trata de información personal no protegida. En efecto, estos
datos continúan siendo cobijados por las garantías que ofrece del derecho al
hábeas data, que consisten en que el sujeto concernido pueda ejercer los actos
de control respecto de su información personal. Estas competencias, a la luz de
los argumentos analizados en este apartado, no pueden materializarse si el
individuo no ha prestado su consentimiento para la inclusión del dato en las
centrales de riesgo.

Aquí debe insistirse en que aunque en una etapa temprana de la jurisprudencia
constitucional, no existía una distinción clara entre los derechos fundamentales
a la intimidad, al buen nombre y el hábeas data, a propósito de su protección
concurrente en los procesos de administración de datos personales de
contenido financiero y crediticio, esta diferenciación está suficientemente
definida en la actualidad. El derecho fundamental al hábeas data tiene carácter
autónomo y un contenido amplio, definido por las facultades de conocimiento,
actualización y rectificación de la información, junto con la eficacia de los
principios de administración de datos personales. Estas garantías, entre ellas la
vigencia del principio de libertad, se predican a favor del sujeto concernido,
con independencia del grado de afectación del derecho a la intimidad que se
genere por el acto de divulgación. Así, un argumento fundado en considerar
que como el dato no pertenece a la esfera íntima del individuo, puede ser
accedido libremente, incurre en una evidente confusión entre el contenido y
alcance de los derechos fundamentales mencionados.

En conclusión, la Sala considera que (i) la interpretación adecuada y conforme
a la Constitución del literal f) del artículo 5º del Proyecto de Ley Estatutaria
salvaguarda la obligación ineludible de las fuentes de información de contar
con la autorización del titular para la inclusión del dato personal en los archivos
y bancos de datos administrados por los operadores; por lo tanto, (ii) la
vigencia de la libertad en los procesos de administración de datos personales

se concreta en que el sujeto concernido preste su consentimiento previo, libre
y expreso para la inclusión de la información en las bases de datos; (iii) la
eliminación de esa autorización restringe el principio de libertad, que tiene
raigambre constitucional, puesto que permite la incorporación inconsulta de
información en las centrales de información, restricción que, a su vez,
imposibilita el ejercicio de las facultades de conocimiento, actualización y
rectificación del dato; (iv) la eliminación del consentimiento, defendida por
algunos intervinientes, no responde a un fin constitucionalmente legítimo, pues
desconoce el carácter bilateral que tiene el cálculo del riesgo crediticio y, de
igual manera, favorece un escenario proclive al abuso del poder informático;
y (v) el hecho que el acceso a la información personal de contenido comercial y
crediticio no esté prohibido en virtud de la protección del derecho a la
intimidad, no es óbice para que respecto de esos datos se predican las
garantías propias del derecho al hábeas data financiero. Dentro de estas
prerrogativas se encuentra, inequívocamente, la obligatoriedad de la
autorización del sujeto concernido, expresada a la fuente de información, para
la inclusión del dato personal en el archivo o base de datos.

Con base en estas premisas, la Corte analizará la constitucionalidad de los
demás contenidos normativos del literal f) del artículo 5º del Proyecto de Ley.
La primera posibilidad que establece la norma es que se transmita la
información personal a un banco de datos que tenga la misma finalidad o una
que comprenda la del operador que entrega los datos. Esta opción no ofrece
dificultades en relación con la protección al derecho fundamental al hábeas
data, en la medida en que, conforme los argumentos precedentes, se parte de
la base que el titular de la información ha prestado su consentimiento a la
fuente para que transmita el dato al operador. Igualmente, dicha autorización
deberá determinar expresamente la posibilidad que el operador pueda poner a
disposición el dato personal a otros bancos de datos, según la fórmula prevista
por el legislador estatutario. Ello con el fin que el sujeto concernido ejerza en
todo momento su autonomía personal en los procesos de administración de
datos personales, la cual, como se ha insistido reiteradamente en esta
sentencia, obliga a que conozca con claridad en qué archivo o banco de datos y
en qué condiciones se encuentra su información.

El literal en comento también dispone la posibilidad que la información
personal sea transmitida a un banco de datos extranjero sin autorización del
titular. En este escenario la norma estatutaria establece dos condiciones
definidas: (i) deberá dejarse constancia escrita de la entrega la información;

y (ii) deberá verificarse por parte del operador que las leyes del país respectivo
o el receptor otorgan garantías suficientes para la protección de los derechos
del titular. Pasa la Corte a determinar la constitucionalidad de este precepto.

De forma similar a como se predica de la transmisión de datos personales
entre operadores nacionales, la posibilidad de puesto a disposición de la
información a un banco de datos extranjero deberá estar precedida, como
sucede en todos los eventos de administración de datos personales de
contenido comercial y crediticio, de la autorización del titular ante la fuente
para la inclusión de la información en los archivos y bancos de datos
administrados por el operador. Por ende, de manera preliminar debe la Corte
resaltar que esta autorización, como se ha explicado en apartado precedente
de este fallo, tiene carácter calificado, pues deberá ser previa, expresa y
suficiente. Bajo esas condiciones, es claro que para que proceda la
transferencia del dato a un operador extranjero, el titular deberá consentir
ante la fuente dicha puesta en disposición de la información personal.

Tanto el Procurador General como algunos de los intervinientes han
cuestionado la exequibilidad de la norma analizada. A su juicio, la previsión
según la cual se deja al arbitrio del operador la verificación de la existencia en
la legislación aplicable al operador extranjero de garantías suficientes para la
protección de derechos del titular, desliga al Estado de su deber constitucional
de garantizar la eficacia de esos derechos y lo deposita en un tercero, quien
tiene un interés particular en la transferencia sin condiciones del dato personal,
puesto que dicha actividad constituye su giro comercial.

Para la Corte, la constitucionalidad del precepto depende de dos variables. La
primera tiene que ver con la compatibilidad de la norma con el principio de
libertad. La segunda está relacionada con la objeción descrita, que supone el
desconocimiento del deber estatal de protección de los derechos.

En cuanto a lo primero, debe acotarse que la autonomía informativa del titular
del dato se salvaguarda a través de la autorización que presta ante la fuente.
Como se ha reiterado, ese acto de consentimiento tiene una naturaleza
compleja, pues deberá indicar expresamente los usos que tendrá la
información concernida merced de su incorporación en archivos y bancos de
datos. Específicamente, el titular debe expresar unívocamente su voluntad en

el sentido de determinar si autoriza la inclusión de datos de contenido
comercial y financiero, su uso para una finalidad específica y suficientemente
identificable y si permite que los operadores puedan poner a disposición dichos
datos a otros operadores, nacionales o extranjeros, en las condiciones
previstas por el legislador estatutario. Por ende, habida cuenta que el literal f)
del artículo 5º del Proyecto de Ley no se opone al cumplimiento estricto de los
requisitos citados, es compatible con el principio de libertad predicable de los
procesos de recolección, tratamiento y divulgación de datos personales.

En lo que refiere al segundo aspecto, la Corte parte de advertir que de
conformidad con el artículo 2º de la Carta Política, el Estado tiene entre sus
fines esenciales el de garantizar la efectividad de los principios, derechos y
deberes consagrados en la Constitución. El efecto de esta obligación estatal
frente a la regulación estatutaria del derecho fundamental al hábeas data
financiero contrae, entre otros aspectos, la necesidad que en los procesos de
recolección, tratamiento y circulación de datos personales de contenido
comercial y crediticio, se cuente con instancias públicas de inspección,
vigilancia y control de las actividades desarrolladas por los distintos agentes
que concurren en la administración de datos personales, esto es, fuentes de
información, operadores y usuarios.

Para cumplir con esta obligación de protección y garantía de los derechos del
sujeto concernido, el legislador estatutario estableció en el artículo 17 que las
Superintendencias de Industria y Comercio y Financiera ejercerán la función de
vigilancia de los operadores, fuentes y usuarios de información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países, en
cuanto refiere a la administración de datos personales regulada por la
normatividad objeto de estudio. Estas funciones de vigilancia consisten, entre
otros aspectos, en impartir instrucciones y órdenes sobre la manera como
deben cumplirse las disposiciones previstas por la normatividad estatutaria,
relacionadas con la administración de la mencionada información, para lo cual
las Superintendencias fijarán los criterios que faciliten su cumplimiento y
señalarán procedimientos para su cabal aplicación.

Previsiones estatutarias de esta naturaleza tienen, a juicio de la Corte, efectos
concretos en la interpretación de las posibilidades de transmisión internacional
de datos personales previstos en el literal f) del artículo 5º. En efecto, la
interpretación aislada del precepto llegaría a concluir que la verificación sobre

la existencia en la legislación del banco de datos de destino de garantías
suficientes para la protección de los derechos del titular, es una materia que
depende única y exclusivamente de la voluntad y libre evaluación del operador
nacional. Empero, esta lectura se muestra errónea y descontextualizada,
puesto que desconoce que el legislador estatutario ha instituido que las
autoridades del Estado que ejercen la función de vigilancia no están limitadas
al ejercicio del derecho administrativo sancionador, sino que también están
investidas de la facultad de impartir instrucciones y órdenes para el
cumplimiento de la ley, lo que significa que estas autoridades deberán indicar
los parámetros específicos para que la actuación de los operadores sea en todo
compatible con la protección de los derechos fundamentales del titular de la
información.

En este orden de ideas, si el legislador estatutario ha señalado que las
Superintendencias de Industria y Comercio y Financiera, de acuerdo con las
competencias previstas en el ordenamiento, tienen la competencia para
señalar el modo particular y específico en que deberán cumplirse las
disposiciones de la normatividad estatutaria; entonces estas entidades deberán
determinar los parámetros que deberá tener en cuenta el operador nacional
para la verificación de que la legislación aplicable al banco de datos de destino
ofrece garantías suficientes para la protección de los derechos del titular. En
ese sentido, las citadas Superintendencias deberán analizar el cumplimiento de
los estándares de garantía de derechos predicables del titular del dato
personal, en la legislación del banco de datos extranjero de destino. Así, dichas
entidades podrán, inclusive, identificar expresamente los ordenamientos
legales extranjeros respecto de los cuales, luego de un análisis suficiente,
pueda predicarse dicho grado de protección suficiente de los derechos del
sujeto concernido. De manera correlativa, el ejercicio del acto de verificación a
cargo del operador nacional al que refiere el literal f) del artículo 5º del
Proyecto de Ley, estará supeditado a que las entidades que ejercen la función
de vigilancia hayan realizado el análisis de cumplimiento de estándares de
protección de derechos antes aludido.

La admisibilidad, desde la perspectiva constitucional, de conferir esta función a
las Superintendencias radica en el carácter independiente y autónomo con que
deben ejercer sus competencias constitucionales y legales. Aunque de
conformidad con el artículo 115 C.P. las Superintendencias integran la Rama
Ejecutiva y, por ende, dependen del Presidente de la República en tanto
suprema autoridad administrativa, ello no desvirtúa su naturaleza de

organismos técnicos y la autonomía administrativa que les es predicable. Al
respecto, debe tenerse en cuenta que de conformidad con las normas que
establecen la naturaleza jurídica de la Superintendencia de Industria y
Comercio y Financiera,[147] se trata en ambos casos de organismos técnicos,
que cuentan con autonomía administrativa. Además, estas entidades están
obligadas a dar cumplimiento estricto a los principios que guían la función
administrativa, esto es, los de igualdad, moralidad, eficacia, economía,
celeridad, imparcialidad y publicidad, fijados por el artículo 209 Superior. En tal
sentido, las entidades en comento son instancias imparciales, investidas del
grado de independencia suficiente para fijar criterios objetivos para que los
operadores de información de contenido crediticio, comercial, financiero, de
servicios y proveniente de terceros países puedan verificar si la legislación del
banco de datos de destino otorga garantías suficientes para la protección de
los derechos del titular.

Realizada esta comprobación, resultan desvirtuados los argumentos planteados
por el Procurador General y algunos intervinientes, en el sentido que lo
previsto en la norma analizada contraía la inexistencia de protección estatal de
los derechos del sujeto concernido, para el caso particular de la transferencia
de la información personal a bancos de datos extranjeros. En contrario, como
se ha demostrado en este apartado, la normatividad estatutaria prevé
herramientas suficientes para que autoridades del Estado, dotadas de
autonomía administrativa y con naturaleza técnica, puedan determinar los
parámetros vinculantes a los operadores nacionales, dirigidos a salvaguardar
las prerrogativas constitucionales predicables a favor de los titulares de la
información personal financiera y crediticia. Así las cosas, la Corte declarará la
exequibilidad del literal f) del artículo 5º del Proyecto de Ley.

El literal g) de la iniciativa dispone que la circulación de datos personales
también estará permitida a otras personas autorizadas por la ley. Interpretada
de forma aislada, esta disposición podría prestarse a equívocos, en el
entendido que establecería una cláusula genérica, con base en la cual una ley
posterior pudiera permitir la divulgación de información personal a otras
personas, sin consideración de las garantías propias del derecho fundamental
al hábeas data y de la vigencia de los principios de administración de datos
personales. Al respecto, la extensión irrestricta de las posibilidades de
divulgación de la información contradeciría el principio de circulación
restringida, comprendido por el legislador estatutario como la imposición de

restricciones a la divulgación de datos en razón de su naturaleza, de la
finalidad del banco de datos y de la vigencia de los citados principios.

Una interpretación alternativa de la disposición objeto de análisis la haría
compatible con las normas constitucionales. En efecto, si se comprende la
facultad dada al legislador para que autorice la circulación del dato a otras
personas está supeditada a la vigencia de las prerrogativas que se derivan del
derecho al hábeas data y, en especial, a los principios de administración de
datos personales, su compatibilidad con el Texto Superior no plantearía
mayores debates, puesto que se dejarían salvaguardados los derechos
fundamentales del sujeto concernido, interferidos en los procesos de
recolección, tratamiento y divulgación de información personal. Por ende, bajo
el supuesto de la existencia de esa interpretación sistemática del precepto, que
lo contrasta con las demás normas constitucionales y legales que permiten
identificar su adecuado contenido y alcance, la Corte declarará la exequibilidad
del literal g) del artículo 5º del Proyecto de Ley.

3.2. Derechos de los titulares de la información (Artículo 6º)

En los términos del artículo 3º del Proyecto de Ley, los titulares de la
información son aquellas personas, naturales o jurídicas, a quien se refiere la
información que reposa en un banco de datos. A estas personas se les adscribe
la condición de los sujetos del derecho de hábeas data y de los demás
derechos y garantías a que se refiere la ley. Así, el artículo 6º de la norma
estatutaria describe los derechos de los titulares de la información, predicables
ante los operadores, las fuentes de la información y los usuarios de la misma.

Con base en la norma analizada frente a los operadores de los
bancos de datos, los titulares de la información podrán (i) ejercer el derecho
fundamental
al
hábeas
data en los
términos
de la presente ley, mediante la utilización de los procedimientos de consultas o
reclamos, sin perjuicio de los demás mecanismos constitucionales y
legales; (ii) solicitar el respeto y la protección de los demás derechos
constitucionales
o
legales,
así
como
de las demás
disposiciones
de la presente ley, mediante la utilización del procedimiento de reclamos y

peticiones; (iii) solicitar prueba de la certificación de la existencia de la
autorización expedida por la fuente o por el usuario; éste último caso cuando,
en los términos del literal d) del artículo 3º del Proyecto, una misma persona
tenga las calidades de usuario y fuente de la información y (iv) solicitar
información acerca de los usuarios autorizados para obtener información.

3.2.1. Como se ha señalado en distintos apartes de esta decisión, el contenido
esencial del derecho fundamental al hábeas data radica en el ejercicio efectivo,
por parte del sujeto concernido, de conocer, actualizar y rectificar las
informaciones que se hayan recogido sobre ellos en archivos y bancos de
datos. Adicionalmente, la Carta Política establece que en las actividades de
recopilación, tratamiento y circulación de información personal se respetará la
libertad y las demás garantías consagradas en el Texto Superior. Con base en
esta consideración, la Sala advierte que este primer enunciado de la norma
analizada se ajusta a la Constitución, en tanto recoge los enunciados
constitucionales del hábeas data y la doctrina de esta Corporación, [148] que de
manera reiterada ha estipulado el derecho que tiene toda persona a disfrutar
de la posibilidad jurídicamente garantizada de tener acceso a la información
acopiada en bancos de datos.

El precepto, en su primer apartado, consagra la prerrogativa a favor del sujeto
concernido de solicitar información detallada de esa información, es decir, de
saber quiénes son los usuarios autorizados para obtener información, lo que
implica las competencias para obtener prueba de la certificación de la
existencia de la autorización expedida por la fuente o por el usuario. Así, la
disposición es desarrollo del objeto del derecho de hábeas data en su
modalidad de “conocer”, lo que se ha traducido como la exigibilidad jurídica de
una conducta de hacer del destinatario, orientada a que el titular obtenga
noticia suficiente y oportuna sobre sus datos personales. Por ende, el
contenido de la norma, en esta primera sección, se muestra enteramente
compatible con los preceptos constitucionales.

3.2.2. Empero, en lo que refiere al parágrafo del literal 1.4., la Corte advierte
que en consideración de los distintos enunciados normativos que ofrece esa
disposición, su análisis de constitucionalidad amerita un estudio más detallado.

3.2.2.1. En primer término, la disposición establece que la administración de la
información pública no requiere autorización del titular de los datos. Empero,
condiciona esa actividad a los principios de administración de datos personales
y a las demás disposiciones de la norma estatutaria. La constitucionalidad de
esta disposición no plantea mayores inconvenientes, habida cuenta que el libre
acceso es una de las características esenciales de la información pública, de
modo tal que la supresión del requisito de consentimiento del titular para la
inclusión en bases de datos es apenas un corolario lógico de la necesidad de
garantizar la plena disposición de datos de esta naturaleza. En ese sentido,
debe insistirse en que el acceso sin limitaciones a los datos públicos es un
componente propio del ejercicio del derecho a recibir información, en los
términos del artículo 20 C.P., razón por la cual lo dispuesto en este apartado
por el legislador estatutario garantiza el ejercicio adecuado de ese derecho.

Sobre este particular, la Corte considera pertinente resaltar el carácter central
que tiene el libre acceso a la información pública en el Estado Constitucional y
la condición excepcional y reglada de la facultad del legislador para establecer
reservas a ese acceso. En efecto, la necesidad de hacer efectiva la democracia
pluralista y la participación de los ciudadanos en la actividad del Estado
implica, sin duda alguna, que los datos públicos, como las sentencias
judiciales, los actos administrativos y, en general, los documentos públicos,
puedan ser fácilmente conocidos por el conglomerado. Precisamente, uno de
los aspectos que permite evaluar la profundización de la regla democrática en
una sociedad dada consiste en determinar qué nivel de acceso tienen los
ciudadanos a las decisiones adoptadas por el aparato estatal. Ello en tanto el
conocimiento extendido de esta información permite la deliberación pública, la
consolidación de un modelo de Estado fundado en la transparencia de las
actuaciones, el ejercicio activo de la veeduría ciudadana y, en últimas, el
perfeccionamiento de la democracia pluralista prevista por el Constituyente.

Por último, debe resaltarse que la misma norma somete a la administración de
los datos públicos a los principios de administración de datos personales, de
manera tal que en relación con esa información quedan salvaguardados las
demás garantías predicables del derecho fundamental al hábeas data,
previsión ésta que refuerza la constitucionalidad del precepto analizado.

3.2.2.2. En segundo lugar, el parágrafo indica que la administración de datos
semiprivados y privados requiere el consentimiento previo y expreso del titular

de los mismos. Esta regla es en todo consonante con el principio de libertad
previsto en el artículo 15 C.P., de acuerdo con el cual la legitimidad
constitucional de los procesos de acopio, tratamiento y divulgación de datos
personales se sustenta, entre otros aspectos, en que el sujeto concernido
preste su autorización libre, previa y expresa.

3.2.2.3. En tercer término, el parágrafo objeto de estudio establece que la
regla general de exigencia del consentimiento antes planteada no es aplicable
para el caso del dato financiero, crediticio, comercial y de servicios y el
proveniente de terceros países, el cual no requiere autorización del titular.

En relación con este preciso apartado, el Procurador General y varios de los
intervinientes formularon distintos argumentos para defender e impugnar la
constitucionalidad del precepto, razones relacionadas con la exigibilidad del
consentimiento del titular, consideraciones que ya fueron sintetizadas por la
Corte a propósito del estudio de constitucionalidad del literal f) del artículo 5º.
En suma, el problema jurídico planteado por los intervinientes consiste en
determinar si la posibilidad prevista por el legislador estatutario, referida a
permitir la administración de datos personales de contenido financiero,
crediticio, comercial, de servicios y proveniente de terceros países sin
consentimiento del titular, viola el principio de libertad y la autodeterminación
informática, predicables ambos de los procesos de recolección, tratamiento y
divulgación de información personal.

Para la Corte, el análisis de constitucionalidad del precepto depende, en buena
medida, de la identificación concreta de su contenido y alcance, la cual se
obtiene no sólo a partir del análisis aislado de la disposición, sino también de
su comprensión sistemática a partir del contexto normativo en que se inscribe.
Bajo este supuesto, se tiene que el parágrafo del numeral 1.4. (i) hace
referencia a las condiciones predicables de la administración de datos
semiprivados y privados que efectúa los operadores de información;
y (ii) pertenece al numeral primero del artículo 6º del Proyecto de Ley, que
versa sobre los derechos de los titulares de la información frente a los
operadores de los bancos de datos.

Como se señaló a propósito de la declaratoria de constitucionalidad
condicionada del literal c) del artículo 3º de la normatividad estatutaria, en los

procesos de administración de datos personales es posible identificar varias
etapas, cuya diferenciación permite adscribir determinados niveles de
responsabilidad del agente en la protección de los derechos del sujeto
concernido. Así, se indicó que el deber de responsabilidad de los operadores en
la calidad de la información se predica a partir del momento en que han
recibido el dato por parte de la fuente, circunstancia que motivó el
condicionamiento de la norma, en el entendido que el operador es responsable
a partir de la recepción del dato suministrado por la fuente, por el
incumplimiento de los deberes de diligencia y cuidado en relación con la
calidad de la información personal, consagrados en la Ley Estatutaria.

Traslado este argumento al parágrafo del numeral 1.4. del artículo 6º del
Proyecto, se tiene que la administración de datos personales a la que hace
referencia es aquella que tienen a cargo los operadores de información, pues
no de otra manera puede comprenderse que el precepto haga parte de los
derechos que tienen los titulares ante éstos. Esta circunstancia tiene efectos
concretos en lo relativo al consentimiento del titular. En efecto, la limitación de
los actos de administración a las actividades a cargo de los operadores de
información, contrae como corolario lógico la inoponibilidad del precepto
respecto a los deberes que la norma estatutaria impone a los demás agentes
que concurren en las actividades de recolección, tratamiento y circulación de
datos personales, esto es, las fuentes y los usuarios de información.

Si ello es así, entonces la exclusión de responsabilidad de obtención de
consentimiento del titular para la administración a cargo de los operadores, es
enteramente compatible con el deber que tienen las fuentes de información de
obtener el consentimiento libre, previo, expreso y suficiente del titular del dato
personal para suministrar su información personal, de acuerdo con la
obligación prevista en el artículo 8º, numeral 5, del Proyecto de Ley
Estatutaria. En otras palabras, la administración de datos personales a cargo
del operador es un acto posterior a la transmisión de la información por la
fuente, quien tiene el deber ineludible de contar con la autorización del sujeto
concernido, en tanto expresión concreta de la eficacia del principio de libertad,
según se tuvo oportunidad de explicar in extenso en el análisis de
constitucionalidad del literal f) del artículo 5º del Proyecto de Ley Estatutaria.

Basándose en los argumentos anteriores, la Corte concluye que el legislador
estatuario ha previsto una modalidad particular de consentimiento en lo que

respecta a la administración de datos personales. La primera, que puede
denominarse como de autorización doble, relacionada con los datos privados y
semiprivados distintos a los comerciales y financieros, caso en el cual deberá
contarse con el consentimiento del titular del dato, expresado tanto a la fuente
(artículo 8º-5 del Proyecto), como al operador de información (parágrafo del
numeral 1.4. del artículo 6º del Proyecto). El segundo, relativo a la
administración de datos personales financieros, crediticios, comerciales, de
servicios y provenientes de terceros países; evento en el que la eficacia del
principio de libertad se logra con el consentimiento libre, previo y suficiente
que el titular exprese ante la fuente de información, como requisito previo e
ineludible para que ésta transmita los datos al operador.

Dilucidado el contenido y alcance de esta sección del parágrafo del numeral
1.4. del artículo 6º del Proyecto, resultan desvirtuados los cuestionamientos
planteados por el Procurador General y los intervinientes, en el sentido que
este precepto se mostraba incompatible con el principio de libertad. Ello en la
medida en que, como se ha expuesto, las consecuencias jurídicas de la norma
citada en nada afectan el deber que tienen las fuentes de información de
contar con la autorización del titular del dato, obligación cuyo cumplimiento
salvaguarda el principio citado y constituye la manifestación específica de la
autodeterminación del sujeto concernido, en lo que respecta a la
administración de datos personales. De este modo, la Sala encuentra que el
precepto analizado se ajusta a la Constitución, por lo que será declarado
exequible.

3.2.2.4. En cuarto lugar, el parágrafo en comento establece que, en todo caso,
la administración de datos semiprivados y privados se sujeta al cumplimiento
de los principios de administración de datos personales y a las demás
disposiciones de la normatividad estatutaria. Esta previsión se limita a reiterar
la vigencia del derecho al hábeas data y los principios que definen su contenido
y alcance en los procesos de recolección, tratamiento y circulación de
información personal. En ese sentido, es plenamente compatible con los
postulados constitucionales.

3.2.3. En lo que respecta a los derechos de los titulares frente a las fuentes de
información, la norma establece que igualmente podrán ejercer los derechos
fundamentales al hábeas data y de petición, cuyo cumplimiento se podrá
ejecutar a través de los operadores, conforme lo previsto en los

procedimientos de consultas y reclamos; esto sin perjuicio, claro está, de los
demás mecanismos constitucionales o legales. Del mismo modo, quedan
investidos de la facultad de solicitarles información o pedir la actualización o
rectificación de los datos contenidos en la base de datos, lo cual realizará el
operador, con base en la información aportada por la fuente, conforme se
establece en el procedimiento para consultas, reclamos y peticiones. Por
último, los titulares tienen el derecho de solicitar prueba de la autorización de
inclusión de la información personal, cuando la misma sea requerida conforme
lo previsto en la presente ley.

La norma, en las condiciones expuestas, ofrece garantías a los titulares de la
información y promueve la posibilidad legítima de acceso a la información
personal que sobre sí conste en una base de datos. Sobre el particular, la
jurisprudencia constitucional ha sostenido que “el derecho de obtener
información personal que se encuentra en archivos o bases de datos implica la
posibilidad de ser informado acerca de los datos registrados sobre sí mismo y
la facultad de corregirlos”.[149] Como se observa, la norma estatutaria se
circunscribe a ofrecer herramientas útiles para la protección de las
prerrogativas propias del derecho al hábeas data.

No obstante la exequibilidad general del precepto, la Corte considera
pertinente realizar algunas consideraciones específicas, relacionadas con el
derecho que tienen los titulares de ejercer el derecho fundamental al hábeas
data ante las fuentes, al igual que en lo relativo a la prerrogativa del sujeto
concernido de solicitar ante la fuente la información, actualización o
rectificación del dato personal incorporado en archivos o bancos de datos.

En cuanto a lo primero, la Sala advierte que de conformidad con el numeral
2.1., el titular tiene el derecho ante la fuente de información de ejercer los
derechos fundamentales al hábeas data y de petición, procedimientos
que (i) podrán cumplir a través de los operadores de información, mediante los
trámites de consultas y reclamos dispuestos en la norma estatutaria;
y (ii) operan sin perjuicio de la vigencia de los demás mecanismos
constitucionales o legales.

La Corte considera que aunque el precepto analizado, prima facie, se muestra
armónico con el deber de protección y garantía de los derechos
constitucionales del sujeto concernido, puede ser interpretado de un modo

restrictivo, incompatible con la eficacia de esos mismos derechos. En efecto,
pudiera sostenerse que el reconocimiento que la normatividad estatutaria hace
al titular para que ejerza sus derechos respecto de la fuente, responde a un
modelo de regulación reactivo, el cual se basa en considerar que la protección
de los derechos se genera desde el momento en que el sujeto concernido hace
uso de los mecanismos de consulta y reclamo.

Empero, la Corte también constata que una interpretación en este sentido, no
sólo generaría una disminución en el grado de protección de los derechos del
sujeto concernido, sino que también se mostraría incoherente con las
disposiciones del Proyecto de Ley, que imponen deberes concretos a las
fuentes de información, en lo relativo al ejercicio de actividades tendientes a
asegurar la efectividad de las facultades constitucionales de conocimiento,
actualización y rectificación del dato personal. Sobre el particular, el artículo 12
del Proyecto establece como condición necesaria para la inclusión del dato
personal comercial y crediticio en archivos o bancos de datos que la fuente
informe al titular sobre el particular, a efectos que éste pueda demostrar o
efectuar el pago de la obligación, así como controvertir aspectos tales como el
monto de la obligación o cuota y la fecha de exigibilidad.

La Sala considera oportuno resaltar que, según lo expuesto, la normatividad
estatutaria ha previsto herramientas eficaces para que la administración de
datos personales de contenido comercial, financiero y crediticio sea un proceso
transparente, en que el titular de la información conozca permanentemente
qué datos han sido incorporados en los archivos y bases administradas por los
operadores. En ese sentido, la Corte constata que el legislador estatutario ha
establecido correctivos legales a prácticas nocivas e inveteradas en el país,
consistentes en que el titular conocía la existencia del reporte tiempo después
de haberse efectuado, generalmente cuando le era negado un servicio
financiero o producto de crédito por el hecho de “estar reportado”. Para
eliminar este comportamiento de las fuentes y operadores, que contradice el
derecho al hábeas data, el Proyecto de Ley inscribe en las fuentes el deber de
notificar al titular sobre la intención de enviar la información sobre
incumplimiento a los operadores.

De acuerdo con este esquema de regulación previsto por la normatividad
estatutaria y ante la necesidad que el precepto analizado no se torne en una
barrera para el ejercicio pleno del derecho al hábeas data por parte del titular,
la Corte considera necesario condicionar su exequibilidad condicionada. Por lo

tanto, en la parte resolutiva de esta decisión se declarará la constitucionalidad
del numeral 2.1. del artículo 6º, en el entendido que la fuente tiene la
obligación de informar a los titulares los datos que suministra al operador, para
los fines previstos en el inciso 2º del artículo 12 de la Ley Estatutaria.

En lo relativo al segundo aspecto, la Sala considera oportuno estipular que la
posibilidad que confiere al titular el numeral 2.2. del artículo 6º, consistente en
solicitar a la fuente la actualización o rectificación, no es incompatible con que
el dato personal pueda divulgarse mientras se surten dichos procedimientos.
Esto a condición que, en los términos del numeral 2 del acápite II del artículo
16 de la normatividad estatutaria, una vez recibida la petición o reclamo, el
operador incluya en el registro individual una leyenda que diga “reclamo en
trámite” y la naturaleza del mismo. En los términos de la misma disposición,
esa indicación (i) deberá mantenerse hasta que el reclamo sea resuelto;
y (ii) deberá incorporarse en la información que se suministra a los usuarios.

Debe resaltarse que la circulación del dato personal objeto de reclamación es
compatible con el derecho al hábeas data, en especial con el principio de
veracidad y, a su vez, no constituye una afectación desproporcionada o
irrazonable de las prerrogativas constitucionales del sujeto concernido. La
divulgación del dato bajo la advertencia de que existe un proceso de
reclamación en trámite, es un instrumento que logra el equilibrio entre el
derecho a la información que tienen los usuarios y la eficacia de las
competencias constitucionales de actualización y rectificación que se predican
del titular de la información. Así, se mantendrá el dato incorporado en los
archivos y registros, lo que permitirá que los usuarios conozcan el
comportamiento crediticio del deudor. Empero, a éste también se le otorga la
prerrogativa que, en caso de no estar de acuerdo con el reporte sobre
incumplimiento, pueda reclamar a ese respecto, acción que también será
comunicada a los usuarios, a fin que valoren adecuadamente el dato personal,
el cual tendrá en una incidencia menor en la determinación del riesgo
crediticio, habida cuenta que su validez ha sido cuestionada. Finalmente, en
caso que el reclamo resulte fundado, el dato deberá eliminarse, a fin de
cumplir con el principio de veracidad que se predica de la información
personal.

3.2.4. Frente a los usuarios, el artículo permite que los titulares puedan
solicitar información sobre la utilización que el usuario le está dando a la

operador. Además, confiere al sujeto concernido la potestad de solicitar prueba
de la autorización, cuando ella sea requerida conforme lo previsto en la
normatividad estatutaria. Por último, el precepto contempla en su parágrafo
que los titulares de la información podrán acudir ante la autoridad de vigilancia
para presentar quejas contra las fuentes, operadores o usuarios por violación
de las normas sobre administración de la información financiera y crediticia.
ley.

Las anteriores disposiciones toman la forma de garantías de debido proceso y
protección de datos que no riñen con la Constitución, sino que, establecen
obligaciones jurídicas necesarias para que el titular pueda ejercer
adecuadamente
las
competencias
constitucionales
de
actualización,
conocimiento y rectificación de sus datos personales.

3.3. Deberes de los operadores, las fuentes y los usuarios de la
información (Arts. 7º a 9º)

3.3.1. Deberes de los operadores de bancos de datos (Artículo 7º)

De acuerdo con lo consagrado en el artículo 3º del Proyecto de Ley, el
operador de información es la persona, entidad u organización que recibe de la
fuente datos personales sobre varios titulares de la información, los administra
y los pone en conocimiento de los usuarios. La norma estatutaria impone a
estos agentes de la administración de datos personales los deberes que pasan
a analizarse:

Los numerales 1º a 4º del artículo 7º establecen distintos deberes a los
operadores de información personal, dirigidos unívocamente a la protección de
las facultades de conocimiento, actualización y rectificación de los datos, en los
términos del artículo 15 Superior. Adicionalmente, la norma impone a los
operadores la obligación de restringir el acceso a la información a quienes se
encuentren autorizados para ese efecto, de conformidad con las reglas
previstas en la normatividad estatutaria. Por último, este primer bloque de

deberes establece que los operadores están compelidos a adoptar un manual
interno de políticas y procedimientos, dirigido a proteger los citados derechos.
En especial, dicho manual deberá otorgar eficacia a los procedimientos de
consultas y reclamos adelantados por los operadores.

Estos preceptos son compatibles con los postulados constitucionales, en tanto
instrumentos que buscan hacer efectivas las prerrogativas del sujeto
concernido. Así, permitir el acceso a la información personal únicamente a las
personas que la Ley autoriza, conforme lo dispone el numeral 3 del artículo 7º,
supone una limitación necesaria a la competencia del operador para
administrar el dato personal, que debe entenderse en armonía con el
consentimiento del titular, a fin que él pueda conocer razonablemente la
finalidad y el destino de los datos, es decir, las personas que legalmente
pueden tener acceso a ellos. Bajo la misma lógica, la exigencia de adopción de
un manual interno de políticas y procedimientos, en los términos de la norma
analizada, es una disposición destinada a otorgar transparencia a la gestión de
la información de las personas, en la medida en que permite consignar en
instrumentos prescriptivos de las entidades el mecanismo para efectivizar los
derechos de los titulares.

El numeral 5° dispone que es deber del operador "solicitar la certificación a la
fuente de la existencia de la autorización otorgada por el titular, cuando dicha
autorización sea necesaria, conforme a lo previsto en la presente ley". Se trata
de una previsión congruente con el principio del consentimiento, medular al
manejo de datos. Como se ha sostenido a lo largo de esta decisión, el
consentimiento debe predicarse como regla general de toda modalidad de
tratamiento de datos. Este argumento justifica la exigencia al operador de
contar con el consentimiento del titular del dato para proceder a tratar la
información personal.

La seguridad es, en los términos de la norma estatutaria, un principio oponible
a la administración de datos personales. En consecuencia, cuando el numeral 6
ordena a los operadores "conservar con las debidas seguridades los registros
almacenados", dispone una medida que hace eficaz dichos principios y, por
ende, se ajusta a las previsiones del artículo 15 Superior.

La revisión oportuna y periódica de la información personal, cada vez que las
fuentes realicen reportes al operador, es un predicado necesario del principio
de veracidad, expresamente previsto por el legislador estatutario y que hace

parte de las prerrogativas que integran el derecho al hábeas data. Por ello, el
numeral 7º del artículo 7º es compatible con los postulados constitucionales.

Tramitar las consultas y reclamos formulados por los titulares de la
información es el deber contemplado en el numeral 8°. Bien puede tratarse de
una regulación específica del derecho de petición ante organizaciones privadas,
para lo cual la Carta ha habilitado al legislador, de conformidad con lo
establecido en el artículo 23 C.P. Para la Sala, es conveniente que los
operadores resulten vinculados al cumplimiento de los trámites previstos en la
ley para la solución de los reclamos y controversias que planteen los titulares
para la protección y efectividad de los derechos involucrados en el tratamiento
de los datos. Una disposición de este tenor, genera seguridad a los titulares de
que sus quejas serán tramitadas y les impone a los operadores deberes de
eficiencia, transparencia y respeto por los derechos de los titulares. Mediante
estos cauces concretos se pueden hacer efectivos los derechos de
conocimiento, actualización y rectificación de las informaciones, en los
términos que consagra el artículo 15 de la Carta. No existen por lo tanto,
reparos que formular a esta disposición.

En orden a garantizar la transparencia en el tratamiento, el numeral 9º del
artículo 7° del Proyecto ordena al operador "indicar en el respectivo registro
individual que determinada información se encuentra en discusión por parte de
su titular, cuando se haya presentado solicitud de rectificación o de
actualización de la misma y no haya finalizado dicho trámite".

El artículo 20 de la Carta dispone que en uso de las libertades de informar y de
ser informados, la información que circula debe ser "veraz e imparcial", lo que
equivale a afirmar que en todo dato, sobre todo si es negativo, el reporte debe
incluir no sólo la versión de la fuente, sino la posibilidad de que el titular
manifieste también su posición sobre el contenido de determinados datos, para
que la información pueda considerarse acorde con el criterio de imparcialidad
antes citado. Así entendido, el numeral se muestra ajustado a la Carta Política.

Divulgar la información personal a los usuarios dentro de los parámetros de
ley, como lo propone el numeral 10, es un deber que se aviene el principio de
circulación restringida, reconocido por la jurisprudencia constitucional y
desarrollado por el legislador estatutario. Por ende, se muestra plenamente
compatible con el contenido y alcance del derecho al hábeas data.

Por último, advierte la Corte que como parte de la estructura de control estatal
dispuesta por el Proyecto de Ley, según la cual los operadores están sometidos
a la vigilancia de la autoridad competente, en este caso, las Superintendencias
Financiera y de Industria y Comercio, es apenas natural, y compatible con la
Constitución, que los operadores estén en la obligación de "cumplir con las
instrucciones y requerimientos que la autoridad de vigilancia imparte en
relación con el cumplimiento de la presente ley".

A pesar de la exequibilidad general de las normas que establecen los deberes
de los operadores, habida cuenta su compatibilidad con las prerrogativas
propias del derecho fundamental al hábeas data, tales conclusiones no son
aplicables para el caso de la expresión “cuando dicha autorización sea
necesaria” prevista en el numeral 5. Al respecto, debe resaltarse que en
distintos apartados de esta sentencia se ha insistido en que (i) existen razones
de naturaleza sistemática, histórica y teleológica que demuestran que la norma
estatutaria tiene carácter sectorial, esto es, sus postulados resultan aplicables
sólo a los procesos de administración de datos personales de contenido
comercial, financiero, crediticio, de servicios y proveniente de terceros países;
y (ii) el consentimiento del titular para la incorporación de dichos datos en
centrales de información es uno de los aspectos que hacen parte del contenido
mínimo del derecho al hábeas data financiero, en tanto se derivan de la
previsión constitucional que ordena la vigencia del principio de libertad en la
administración de datos personales. Por ende, habida cuenta que para el caso
objeto de estudio no concurre un interés constitucionalmente legítimo para la
eliminación de dicha autorización, una previsión estatutaria en ese sentido es
incompatible con la Carta Política.

En este orden de ideas, el deber del operador del banco de datos de solicitar la
certificación a la fuente de la existencia de la autorización otorgada por el
titular es una obligación que, en el ámbito de la administración de datos
personales de contenido comercial y crediticio, no admite excepciones. En
consecuencia, la expresión objeto de análisis, que presupone la posibilidad de
ámbitos de exclusión al consentimiento para la incorporación de la información
personal de esta naturaleza, es inexequible.

3.3.2. Deberes de las fuentes de información (Artículo 8º)

Las fuentes de información, al tenor del propio Proyecto de ley son las
personas, entidades u organizaciones que reciben o conocen datos personales
de los titulares de la información, en virtud de una relación comercial o de
servicio o de cualquier otra índole y que, en razón de autorización legal o del
titular, suministra esos datos a un operador de información, el que a su vez los
entregará al usuario final. En ese sentido, el artículo 8° del Proyecto de Ley
consagra los deberes a que están sujetas las fuentes de información en el
proceso de administración de información de carácter personal.

En cuanto a lo previsto en el numeral 1º, que establece el deber de las fuentes
de garantizar que la información que se suministre a los operadores de los
bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y
comprobable, debe señalarse que los procesos de administración de datos
personales está signado por un deber deobjetividad. Esta condición implica que
la información no debe ser presentada en forma inductiva, sesgada o
sugestiva. La jurisprudencia constitucional [150] al respecto también ha señalado
que la veracidad supone una correspondencia entre el registro efectuado y las
condiciones empíricas del sujeto pasivo. Por ello, en tanto la fuerza de los
presupuestos de veracidad y actualidad se refleja en esta norma, la Corte la
encuentra ajustada a la Constitución.

El numeral 2º ordena que las fuentes reporten al operador "todas las
novedades
respecto
de
los
datos
que
previamente
le
haya
suministrado y adoptar las demás medidas necesarias para que la información
suministrada a este se mantenga actualizada". Sin duda, es una previsión
natural del manejo de datos contemplar que la información sea veraz,
actualizada y comprobable, lo cual permite realizar el principio de la calidad de
los registros o datos. La exigencia resulta entonces ajustada a la Constitución.

En el mismo sentido, el numeral 3 consagra el deber de "rectificar la
información cuando sea incorrecta e informar lo pertinente a los
operadores". Tanto la actualización como la rectificación hacen parte de los
procedimientos que requiere el tratamiento de la información y, dado que la
fuente es la primera que la recaba, es ella la que queda vinculada en lo
sucesivo a gestionar lo necesario para que la misma se mantenga al día,
y corresponda en rigor a la realidad. Este numeral no tiene objeción a la luz de
los mandatos superiores.

La realización de los deberes que se le asignan a las fuentes de información
supone naturalmente, la implementación de mecanismos y procedimientos
técnicos u operativos para facilitar la gestión oportuna de las novedades. Es la
razón por la que el numeral 4 dispone como uno de los deberes de las
fuentes "Diseñar e implementar mecanismos eficaces para reportar
oportunamente la información al operador. Esta obligación está en la vía de
realizar el principio de calidad de los datos y contribuye a la vigencia de los
derechos de actualización y rectificación de los mismos, pues en ausencia de
estos mecanismos, probablemente su eficacia quedaría en entredicho. En
consecuencia, el numeral es conforme con la Carta Política.

El numeral 5 consagra el deber de "solicitar, cuando sea del caso, y conservar
copia o evidencia de la respectiva autorización otorgada por los titulares de la
información, y asegurarse de no suministrar a los operadores ningún dato cuyo
suministro no esté previamente autorizado, cuando dicha autorización sea
necesaria. Es una derivación del principio de libertad, que como se ha dicho,
debe ser la regla para proceder al tratamiento,y respecto del dato
comercial y financiero, no se advierte ninguna razón constitucional que admita
exceptuarlo del antedicho principio. Si la fuente es la que entrega la
información, es ella el eslabón inicial del tratamiento y por lo mismo, resulta
obligada a recabar el consentimiento del titular, en orden a que él pueda
conocer, controlar y ejercer las garantías que le otorga la Constitución.

El numeral 6, que ordena a la fuente "certificar semestralmente al operador
que la información suministrada cuenta con la autorización...", es una garantía
adicional para el titular, dirigida a reforzar el principio de libertad antes citado.
En consecuencia, resulta por lo mismo ajustada al ordenamiento superior.

La Corte recuerda que, como se dijo en precedencia, el cumplimiento de las
previsiones del numeral 2º y del 6º del artículo 8º está relacionado con la
protección de la facultad constitucional de actualizar el dato contenido en las
bases de datos, al igual que la satisfacción de los principios de libertad y
veracidad propios de la administración de datos personales. La obligación que
tienen las fuentes de reportar al operador las novedades que se hayan
presentado respecto de los datos es una herramienta indispensable para que la
información concernida esté actualizada y, por ende, sea veraz. Así, en caso de
que se exonerara a las fuentes de esa información, no existiría herramienta
alguna, distinta a los procedimientos de consulta, peticiones y reclamos, que
garantizara la veracidad del dato personal. Igualmente, la exigencia relativa a
la certificación de la autorización del titular de la información es una expresión

propia del principio de libertad, previsto expresamente en el artículo 15 C.P.,
que obliga a que las actividades de acopio, gestión y divulgación de datos
personales estén precedidas del consentimiento libre, expreso y previo del
sujeto concernido; de forma tal que se impida el acceso y circulación
inconsulta y, por ende, ilegal.

El numeral 7º establece como deber de la fuente de información, resolver los
reclamos y peticiones del titular. Se crea una especie particular del derecho de
petición orientada a garantizar los derechos que como titular de los datos,
tiene toda persona. Es natural que el reconocimiento de determinados
derechos y garantías vaya acompañada del correspondiente deber a cargo de
las fuentes de respetarlo y hacerlo efectivo. La resolución de reclamos y
peticiones debe entenderse bajo los parámetros que la Constitución y la ley
han previsto para que se entienda como satisfecho el derecho, es decir, que la
respuesta sea oportuna y que con ella se resuelva de fondo lo planteado por el
interesado. Comprendido de esta forma, el numeral se entiende así ajustado a
la Constitución.

La obligación de “informar al operador que determinada información se
encuentra en discusión por parte del titular, cuando se haya presentado
solicitud de rectificación o actualización de la misma, con el fin de que el
operador incluya en el banco de datos una mención en ese sentido hasta que
se haya finalizado dicho trámite" que consagra el numeral 8º del artículo 8°,
en estudio, es una obligación derivada del ejercicio de la actividad informativa
que desarrollan los bancos de datos. La información objeto de tratamiento
debe ser veraz e imparcial y, en tal virtud, es lógico que se informe al operador
y a los usuarios que el titular está controvirtiendo la información, lo cual
también se articula a la necesidad de mantener la calidad de los datos, referida
a que ellos han de ser actuales, completos, comprobables y comprensibles.

El cuestionamiento del dato hace parte de una información veraz y completa y,
además, se articula con el derecho fundamental al debido proceso, por cuanto
la persona afectada con una información desfavorable o incierta, debe tener la
oportunidad legal de presentar sus argumentos y razones para cuestionarla. Si
dicha información es puesta en circulación, es claro que las razones de
desavenencia del titular con determinados datos, sean también puestas en
circulación para realizar las condiciones de veracidad e imparcialidad
imponibles al dato personal.

La obligación de cumplir con las instrucciones de la autoridad de control hace
parte de la relación jerárquica de seguimiento y vigilancia a que está
supeditada la actividad del tratamiento de datos por disposición del Proyecto
de Ley. Por ende, no hay tacha de constitucionalidad de este precepto.

El numeral 10º es una cláusula abierta que vincula a las fuentes al
cumplimiento de otros deberes que pudieran surgir de leyes actuales o
posteriores. Disposiciones de esta naturaleza, que están dirigidas a incluir
dentro del espectro de deberes aquellos referidos a la eficacia de derechos y
garantías del sujeto concernido, no tienen ningún reparo constitucional.

La Corte considera necesario señalar que, no obstante la exequibilidad general
del deber de las fuentes de información de solicitar y conservar copia de la
evidencia de la respectiva autorización otorgada por los titulares de la
información, y abstenerse, de forma correlativa, de enviar al operador datos
que no cuenten con la misma; tal constitucionalidad no resulta predicable de
las expresiones “cuando sea el caso” y “cuando dicha autorización sea
necesaria”, previstas en el numeral 5 del artículo 8º del Proyecto de Ley.

De manera similar a como se indicó para el caso de la inexequibilidad parcial
numeral 5 del artículo 7º de la norma estatutaria, en este evento también debe
reiterarse que el consentimiento otorgado por el sujeto concernido para la
incorporación de su información personal en una base de datos, hace parte de
las garantías mínimas del derecho al hábeas data. En especial, esta
autorización es la expresión concreta del principio de libertad exigible a los
procesos de administración de datos personales, en los precisos términos del
artículo 15 C.P. Para el escenario concreto de las actividades de acopio,
tratamiento y divulgación de información personal de contenido comercial y
crediticio, se demostró que la exclusión de este deber de consentimiento del
titular no respondía a un fin constitucionalmente legítimo. Por ende, una
previsión de esa naturaleza resultaba contraria a la Constitución.

Aplicadas estas consideraciones para el numeral objeto de análisis, la Sala
advierte que las expresiones anteriormente identificadas parten del supuesto
que en algunos eventos propios de la administración de datos personales de
contenido financiero, comercial y crediticio no resulta necesaria la autorización
del sujeto concernido para los procesos de recolección, tratamiento y
circulación. Esta alternativa, según los argumentos expuestos en este fallo,

viola el principio de libertad propio del derecho al hábeas data. En
consecuencia, dichas expresiones son inexequibles.

3.3.3. Deberes de los usuarios (Artículo 9º)

Usuario, conforme al artículo 3º del Proyecto, es la persona natural o jurídica
que, en los términos y circunstancias previstos en la norma estatutaria, puede
acceder a información personal de uno o varios titulares de la información
suministrada por el operador o por la fuente, o directamente por el titular de la
información. El usuario, en cuanto tiene acceso a información personal de
terceros, se sujeta al cumplimiento de los deberes y responsabilidades
previstos para garantizar la protección de los derechos del titular de los datos.
En el caso en que el usuario a su vez entregue la información directamente a
un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá
los deberes y responsabilidades de ambos.

Los deberes para los usuarios se contraen, en los términos de los numerales 1º
a 4º del artículo analizado, a guardar la reserva de la información que les sea
suministrada, a informar a los titulares sobre la utilización que están dando a
sus datos, a conservar con las debidas seguridades la información y a cumplir
con las instrucciones de la autoridad de control. Igualmente, el numeral
5º ejusdem se ocupa de la cláusula abierta de sometimiento a los demás
deberes que consagren la Constitución y la Ley. Respecto de estos numerales,
no se observan motivos para cuestionar su constitucionalidad, en la medida en
que corresponden a postulados ya analizados a lo largo de esta sentencia.

3.4. De los bancos de datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países. (Arts. 10 a
15)

3.4.1. Principio de favorecimiento de una actividad de interés público (Artículo
10)

El inciso primero del artículo 10 del Proyecto de Ley establece que los procesos
de administración de datos personales de contenido comercial, financiero,

crediticio, de servicios y proveniente de terceros países tienen relación directa
y favorece el interés público representado en la actividad financiera. Agrega
que dichos procesos ayudan a la democratización y desarrollo del crédito, la
protección de la estabilidad y la confianza pública en el sistema financiero, a la
vez que genera otros beneficios para la economía nacional, especialmente en
lo que respecta a la actividad financiera, crediticia, comercial y de servicios del
país.

Esta previsión se limita a replicar varias de las consideraciones realizadas en
esta sentencia sobre la legitimidad constitucional del cálculo del riesgo
crediticio a través de procesos de recolección, tratamiento y circulación de
datos personales de contenido comercial y financiero. Al respecto, el legislador
estatutario establece que estas actividades son instrumentos útiles para la
conservación de la estabilidad financiera y, por ende, del ahorro público objeto
de distribución en la sociedad a través de los distintos productos de crédito. En
suma, este primer apartado no establece ninguna consideración adicional a las
indicadas por esta Corporación en el fundamento jurídico 2.8. de esta decisión,
razones todas ellas dirigidas a justificar la administración de datos personales
financieros en la sociedad democrática, a través del reconocimiento simultáneo
de la vigencia del derecho fundamental al hábeas data y del acceso reglado a
la información personal por parte de los sujetos involucrados en el tráfico
económico. Con todo, la Sala considera oportuno resaltar que el
reconocimiento del cálculo del riesgo crediticio como una actividad de interés
público, que hace el legislador estatutario, en todo caso debe interpretarse en
plena armonía con la eficacia de los derechos y garantías predicables a favor
del titular del dato personal. En este sentido y verificado ese deber de
compatibilidad entre la norma y la protección de los derechos constitucionales,
la norma no se opone a los postulados constitucionales.

El parágrafo 1º del artículo 10 dispone que las labores de administración de
información personal de contenido crediticio y financiero, adelantadas por
fuentes, usuarios y operadores, deberán realizarse de modo tal que permitan
favorecer los fines de expansión y democratización del crédito. Ello obliga, en
los términos del precepto, a que los usuarios de ese tipo de
información (i) deberán valorarla de forma concurrente con otros factores o
elementos de juicio que técnicamente incidan en el estudio de riesgo y el
análisis crediticio; (ii) no puedan basarse exclusivamente en la información
relativa al incumplimiento de obligaciones suministrada por los operadores
para adoptar decisiones frente a solicitudes de crédito. Finalmente, el precepto

le otorga a la Superintendencia Financiera de Colombia la potestad de imponer
las sanciones previstas en la los usuarios de la información que nieguen una
solicitud de crédito bajo el incumplimiento del segundo de los citados deberes.

A través de la disposición en comento el legislador estatutario otorga
herramientas concretas para el perfeccionamiento del deber de responsabilidad
social en la administración de datos personales. Como se indicó en apartado
anterior de esta providencia, la legitimidad constitucional de la administración
de datos personales de contenido comercial y crediticio depende, entre otros
factores, de la utilización razonable de la información por parte de las
entidades que ejercen actividades de intermediación financiera.

La razonabilidad del uso del dato personal implica que el reporte que ofrecen
las centrales de información no puede convertirse en un factor único y
totalizante para la determinación del cumplimiento en el pago de una
obligación crediticia futura. En cambio, el uso responsable implica que las
citadas entidades y, de una manera más amplia, todos aquellos usuarios que
se sirven de la información personal financiera como parámetro para la toma
de decisiones sobre la suscripción de contratos con clientes potenciales, deban
realizar un estudio juicioso y amplio de los diversos factores que resultan
pertinentes para la determinación del riesgo crediticio. Ello en tanto una
evaluación descuidada y simplista del cumplimiento en el pago de las
obligaciones, fundada exclusivamente en el contenido del reporte que emiten
las centrales de riesgo, no sólo es del todo insuficiente, conforme a los
parámetros técnicos que regulan la materia, sino que desconoce el mandato
constitucional de democratización del crédito (Art. 335 C.P.).

En efecto, las reglas técnicas sobre la gestión del riesgo establecen que la
evaluación de la capacidad de pago esperada del deudor o proyecto o financiar
es definitiva para determinar las posibilidades de incumplimiento. Sin
embargo, este es un proceso complejo en que los reportes otorgados por las
centrales de información son apenas uno de los elementos de juicio a tener en
cuenta para el cálculo del riesgo. Así, dentro de los criterios mínimos que las
reglas mencionadas prevén para una determinación suficiente del riesgo
están: (i) los flujos de ingresos y egresos, así como el flujo de caja del deudor
y/o del proyecto financiado o a financiar; (ii) la solvencia del deudor, a través
de variables como el nivel de endeudamiento y la calidad y composición de los
activos, pasivos, patrimonio y contingencias del deudor y/o del

proyecto; (iii) la información sobre el cumplimiento actual y pasado de las
obligaciones del deudor. La atención oportuna de todas las cuotas o
instalamentos, entendiéndose como tales cualquier pago derivado de una
operación activa de crédito, que deba efectuar el deudor en una fecha
determinada, independientemente de los conceptos que comprenda (capital,
intereses, o cualquier otro). Adicionalmente, la historia financiera y crediticia,
proveniente de centrales de riesgo, calificadoras de riesgo, del deudor o de
cualquier otra fuente que resulte relevante; (iv) el número de veces que el
crédito ha sido reestructurado y las características de las respectivas
reestructuraciones. Para este efecto, se entenderá que entre más operaciones
reestructuradas tenga un mismo deudor, mayor será el riesgo de no pago de la
obligación; (v) para el caso particular en que el deudor o el proyecto a
financiar esté a cargo de una entidad pública territorial, deberá verificarse el
cumplimiento de las condiciones establecidas en las leyes 358 de 1997, 550 de
1999 y 617 de 2000, y de las demás normas que las reglamenten o
modifiquen; y (vi) los posibles efectos de los riesgos financieros a los que está
expuesto el flujo de caja del deudor y/o del proyecto a financiar, considerando
distintos escenarios en función de variables económicas (tasas de interés,
tasas de cambio, crecimiento de los mercados, etc.) que puedan afectar el
negocio o la capacidad de pago del deudor, según el caso. Igualmente, se debe
examinar la calidad de los flujos de caja teniendo en cuenta la volatilidad de
los mismos. Para las disposiciones técnicas, dentro de estos riesgos deben
analizarse, en tanto sean relevantes, datos relacionados con posibles
“descalces” de monedas, plazos y tasas de interés, escenarios de evolución de
cuotas en los casos de créditos con tasa de interés variable o indexado a la
UVR u otro índice, el riesgo de mercado derivado de la volatilidad de la tasa de
cambio en el caso de los créditos denominados en moneda extranjera, al igual
que los riesgos de contagio, legales, operacionales y estratégicos a los que
puede estar expuesta la capacidad de pago del deudor o el proyecto a
financiar.[151]

Bajo esta perspectiva, la Corte advierte que el cumplimiento de la función
constitucionalmente legítima del cálculo del riesgo crediticio, consistente en
contar con información para la adecuada distribución de los recursos de crédito
y la subsecuente garantía de la estabilidad financiera y la protección del ahorro
público, se cumple de manera suficiente y razonable cuando cada una de estas
variables sean tenidas en cuenta por las entidades correspondientes como
paso previo para la suscripción de contratos de crédito. En caso contrario, un
análisis apenas parcial, no sólo es incompatible con las exigencias técnicas
antes enunciadas, sino que desnaturaliza la finalidad misma del reporte
crediticio, pues lo convierte en un instrumento destinado a servir de barrera

para la democratización de los recursos de crédito, en contraposición de las
obligaciones que se derivan del deber de responsabilidad social en la
administración de datos personales.

La norma analizada, a su vez, establece la posibilidad de imposición de
sanciones a las entidades financieras que nieguen una solicitud de crédito por
el solo hecho de la presencia de un reporte negativo. La previsión estatutaria,
conforme a los argumentos expuestos, se encuentra del todo justificada, en
tanto el cálculo incompleto del riesgo financiero viola el deber de
responsabilidad social antes aludido, al igual que contrae el incumplimiento de
las obligaciones predicables de dichos establecimientos respecto de la adopción
de decisiones informadas sobre el otorgamiento de créditos, que no amenacen
el ahorro público y la estabilidad del sistema en su conjunto. Finalmente, una
disposición de esta naturaleza previene el abuso de la posición dominante de
las entidades financieras, pues establece desestímulos para prácticas que,
amparadas en una visión maximalista del reporte que ofrecen las centrales de
información, restringen injustificadamente el acceso de los ciudadanos a los
productos de crédito.

Con base en lo expuesto, la Corte concluye que el parágrafo 1º del artículo 10
de la normatividad estatutaria es una herramienta adecuada para el
cumplimiento de las finalidades constitucionalmente legítimas de la
administración de datos personales de contenido financiero, comercial,
crediticio, de servicios y proveniente de otros países. Por lo tanto, será
declarado exequible.

El parágrafo 2º del artículo 10 del Proyecto de Ley establece que la consulta de
la información financiera, crediticia, comercial, de servicios y la proveniente de
otros países por parte del titular será gratuita, al menos una vez cada mes
calendario. Sobre esta disposición, varios de los intervinientes, al igual que el
Ministerio Público, solicitan a la Corte que sea declarada inexequible.
Argumentan que el cobro de una tarifa para el acceso a la información
constituye una carga desproporcionada e irrazonable para la eficacia del
derecho al hábeas data. Agregan que esta obligación sujeta el ejercicio del
citado derecho fundamental a la capacidad económica, lo que implica que
aquellas personas de menores ingresos, por ese sólo hecho, vean
desestimulada o restringida la facultad de conocer la información personal
contenida en las bases de datos.

Para evaluar la constitucionalidad de este precepto, la Corte parte de advertir
que la previsión del legislador estatutario faculta a los operadores para que,
desde la segunda consulta mensual, puedan imponer al sujeto concernido el
pago de una tarifa para el acceso a su información personal. La norma
establece, en ese sentido, una posibilidad genérica de cobro, no sujeta a
modalidad o diferenciación alguna, la cual, en los términos del Proyecto de
Ley, queda sometida a la definición en su monto, hechos generadores y demás
aspectos, a la potestad del administrador del dato personal.

Es claro que la imposición de la tarifa establece una restricción al ejercicio del
derecho fundamental al hábeas data, específicamente en lo que respecta al
derecho que el artículo 15 de la Carta Política otorga al sujeto concernido
de conocer las informaciones que se hayan recogido sobre él en bancos de
datos y en archivos de entidades públicas y privadas. Esta restricción se
concreta en que la posibilidad de acceder a la información por parte del titular
no tendrá carácter irrestricto, sino que estará mediada por el pago de una
suma de dinero, en los términos y condiciones que fije el operador. Al
respecto, debe acotarse que la jurisprudencia de esta Corporación ha
establecido que la exigencia del pago de tarifas y tasas como condición para el
acceso a la información personal configura una limitación inconstitucional del
ejercicio del derecho al hábeas data, en tanto restringe injustificadamente la
posibilidad de ejercer las facultades de conocimiento de la información, las
cuales hacen parte del contenido esencial de esa prerrogativa fundamental.

En efecto, en la sentencia C-536/06 la Corte analizó las normas de la Ley
961/04 que establecen las tasas que debe asumir el ciudadano para obtener la
expedición del certificado de antecedentes por parte del Departamento
Administrativo de Seguridad-DAS. En esta decisión, la Sala diferenció entre la
actividad estatal de certificación, respecto de la cual resultaba posible exigir el
pago de la tasa en tanto se estaba ante la prestación de un servicio por parte
de una entidad pública, y el ejercicio de la facultad del sujeto concernido de
conocer su información personal relativa a los antecedentes penales, que no
podía someterse al pago de una tarifa, so pena de vulnerar el derecho a la
autodeterminación informativa. Por ende, estableció que debía existir, por lo
menos, una modalidad de acceso gratuito de acceso a la información personal,
para el caso de carácter electrónico, que permitiera el ejercicio efectivo de la
facultad de conocimiento antes citada. Sobre este tópico particular, la decisión
en comento indicó:

“Por otra parte, como fue puesto de manifiesto por el demandante y
la Vista Fiscal, el certificado de antecedentes judiciales tiene estrecha
relación con el ejercicio del derecho fundamental a la
autodeterminación informativa, previsto en el artículo 15 de la Carta
Política, pues tal como ha reconocido la Corte Constitucional este
documento “[e]stipula si el titular no tiene asuntos pendientes con
las autoridades judiciales y de policía, o si no es solicitado por las
mismas autoridades”. En esa medida tener acceso a esta
información, actualizarla y eventualmente corregirla resulta de
fundamental importancia para las personas residentes en Colombia
no solo para el eventual ejercicio de cargos y funciones públicas, sino
también incluso para garantizar su libertad personal.

Ahora bien, no se debe confundir el certificado de antecedentes
judiciales con la información relativa a la situación judicial de un
ciudadano frente a la justicia y autoridades colombianas, información
a la cual, en principio, pueden acceder los interesados por medios
distintos al certificado judicial, como por ejemplo, en ejercicio del
derecho de petición. No obstante, a pesar de lo expuesto en uno de
los escritos de intervención del DAS, esta entidad interpreta las
disposiciones legales y reglamentarias vigentes de manera tal que
sólo suministra esta información al interesado mediante la expedición
del certificado de antecedentes judiciales, es decir, una vez se ha
pagado la tasa prevista en la Ley 961 de 2005, como resulta además
evidente en la respuesta a la petición presentada por el demandante
ante el Departamento Administrativo de Seguridad y anexada al
expediente[152].

Resulta entonces que en la práctica el acceso a la información sobre
si una persona tiene asuntos pendientes con las autoridades
judiciales y de policía, o si no es solicitado por las mismas
autoridades[153] está condicionado al pago de una tasa. Lo cual
resulta a todas luces inconstitucional, porque una persona
interesada, que carezca de los recursos suficientes para el pago del
tributo, no podrá acceder a esa información en extremo relevante
para su libertad personal, ni tampoco podrá actualizarla ni corregirla,
tal como prevé el artículo 15 constitucional. Supeditar el ejercicio de
derechos fundamentales al pago de una contraprestación económica

significa ignorar su carácter inalienable, tantas veces puesto de
relieve por la jurisprudencia constitucional [154].

Ahora bien, podría argumentarse que hay otros medios por los cuales
las personas interesadas podrían tener acceso a la información sobre
sus antecedentes judiciales, como por ejemplo mediante la
presentación de peticiones ante las autoridades policiales y judiciales
nacionales. Sin embargo, las únicas bases de datos centralizadas que
contienen esa información son administradas por el DAS, por lo tanto
someter a la persona interesada a la carga de dirigir solicitudes a
autoridades que no cuentan con la información centralizada no
constituye una garantía eficaz de su derecho a la autodeterminación
informativa en este caso concreto.

El literal a) del artículo tercero de la Ley 961 de 2005 prevé como
hechos generadores de la tasa demandada la expedición física del
certificado de antecedentes judiciales y sus renovaciones (numeral 1)
y la disponibilidad electrónica de información sobre antecedentes
judiciales para ser consultados por el interesado o por terceros
(numeral 2). De manera tal que, como antes se consignó, todas las
posibilidades de acceso a la información sobe los antecedentes
judiciales están condicionadas al pago de una tasa, razón por la cual
la Corte Constitucional declarará la inexequibilidad de la
expresión “por el interesado” contenida en el numeral 2 del literal a)
del artículo 3 de la Ley 961 de 2005, para garantizar que las
personas interesadas puedan tener acceso a la información
electrónica sobre sus antecedentes judiciales de manera gratuita, y
de esta manera quede a su disposición una vía no onerosa para
poder asegurar el ejercicio de su derecho a la autodeterminación
informativa.

La declaratoria de inexequibilidad de la expresión antes señalada
implica necesariamente que el Departamento Administrativo de
Seguridad debe habilitar las condiciones necesarias para que los
interesados puedan tener acceso a la información electrónica sobre
sus antecedentes judiciales de manera gratuita, pues sólo de esta
manera
se
garantizará
efectivamente
el
derecho
a
la
autodeterminación informativa.” (Subrayas no originales).

Las reglas jurisprudenciales planteadas en esta decisión son mutatis
mutandis aplicables al análisis de la constitucionalidad del precepto estatutario.
Así, la Sala advierte que el derecho que tiene el sujeto concernido de acceder a
su información personal tiene carácter inalienable, razón por la cual resultará
protegido adecuadamente únicamente cuando la disposición de los datos no
esté supeditada al pago de tarifas u otra clase de barreras fundadas en la
capacidad de pago del titular del dato.

Debe señalarse, en igual sentido, que la exigencia de cobro para el acceso a la
información personal por parte de su titular contradice el contenido y alcance
de ese derecho, de la manera en como lo han comprendido los organismos que
hacen parte del sistema regional de protección de los derechos humanos. Así,
la Comisión Interamericana de Derechos Humanos aprobó la Declaración sobre
Libertad de Expresión del año 2000, cuyo principio 3 insiste en que “toda
persona tiene derecho a acceder a la información sobre sí misma o sus bienes
en forma expedita y no onerosa, ya esté contenida en bases de datos,
registros públicos o privados y, en el caso de que fuere necesario, actualizarla,
rectificarla y/o enmendarla”[155] Previsiones de esta naturaleza demuestran
que, desde diversos ámbitos, la gratuidad del acceso al dato personal por parte
del titular hace parte del contenido esencial del derecho al hábeas data.

No obstante, encuentra la Corte que en contra de la anterior conclusión puede
argumentarse que lo previsto por el legislador estatutario no se contrapone a
la Constitución, en tanto está permitido el acceso gratuito del titular, sólo que
se establece el cobro para el caso de la segunda consulta mensual; ello con el
ánimo de otorgar un grado de racionalización al acceso por parte del sujeto
concernido y, de esta manera, desestimular un uso desaforado de la facultad
de consulta prevista por la Constitución.

A juicio de la Sala, debe partirse de considerar que lo que proscriben las reglas
anteriormente analizadas es que el acceso a la información personal esté
supeditado al pago de un costo o tarifa, lo que no es incompatible con que el
legislador establezca la posibilidad de cobro, siempre y cuando el mismo no
constituya requisito ineludible para el acceso a los datos personales por parte
de su titular. En ese sentido, la norma analizada no se opone a la Constitución,
en la medida en que permite que el titular acceda gratuitamente a sus datos,

al menos una vez al mes calendario, facultad que permite hacer efectivo el
derecho de acceso a la información personal, en los términos anteriormente
expuestos. En ese sentido, encuentra la Corte que la restricción mensual a la
gratuidad de acceso al dato personal no se muestra desproporcionada ni
irrazonable. En efecto, (i) existe la posibilidad que el titular acceda
gratuitamente a su información personal, cada mes; y (ii) la práctica comercial
demuestra que las obligaciones financieras y crediticias son pactadas con
vencimientos de pago igualmente mensuales, razón por la cual resulta
materialmente posible que se efectúen reportes sobre cumplimiento en el pago
de obligaciones por lapsos más cortos. Por ende, la medida de racionalización
en la consulta que prevé el legislador estatutario no afecta la facultad
constitucional que tiene el titular de conocer, actualizar y rectificar sus datos
personales concernidos en archivos o bancos de datos.

Sin embargo, la Corte debe resaltar que, en todo caso, la facultad que tienen
los operadores de exigir un cobro por el acceso, por parte del titular, a partir
de la segunda consulta mensual, no puede convertirse en una barrera para el
ejercicio de las competencias de conocimiento, actualización y rectificación que
la Carta Política le adscribe. Finalmente, la Sala considera importante destacar
que la norma, en el evento que fuera aplicada para el caso de un operador de
información constituido como persona jurídica de derecho público-posibilidad
que la norma estatutaria no descarta-constituiría una tasa cobrada por la
prestación de un servicio por parte del Estado. En este escenario, la aplicación
de la tarifa deberá estar supeditada a que el legislador, conforme a las reglas
previstas en la Constitución, regule previamente dicho ingreso fiscal [156]

3.4.2. Requisitos especiales para los operadores (Artículo 11)

El artículo 11 establece que los operadores de bancos de datos de información
países, en el caso que funcionen como entes independientes a las fuentes de
información, estarán obligados a cumplir con deberes específicos, a
saber: (i) constituirse como sociedades comerciales, entidades sin ánimo de
lucro o entidades cooperativas; (ii) establecer un área de servicio al titular de
información, destinada a la atención de peticiones, consultas y
reclamos; (ii)contar con un sistema técnico de seguridad, que salvaguarde los
datos personales y actualice los registros, a fin de evitar su adulteración,
pérdida, consulta o uso no autorizado conforme lo previsto en la norma

estatutaria; y (iii) actualizar la información reportada por las fuentes con una
periodicidad no superior a diez días calendario, contados desde el recibo de la
misma.

Estas facultades conforman un grupo de instrumentos útiles para proteger
tanto el ejercicio efectivo de las facultades de conocimiento, actualización y
rectificación del dato personal por parte del sujeto concernido, al igual que la
vigencia de los principios de administración personal, en especial los de
libertad, seguridad, confidencialidad y veracidad. Nótese que la intención del
legislador estatutario es establecer a los operadores de información personal
de contenido crediticio y comercial como personas jurídicas, dotadas de una
estructura institucional mínima, la cual disponga de canales adecuados y
suficientes para que el titular de la información ejerza sus derechos de forma
efectiva. De igual manera, les impone deberes específicos, dirigidos
unívocamente a que los datos recopilados respondan a criterios de actualidad e
integridad. Por lo tanto, el precepto objeto de análisis no presenta reproche
alguno de constitucionalidad.

Sin embargo, la Corte considera pertinente detenerse en uno de los aspectos
previstos en la norma objeto de análisis. En efecto, la disposición prevé que los
deberes especiales antes mencionados no resultan aplicables cuando el
operador es la misma fuente de información. Al respecto, debe partirse de
considerar que de conformidad a lo analizado en el fundamento jurídico 3.1.3.
de esta sentencia, a propósito del estudio de constitucionalidad del literal b)
del artículo 3º de la norma estatutaria, la exequibilidad de la adscripción a una
misma persona jurídica de las calidades de fuente y operador de información
se sustenta en que respecto de ella se predican los deberes y obligaciones
predicables de ambos sujetos. Ello debido a que los eventos en que opera
dicha concurrencia no pueden convertirse en ámbitos proclives a la
disminución del nivel de protección de los derechos de que es titular el sujeto
concernido. En ese sentido, la Sala desestimó los argumentos planteados por
algunos intervinientes, dirigidos a cuestionar la constitucionalidad de la citada
concurrencia, bajo la consideración que la misma normatividad estatutaria
establecía previsiones destinadas a hacer predicables a las fuente las mismas
exigencias legales aplicables a los operadores.

La excepción en la aplicación de los requisitos especiales de los operadores
podría mostrarse problemática, en términos de eficacia de la protección del

derecho al hábeas data en escenarios concretos. En efecto, aceptar sin
condición alguna la exclusión en comento significaría que en el caso que las
condiciones de fuente y operador estén concentradas en la misma persona
jurídica, la posibilidad de ejercer las facultades de conocimiento, actualización
y rectificación de la información personal serían limitadas en alto grado, habida
cuenta la inexistencia de la estructura institucional necesaria para que los
procedimientos de petición, consulta y reclamos, previstos por la norma
estatutaria, sean eficaces. De otro lado, la exclusión en comento implicaría que
las fuentes que actúen como operadores no estarían obligadas a establecer los
mecanismos de seguridad indispensables para el mantenimiento de la
integridad, veracidad y confidencialidad del dato personal, circunstancia que
genera un déficit de protección de los derechos del sujeto concernido,
incompatible con la vigencia plena de los principios que informan la
administración de datos personales que ha previsto el mismo legislador
estatutario.

A este respecto, la Sala debe recabar en el lugar central que tienen los
operadores en el proceso de administración de datos personales. Las centrales
de información concentran las actividades de acopio, tratamiento y circulación,
razón por la cual resulta imprescindible que cuenten con una estructura
organizacional, logística y de infraestructura física y tecnológica que permita
ejercer las actividades de gestión de información de manera compatible con el
cumplimiento de los principios de administración de datos personales.
Igualmente, deben disponer de herramientas eficientes de interacción con las
fuentes y, en especial, con los titulares de información, de forma tal que (i) el
ejercicio de las competencias de conocimiento, actualización y rectificación del
dato resulte garantizado; y (ii) los procedimientos de consulta, petición y
reclamos en relación con la información incorporada al banco de datos puedan
desarrollarse de forma fluida.

Habida cuenta estas condiciones, la Corte establece que los requisitos
especiales de los operadores que establece el artículo 11, están dirigidos al
establecimiento de condiciones para su funcionamiento, especialmente
dirigidos a la obligatoriedad que estén constituidos como persona jurídica y a la
necesidad que cuenten con una infraestructura y un orden institucional
mínimo. No obstante, considera la Sala que en aquellos casos en que una
misma persona tenga las condiciones de fuente y operador de información, la
exclusión prevista en la norma analizada en modo alguno significa que quede
liberada de garantizar las condiciones materiales e institucionales para que el

titular del dato ejerza sus derechos, de modo tal que la citada exclusión no se
torne en una barrera injustificada para la eficacia del derecho al hábeas data
del titular. De manera particular, la fuente-operador, deberá cumplir con las
obligaciones previstas en los artículos 7º y 8º de la normatividad estatutaria,
según lo dispone el literal b) del artículo 3º del Proyecto de Ley.

3.4.3. Requisitos especiales para fuentes (Artículo 12)

El artículo 12 del Proyecto de Ley establece varios contenidos normativos. En
primer lugar, impone a las fuentes el deber de actualizar mensualmente la
información al operador, sin perjuicio de la aplicación de los demás deberes y
obligaciones que le son exigibles en virtud de lo previsto en el título III de la
norma estatutaria. En segundo término, fija el procedimiento para el reporte
de información negativa sobre incumplimiento de obligaciones de cualquier
naturaleza, que hagan las fuentes a los operadores. Al respecto, indican que
esa remisión de información sólo procederá previa comunicación a su titular, a
fin que éste pueda demostrar o efectuar el pago de la obligación, así como
controvertir aspectos claves de la misma, como su monto y fecha exigibilidad.
En los términos de la norma, este deber de notificación podrá cumplirse a
través de la inclusión de la comunicación respectiva en los extractos periódicos
que las fuentes de información envíen a sus clientes.

En tercer lugar, el legislador estatutario prevé una regla supletiva, de acuerdo
con la cual el reporte podrá efectuarse transcurridos veinte días calendario
siguientes a la fecha de la comunicación, la cual deberá dirigirse a la última
dirección de domicilio del afectado, registrado en los archivos de la fuente de
información. Esta alternativa, empero, opera sin perjuicio que la fuente dé
cumplimiento al deber de notificar al operador que la información se encuentra
en discusión por parte del titular o que éste ha presentado solicitud de
rectificación o actualización, que se encuentre pendiente de resolución.

Respecto al primero de los contenidos normativos propuestos por la norma
materia de análisis, la Corte advierte que es compatible con la Constitución, en
la medida en que la implementación de obligaciones dirigidas a mantener
actualizada la información personal, repercuten favorablemente en la
satisfacción del principio de veracidad, propio de la administración de datos
personales.

El procedimiento previsto para la inclusión de información financiera negativa,
del mismo modo, se muestra como una herramienta adecuada para que el
titular de la información pueda ejercer las competencias de actualización y
rectificación del dato. En este caso, la lógica adoptada por el legislador
estatutario fue establecer una instancia a favor del sujeto concernido, con el fin
que previamente al envío del reporte pueda, bien pagar la suma adeudada y,
en consecuencia, enervar la transferencia de la información sobre
incumplimiento, o poner de presente a la fuente los motivos de la
inconformidad respecto de la mora, a fin que la incorporación del reporte
incluya esos motivos de inconformidad. La previsión de trámites de esta
naturaleza, que facilitan la preservación de la veracidad y actualidad del
reporte, no son incompatibles con la Constitución.

Empero, debe la Corte acotar que esta instancia de control del dato por parte
del titular de la información resulta predicable, no solo de los casos en que
pueda acreditarse la ausencia de mora en el pago de la deuda, sino también en
aquellos eventos en que lo que se pone en cuestión es la inexistencia de la
obligación que da lugar al reporte sobre incumplimiento o la concurrencia de
cualquier otro fenómeno extintivo de la misma. En ese sentido, para la Sala es
claro que lo dispuesto en el inciso segundo del artículo 12 del Proyecto de Ley
es apenas un listado enunciativo, en ningún caso una fórmula taxativa, de las
distintas causas que puede alegar el titular de la información para oponerse la
incorporación del dato sobre incumplimiento en el archivo o banco de datos
correspondiente.

La facultad conferida a la fuente de reportar la información financiera negativa
luego de cumplido un término de veinte días calendario resulta, a juicio de la
Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de
notificársele la existencia de información negativa y la intención de ser
reportado, sin que el titular de la información manifieste su desacuerdo, la
fuente, quien actúa en condición de acreedor de la obligación correspondiente,
pueda transmitir el dato negativo al operador. Al respecto, debe enfatizarse
que, en los términos planteados por la norma estatutaria y determinados en
esta decisión, para que dicho reporte resulte procedente, se debió contar con
la autorización previa, expresa y suficiente del sujeto concernido, conforme a
lo previsto en el numeral 5º del artículo 8º del Proyecto de Ley.

Adicionalmente, es pertinente resaltar que esa posibilidad de transferencia no
se opone ni con la obligación de la fuente de informar al operador que la
acreencia base de la información negativa ha sido cuestionada por parte del
deudor, ni que luego de efectuado el reporte, el sujeto concernido pueda hacer
uso de los mecanismos de petición, consulta y reclamo, previstos por la
legislación objeto de análisis. En tal caso, la norma estatutaria ofrece las
herramientas adecuadas para que, en todas las instancias, el titular de la
información pueda ejercer las competencias de conocimiento, actualización y
rectificación del dato, lo que justifica la constitucionalidad de la norma
estudiada.

Sobre este particular, la Corte desestima la posición planteada por uno de los
intervinientes, en el sentido que la competencia de la fuente para enviar la
información, luego de vencido el término de traslado, vulneraría el derecho al
debido proceso, puesto que permitiría realizar reportes sin que fueran
confirmados. Al respecto, la Sala considera que las actuaciones de la fuente,
en virtud del mandato previsto en el artículo 83 C.P., están ceñidas a los
postulados de la buena fe, la cual se presume respecto del contenido del
reporte negativo. Por ende, no resulta necesario un mecanismo de
confirmación del dato, puesto que la fuente, quien respecto a la obligación
patrimonial tiene la condición de acreedor, cuenta con la información suficiente
para acreditar la estructuración de la mora en el pago. En cualquier caso, la
transferencia de la información personal negativa no implica que el reporte sea
inmodificable, pues la norma analizada es explícita en fijar instancias definidas
y suficientes para que el titular de la información se oponga el contenido del
reporte, bien ante la misma fuente o ante el operador, a través del
procedimiento de consultas, peticiones y reclamos previsto en la norma
estatutaria.

Empero, debe también la Corte indicar que la estipulación de procedimientos
para que el titular solicite ante la fuente la rectificación o actualización de la
información materia del reporte no significa, en modo alguno, que la veracidad
del dato personal sea un asunto que dependa exclusivamente de las acciones
que adelante el sujeto concernido. En contrario, el ejercicio de la competencia
de la fuente de remitir la información financiera negativa debe interpretarse a
la luz de los deberes de las fuentes de información, previstas en el artículo 8º
del Proyecto de Ley. Así, la transferencia del dato personal al operador deberá
realizarse bajo el supuesto que la fuente ha garantizado que la información
suministrada sea veraz, completa, actualizada y comprobable (Art. 8-1). De

idéntica manera, en caso que la fuente de información advierta un error en el
contenido del reporte, deberá cumplir con el deber de rectificar la información
incorrecta de manera oficiosa, para lo cual deberá haber diseñado e
implementado mecanismos eficaces para reportar oportunamente la
información al operador (Arts. 8-3 y 8-4). Por último, debe resaltarse que el
incumplimiento de estas obligaciones a cargo de las fuentes de información,
dispuestas expresamente por el legislador estatutario, acarreará la imposición
de las sanciones que para ese supuesto dispone el artículo 18 del Proyecto.

Existe, a partir del contenido de la norma estatutaria, una garantía dual de
veracidad del dato financiero negativo. De un lado, las normas que estipulan
los deberes exigibles de las fuentes obligan a que la información remitida al
operador cumpla con condiciones de certeza e integridad, de modo que ante la
existencia de un error en el dato, la fuente está compelida a corregirlo
previamente al envío. De otro, se disponen de una serie de dispositivos e
instancias para que el titular de la información, con anterioridad o luego de
incorporarse la información en el banco de datos, pueda ejercer las
competencias de actualización y rectificación de la información personal.

De conformidad con lo expuesto, la Corte concluye que las previsiones del
artículo 12 son coincidentes en establecer procedimientos que facilitan el
ejercicio de las competencias que la Constitución ha establecido como
inherentes al ejercicio al hábeas data. Por lo tanto, esta previsión será
declarada exequible.

3.4.4. Permanencia de la información (Artículo 13)

El artículo 13 del Proyecto de Ley establece tres contenidos normativos
diferenciados, que serán analizados por la Corte de forma igualmente
separada. En primer lugar, la disposición establece que la información de
carácter positivo permanecerá en los bancos de datos de manera indefinida.
Seguidamente, señala que aquellos datos personales cuyo contenido haga
referencia a una situación de incumplimiento de obligaciones se regirán por un
término máximo de permanencia, vencido el cual deberán ser retirados por el
información. Por último, establece que ese término máximo de permanencia

será de cuatro años, contados a partir de la fecha en que sean pagadas las
cuotas vencidas o sea pagada la obligación vencida.

Sobre esta disposición, uno de los intervinientes considera que la inexistencia
de límite para la permanencia de la información financiera de carácter positivo
viola el derecho al hábeas data, puesto que es contrario a los principios de
finalidad y utilidad propios de la administración de datos personales. En su
criterio, en el momento que la información deja de tener “utilidad social”, debe
ser retirada del banco de datos, a fin de mantener la eficacia del citado
derecho. Adicionalmente, establece que el titular debe ser considerado como
dueño del dato personal, razón por la cual se encuentra facultado para retirar
la información personal recopilada por el operador, incluso cuando ello pudiere
afectar sus intereses de acceso al mercado de crédito.

De otro lado, el Procurador General y algunos de los intervinientes solicitan a
la Corte que se declare la inexequibilidad del término de caducidad de la
información negativa, puesto que viola los principios de necesidad e
incorporación, al igual que el derecho a la igualdad. Aducen que en tanto ese
término no está sujeto a criterio alguno de gradualidad, relacionado con el
carácter coactivo o voluntario del pago de la obligación, su monto y el tiempo
de permanencia de la mora, genera una carga desproporcionada e irrazonable
a los titulares de la información. De igual modo, la ausencia de gradualidad
impide que se otorgue al titular un tratamiento justo y acorde con las
condiciones particulares de incumplimiento, lo que resulta contrario a la
igualdad material. Finalmente, sostienen que la disposición en comento
constituye un retroceso injustificado respecto de las reglas sobre caducidad del
dato financiero sobre incumplimiento, previstas por la jurisprudencia
constitucional, las cuales sí establecían un parámetro de tratamiento distinto,
fundado en la consideración de los criterios antes citados.

Otro grupo de intervinientes defienden la exequibilidad del término único de
permanencia de la información financiera sobre incumplimiento en el pago de
obligaciones. Para sustentar su posición, indican que el término de cuatro años
es una opción legítima del legislador en su libre marco de configuración, el
cual, para este preciso ámbito, ha sido reconocido en varias ocasiones por la
jurisprudencia constitucional. Señalan que ese término no sólo es plenamente
razonable, a la luz de lo dispuesto en distintas normas del derecho comparado
que prevén términos únicos de similar duración, sino que, además, representa

una forma de garantizar adecuadamente el ahorro público y la estabilidad del
sistema financiero, según los estándares internacionales sobre la materia.
Sobre este particular señalan que el cálculo adecuado del riesgo financiero
depende, entre otros aspectos, de la fijación de un término preciso de
caducidad del dato financiero negativo, que permita acceder al historial
crediticio del sujeto concernido en condiciones de veracidad.

Conforme lo expuesto, estos intervinientes consideran que la norma no afecta
el principio de igualdad, sino que antes bien lo garantizan, puesto que todos
los titulares de la información estarían sometidos al mismo término de
caducidad, lo que permitiría que el análisis de riesgo crediticio se llevara a
cabo con los mismos parámetros. Por último, estiman que la incorporación de
un término único no afecta los intereses de los deudores, en tanto el artículo
14 del Proyecto de Ley confiere un tratamiento favorable a su favor,
consistente en ordenar que una vez la obligación en mora sea pagada
voluntariamente, deba emitirse de inmediato por parte de los operadores de
información un reporte de carácter positivo. Explican que, no obstante, la
permanencia definitiva de la información sobre incumplimiento en la base de
datos, aplicable a los casos en que el pago se obtiene luego de sentencia
judicial, sería inconstitucional cuando dicha sentencia no tuviera como fin
ordenar la ejecución, sino declarar fenómenos extintivos de la acreencia, tales
como la compensación, la nulidad o la declaratoria de inexistencia de la
obligación.

3.4.1.1. Para resolver acerca de la constitucionalidad de los enunciados
normativos contenidos en el artículo 13 del Proyecto, la Corte advierte, en
primer término, que el tópico relativo a la caducidad de la información personal
de contenido financiero y crediticio ha sido un aspecto profusamente
desarrollado por la jurisprudencia de este Tribunal. Así, en distintas decisiones
que analizan problemas jurídicos relativos a la eficacia del derecho al hábeas
data frente a la facultad de los operadores de mantener la información sobre
incumplimiento en el pago, se ha construido una doctrina constitucional
comprehensiva de la materia.

Consideraciones sobre la necesidad de contar con un término de caducidad de
la información se encuentran desde la sentencia T-414/92. En este fallo, la
Corte analizó la situación de un ciudadano quien, a pesar de haber obtenido
sentencia judicial que declaraba la prescripción de la obligación, continuaba
reportado negativamente en la central de información crediticia. En esta

providencia, la Corte partió de considerar que la irrupción de las nuevas
tecnologías de la información permitían que los datos personales fueran
incorporados en archivos y bancos de datos que, merced de las innegables
posibilidades de control social que pueden derivarse de estos actos, generaban
una suerte de “encarcelamiento del alma” del individuo. Por ende, con el
objeto que este potencial poder de control del sujeto se tornaría abusivo, debía
establecerse con nitidez que el dato personal “por su naturaleza misma una
vigencia limitada en el tiempo la cual impone a los responsables o
administradores de bancos de datos la obligación ineludible de una
permanente actualización a fin de no poner en circulación perfiles de "personas
virtuales" que afecten negativamente a sus titulares, vale decir, a las personas
reales. De otra parte, es bien sabido que las sanciones o informaciones
negativas acerca de una persona no tienen vocación de perennidad y, en
consecuencia después de algún tiempo tales personas son titulares de un
verdadero derecho al olvido.” Es a partir de esta sentencia que la Corte edifica
un precedente consolidado sobre la necesidad que la información personal
financiera de connotación negativa, tuviera un término de caducidad definido,
habida cuenta la relación intrínseca entre la protección de las prerrogativas
predicables del sujeto concernido y la eficacia de ese “derecho al olvido”.

Ejemplo de esta tendencia es el fallo T-577/92. En esta decisión, la Corte
estudió el caso de un ciudadano que estaba reportado en una central de riesgo
crediticio, respecto de una obligación que se encontraba prescrita, sin que se
hubiera decidido ese aspecto por la vía judicial. Para resolver el problema
jurídico propuesto, la Sala de Revisión partió de considerar los procesos de
recolección, tratamiento y circulación de datos personales, si bien constituían
actividades económicas protegidas por la Constitución, estaban sometidas a
un “máximo grado de diligencia y razonabilidad”. Así, los términos de
prescripción de las acciones se mostraban como un límite para la incorporación
de la información financiera negativa a las centrales de riesgo. Al respecto, la
sentencia asumió la validez de las reglas fijadas en el fallo T-414/92, en
especial la de la existencia de un “derecho al olvido”, conforme a lo cual
consideró que “la libertad individual del titular de los datos recolectados,
procesados o transferidos abarca el fuero interno-ámbito espiritual y
psicológico-de la persona. La utilización de datos personales es permitida
mientras no se vulneren los derechos a la intimidad, la honra y el buen
nombre. Los términos de prescripción de las acciones cambiarias y ordinarias
son, entre otros, límites jurídicos al derecho a informar y recibir
información. La razonalidad de la limitación al derecho a informar y recibir
información sistematizada radica en que sólo durante el término prudencial
para hacer uso de las vías judiciales se justifica el ejercicio del control social
que eventualmente un particular ejerce respecto de otro, lo cual se asimila a
una forma de "justicia privada". Cuando ya no es posible obtener el
cumplimiento de una obligación jurídica por las vías institucionales tampoco es
admisible que el ordenamiento jurídico ampare la vigencia de una sanción
moral-muerte civil como la denomina el accionante-con incidencia indefinida
sobre la imagen y la honra de una persona.” (Subrayas no originales).

Con base en esta consideración, la Corte señaló que la resolución del caso
propuesto dependía de la ponderación entre la libertad informática en materia
financiera, que justificaba la administración de datos personales con el ánimo
de calcular el riesgo financiero, y los derechos a la libertad, la intimidad y el
buen
nombre
del
sujeto
concernido,
que
en
ese
escenario
significaban “proteger aspectos internos y externos del individuo que
comprometen su imagen personal”. Ese balance se obtenía a partir de la
consideración sobre la legitimidad de las operaciones del banco de datos,
siempre y cuando “exista una adecuada proporcionalidad entre el medio
empleado y sus efectos reales sobre los derechos fundamentales del titular del
dato, en particular sobre los derechos a conocer, actualizar y rectificar la
información en ellos recogida (CP art. 15).” De este modo, se estaba ante el
incumplimiento de ese deber de trato proporcionado y, por ende, el abuso en el
ejercicio del poder informático, cuando el dato financiero negativo era
mantenido en el banco de datos más allá del término previsto en la ley para la
interposición de acciones de cobro. En este evento, resultaba claro que la
permanencia del reporte y la subsiguiente exclusión del acceso a los productos
de crédito, afectaba los derechos fundamentales del titular de la información.

La identificación del derecho a actualizar la información y la necesidad
correlativa de contar con un término de caducidad de la información se
evidencia en la sentencia T-110/93. En esta oportunidad, la Corte revisó la
situación de un ciudadano que había incurrido en mora en las cuotas de su
tarjeta de crédito, pagó la obligación pendiente en octubre de 1992 y solicitó la
remoción del reporte negativo. No obstante, el ente que administraba la central
de información consideró que al haber sido reportado por “mal manejo”, se
daba aplicación a sus normas internas, que ordenaban la permanencia del dato
hasta 1997. Para resolver el caso, la Corte reiteró los argumentos que en la
sentencia T-577/92 se habían expuesto para concluir la legitimidad de la
administración de datos personales destinada al cálculo del riesgo crediticio y la
limitación de esa expresión del derecho a la información, fundada en la eficacia
de las garantías constitucionales del sujeto concernido.

Esta decisión enfatizó que el Texto Constitucional confería al titular el derecho
de actualizar el dato personal, entendido como la facultad de requerir al
administrador del banco de datos para que corrigiera la información errónea o
inexacta. Por lo tanto, en lo relativo a “la hipótesis específica de las
obligaciones con entidades del sector financiero, la actualización debe
reflejarse en la verdad actual de la relación que mantiene el afectado con la
institución prestamista, de tal manera que el responsable de la informática
conculca los derechos de la persona si mantiene registradas como vigentes
situaciones ya superadas o si pretende presentar un récord sobre antecedentes
cuando han desaparecido las causas de la vinculación del sujeto al sistema,

que eran justamente la mora o el incumplimiento.” Para la Corte, el hecho que
la Carta Política estableciera el derecho a recibir información veraz (Art. 20
C.P.), implicaba que las centrales de información debían mantener el dato
negativo mientras subsistiera la condición de deudor moroso. Luego de
superada esta calidad, la permanencia del reporte afectaba los derechos
fundamentales al buen nombre y a la intimidad del sujeto concernido.

La expresión jurisprudencial más elaborada del vínculo entre la protección de
los derechos del sujeto concernido y la necesidad de establecer un término
definido de permanencia de la información financiera negativa, se encuentra en
las sentencias SU-082/95 y SU-089/95. Estas decisiones, de idéntico
contenido, estudian varios casos en que clientes del sistema financiero que
habían incurrido en mora en un término superior a ciento veinte días, pagaron
la obligación y aún continuaban reportados en la central de información
crediticia. La sentencia, dentro de sus fundamentos jurídicos, parte de
considerar que si bien existía una protección constitucional del derecho a la
intimidad personal y familiar, tanto así que se establecía la categoría de la
información sensible como límite a la circulación del dato personal, no menos
cierto era que los datos correspondientes al historial crediticio no pertenecían a
ese rango y, por lo tanto, debía permitirse su inclusión en las centrales de
información con el objeto de que sean difundidos. Esto porque (i) la
información financiera no sólo interesa al titular del dato, sino también a sus
acreedores actuales o potenciales, ello con el fin de calcular el nivel de riesgo,
y (ii) los datos concernientes al comportamiento crediticio apenas alcanzan un
contenido económico que, per se no trasciende los ámbitos relacionados con la
dignidad humana u otros valores jurídicos superiores.

Acto seguido, el fallo entra a analizar cada uno de los derechos fundamentales
relacionados con el hábeas data financiero. Inicia con el estudio del derecho al
buen nombre, el cual define como un producto del comportamiento social,
separándolo de la concepción abstracta separada de la conducta del sujeto
concernido. Por lo tanto, en términos de la sentencia, el derecho al buen
nombre “se tiene o no se tiene”, calificación que queda sujeta a la valoración
que se haga de la conducta del sujeto, por lo que la protección del derecho se
ve supeditada a que la información transmitida esté en contradicción con la
verdad, sin que la divulgación de un comportamiento cierto, aunque
reprochable, lo vulnere. Conforme a estas premisas, la Corte determina que la
fama de buen o mal cumplidor de las obligaciones financieras es un juicio que
depende del comportamiento crediticio del cliente financiero, información que
al estar relacionada con la medición del riesgo, debe ser divulgada, necesidad
que se ve reforzada con la disposición del artículo 20 Superior que otorga el
derecho fundamental a recibir información veraz e imparcial, garantía que
también cobija a los establecimientos de crédito.

La sentencia, asumidos estos planteamientos, define el contenido y alcance del
derecho del hábeas data, mediante la identificación de dos prerrogativas: la
autodeterminación informática, definida como la facultad que tienen las
personas de controlar la información que de sí se encuentre consignada en
bases de datos y la libertad, en especial la económica, que lleva a la necesidad
de que los datos relativos al riesgo crediticio sean veraces y su circulación esté
autorizada por su titular.

De acuerdo con lo señalado en el artículo 15 Superior, la Corte identifica como
facultades que conforman el contenido del derecho al hábeas data, las
de (i) conocer la información personal contenida en las bases de
datos, (ii) solicitar la actualización de dicha información a través de la inclusión
de nuevos datos y (iii) requerir la rectificación de la información no ajustada a
la realidad. Junto con las prerrogativas expuestas, la Corte, habida cuenta los
precedentes jurisprudenciales anteriores que señalaban la necesidad de
establecer un límite al reporte financiero negativo, estableció un nuevo
componente del derecho al hábeas data, la de la caducidad del dato negativo.

Al realizar un ejercicio de ponderación entre los derechos al buen nombre y la
información, la Corte concluye que no se vulnera aquel cuando se pone a
disposición de las entidades de crédito los datos relacionados con el
comportamiento crediticio del deudor, puesto que estos datos, como antes se
indicó, escapan de la esfera de la protección de la intimidad personal o familiar,
o, lo que es lo mismo, no hacen parte de la información sensible y además, son
de interés general. Esto último, porque la misma Constitución establece que la
actividad financiera está relacionada con el interés del conglomerado, ya que
los recursos que se prestan no son otros distintos a los del ahorro del público,
razón por la cual no puede compelerse a los establecimientos de créditos a que
carezcan de información alguna sobre sus clientes potenciales, so pena de
exponer a un riesgo excesivo al dinero cuyo depósito se les ha confiado.

A partir de esta última comprobación, la Corte estimó que si bien era cierto que
toda persona tenía la posibilidad de actualización de sus datos personales
contenidos en las centrales de riesgo, tal derecho no llegaba al punto de
sustentar la eliminación de toda la información sobre incumplimiento en el
pago del crédito al momento en que el deudor queda al día. Esto por dos
razones importantes: La primera porque la actualización del historial financiero
no puede comportar su completa supresión, sin que con ello se desconozcan
los parámetros mínimos para el cálculo del riesgo crediticio y; la segunda, que
de operar dicha extinción resultaría vulnerado el derecho a la igualdad de los
usuarios, en la medida en que el reporte de quien paga voluntaria y
cumplidamente sus obligaciones sería idéntico a quien, por ejemplo, pagó
después de iniciado un proceso judicial. Además, la Corte consideró que podía

conservarse la información sobre la mora actualmente pagada, la que, al
reflejar hechos ciertos, no podía constituir una sanción.

Sin embargo, para la Corte la posibilidad de mantener en el tiempo los datos
financieros negativos no podía considerarse de forma indefinida, pues ello
contradeciría los precedentes anteriores y a la lógica misma del mercado de
crédito que castiga al deudor incumplido e igualmente, como la misma
sentencia en comento lo advirtió, resultaba desproporcionado que el cliente
financiero, quien después de la mora había cumplido estrictamente con la
amortización de sus créditos, no recobre su buen nombre comercial. Esto
contraía la necesidad que el legislador estatutario determinara, con base en el
ejercicio de su competencia de configuración normativa, el término de
permanencia de la información financiera negativa. No obstante, en la medida
en que dicha disposición no había sido promulgada al momento de la
sentencia, “hay que considerar que es razonable el término que evite el abuso
del poder informático y preserve las sanas prácticas crediticias, defendiendo
así el interés general.”

Por ello, con base en la necesidad de otorgar eficacia al “derecho a la
caducidad del dato negativo”, la Corte determinó, vía jurisprudencia, los
términos de conservación del reporte, para lo cual distinguió tres
situaciones: (i) cuando el pago ha sido voluntario, donde el término de
caducidad es de dos años, siempre y cuando la mora haya sido superior a un
año, por lo que, en evento contrario, la caducidad será hasta el doble de la
mora, (ii) cuando el pago se ha originado como consecuencia de un proceso
ejecutivo, donde la caducidad es de cinco años y (iii) cuando se ha iniciado
acción de ejecución, pero el pago se ha efectuado con la sola notificación del
mandamiento de pago, caso en que la caducidad será la misma del pago
voluntario. En todos los casos, la Corte ligó la posibilidad de la supresión del
reporte en los plazos reseñados a que durante su vigencia no se presentaran
nuevos incumplimientos, caso en el cual se perderá el beneficio de la
caducidad, precisamente porque con ellos se desvirtúa la intención de recobrar
el buen nombre ante las entidades de crédito y disminuir el nivel de riesgo
financiero. Por último, la regla se complementa con dos consideraciones
adicionales: (i) si iniciado el proceso ejecutivo, el demandado presenta
excepciones que prosperan, extinguiéndose la obligación, el reporte debe
desaparecer inmediatamente, excepto en el caso que (ii) la excepción es de
prescripción de la obligación, caso en el cual el reporte no desaparece, habida
cuenta que no se ha verificado el pago y se trata de una sentencia judicial, que
es pública, por lo que no se involucra dentro de la esfera de protección del
hábeas data. Empero, aquí debe resaltarse que la Sala no estableció esta regla
con carácter absoluto, puesto que consideró que el legislador estatutario podía
apartarse de esta consideración y, en cambio, establecer dentro de su propio

parámetro de razonabilidad, una “caducidad especial” para el dato financiero
negativo derivado de la obligación declarada judicialmente prescrita.

Debido a la inexistencia de normas de carácter estatutario que regularan el
término de permanencia, las reglas de caducidad del dato financiero negativo
fijadas por la Corte en la sentencia antes analizada, sirvieron de base para
adoptar un número significativo de decisiones que resolvían problemas
jurídicos relacionados con el mantenimiento ilegítimo de la información
desfavorable en los bancos de datos destinados al cálculo del riesgo financiero.
A su vez, la continuidad del precedente en comento permitió que una etapa
más reciente del desarrollo jurisprudencial que, como se ha indicado en esta
decisión, ha identificado al hábeas data como un derecho de contenido amplio,
autónomo y diferenciable de los derechos a la intimidad y al buen nombre; se
estableciera el principio de caducidad como parte de las garantías exigibles a
los procesos de administración de datos personales. Según este principio, como
se indicó en apartado anterior de este fallo, la información desfavorable del
titular debe ser retirada del banco de datos, de forma definitiva, con base en
criterios de razonabilidad y proporcionalidad. Esto contrae que esté proscrita la
conservación indefinida de datos personales, después que hayan desaparecido
las causas que justificaron su acopio y administración.

No obstante
constitucional
permanencia
vencidas, no
unificación.

la estabilidad de la regla sobre caducidad, la jurisprudencia
ha identificado otros supuestos, relacionados con el término de
de los datos financieros negativos basados en obligaciones
previstos dentro de las materias analizadas en el fallo de

En primer término, en la sentencia T-487/04 la Corte estudió el caso de una
ciudadana que había servido de fiadora a un crédito de un tercero, quien
incumplió en el pago, razón por la cual se inició en su contra proceso ejecutivo.
Luego de librado el mandamiento de pago, la entidad financiera acreedora dejó
pasar más de dos años sin que promoviera actividad alguna dentro del
proceso. Así, conforme lo dispuesto en la legislación civil, la afectada solicitó el
levantamiento de las medidas cautelares, a lo que accedió el juez del
conocimiento. De esta manera, requirió a la central de información crediticia
para que retirara el dato financiero negativo, el cual fue mantenido bajo el
argumento que la acción ejecutiva continuaba vigente y la obligación no había
sido pagada, circunstancias que no resultaban contradichas por la cancelación
de las medidas cautelares.

En esta decisión, si bien la Corte desestimó el amparo bajo el argumento que
la obligación continuaba insoluta y, por ende, el reporte financiero negativo era

verdadero, estableció que la legitimidad constitucional de los procesos de
administración de datos personales de contenido crediticio estaba supeditada a
que la información materia del reporte fuera integral, veraz y actualizada,
conforme a los principios que integran el contenido del derecho al hábeas data.
A partir de este supuesto, surgía la discusión acerca de la naturaleza del
término de caducidad del dato negativo cuando se trataba de un deudor que
luego del paso del tiempo no había podido ponerse al día. En este caso existía
un vacío en la regla aplicable, debido a que el término de caducidad fijado en
las sentencias SU-082/95 y SU-089/95 partía de la base del pago de la
obligación, bien de forma voluntaria o en razón del proceso ejecutivo.
Para la Corte, debía tenerse en cuenta que la recopilación de los datos
financieros negativos debía responder a un criterio de oportunidad. Al
respecto, la sentencia realiza una diferenciación importante, fundada en el
vínculo entre la actualidad del dato financiero negativo y la razonabilidad de su
permanencia en el banco de datos. Así, resultaba plenamente justificado que
las centrales de información financiera mantuvieran en sus registros los datos
negativos cuando éstos, habida cuenta su carácter latente y oportuno, eran
útiles para el cálculo del riesgo crediticio. Esta información negativa, a su vez,
daba cuenta del nivel de cumplimiento en el pago de las obligaciones del sujeto
concernido; por ende, su registro era ajustado a la Constitución, amén de las
finalidades legítimas de los procesos de acopio, tratamiento y divulgación de
bases de datos.
Sin embargo, estas consideraciones no eran aplicables para el caso de datos
sobre mora en el pago que, en razón del transcurso del tiempo, había perdido
dicha condición de oportunidad y, por ende, no eran útiles para el cálculo del
riesgo financiero, por lo que el mantenimiento de la información financiera
negativa desconocía las finalidades legítimas de la administración de datos
personales crediticios. Aquí la Corte hace uso de la regla fijada en la
sentencia T-414/92 y establece que respecto de dicha información no puede
predicarse la permanencia indefinida, sino que, antes bien, en aras de proteger
los derechos a la intimidad y al buen nombre del sujeto concernido, era preciso
fijar un término de caducidad. Como lo indicara el fallo, “[e]n este caso, en
aras de preservar la intimidad y el buen nombre de un deudor añejo, debe
aplicarse el denominado “Derecho al olvido”[157], es decir; el principio según
el cual determinados datos deben ser eliminados de los archivos transcurrido
un espacio de tiempo establecido desde el instante en que se presentó el
hecho referido, esto con el fin que el individuo no quede “prisionero de su
pasado”.” (Negrillas originales).
Así, la Sala de Revisión estableció que “por cuanto el término no puede ser el
mismo, para aquel deudor que cancela en relación a aquel deudor que no ha
cancelado, esta corporación , ante la evidencia del vacío legal ya mencionado,
el juez debe llenarlo acudiendo al razonamiento analógico; que enseña que
donde existe la misma razón debe aplicarse la misma disposición, en este
caso, la regla general de la prescripción de la acción ordinaria civil y debe
señalar que el término de almacenamiento de datos de individuos que no

hayan cancelado sus obligaciones financieras será de diez ( 10 ) años; término
similar al establecido por el Código Civil [158] para la prescripción de la Acción
Ordinaria. Ahora bien, este término comenzará a correr desde el momento que
la obligación sea exigible. En otras palabras, una obligación “pura y simple”
será exigible cuando para su cumplimiento no es necesario aguardar el
transcurso del tiempo o el acaecimiento de determinada circunstancia.”
Nuevas consideraciones sobre la caducidad de la información financiera
negativa que no se ajusta a criterios de oportunidad fueron planteadas por la
Corte en la sentencia T-1319/05. En dicha providencia, una Sala de Revisión de
este Tribunal asumió el estudio del caso de un grupo de ciudadanos,
demandados conjuntamente en un proceso ejecutivo, quienes presentaron la
excepción de prescripción de la acción ejecutiva, la cual fue probada por el juez
civil, negándose por ello la pretensión de ejecución del crédito. Proferida la
sentencia judicial, solicitaron a la entidad acreedora que actualizara los datos
remitidos a la central de información sobre riesgo, con el fin que fuera
removido el reporte negativo. No obstante, la entidad negó la solicitud, bajo el
argumento que los efectos de la sentencia que declaró probada la excepción no
podían extenderse a la declaratoria de extinción de la obligación.

En esta providencia, la Corte partió de idéntico supuesto al plasmado por sus
antecesoras, consistente en señalar que (i) la administración de datos
personales de contenido crediticio tiene una finalidad constitucionalmente
legítima, relativa al otorgamiento a los agentes que concurren al mercado de
crédito de información sobre el grado de cumplimiento en el pago de sus
obligaciones por parte del sujeto concernido; y (ii) estos procesos de acopio,
tratamiento y divulgación de datos personales están limitados, entre otros
deberes, por la obligatoriedad que la información incorporada en el banco de
datos responda a condiciones de veracidad, integridad y oportunidad. A partir
de este marco, la Sala advirtió que estas condiciones sólo podían cumplirse a
través del establecimiento de un término de permanencia del dato financiero
negativo. Así, ante la inactividad del legislador estatutario sobre la materia,
continuaban vigentes los plazos razonables fijados por la jurisprudencia
constitucional en las sentencias SU-082/95 y SU-089/95.

Empero, la regla fijada en estas decisiones planteaba un aspecto problemático
a la luz del caso objeto de análisis. En efecto, de acuerdo con lo señalado en
los fallos de unificación, la caducidad del dato financiero negativo no resultaba
aplicable respecto de las sentencias judiciales que declararan probada la
excepción de prescripción, amén del carácter público de la providencia judicial
y el hecho que en estos eventos no se había acreditado el pago de la
obligación.

Advertida esta controversia, la Corte consideró que la regla fijada por la Corte
incurría en un vacío, puesto que establecía el término de caducidad a partir del
momento en que la obligación era pagada, pero no estipulaba criterio alguno
en relación con el término de permanencia del dato financiero negativo en los
casos en que la obligación continuaba insoluta. Por lo tanto,
resultaba “indispensable preguntarse cual sería el limite temporal instituido
para la conservación del dato negativo de aquellas personas que no han
cumplido con sus obligaciones financieras, caso en el que indiscutiblemente se
encuentran quienes en un proceso ejecutivo alegan la prescripción del título
valor que daba respaldo a la misma, pues, se reitera, allí no se ha cancelado la
obligación. Con relación a ello, la sentencia T-487 de 2004 señaló que dado
que el término de caducidad del dato no puede ser el mismo, para aquel
deudor que cancela, en relación con aquel deudor que no ha cancelado, y ante
la evidencia del vacío legal mencionado, el juez debe llenarlo acudiendo al
razonamiento analógico, que enseña que donde existe la misma razón debe
aplicarse la misma disposición, en este caso, la regla general de la prescripción
de la acción ordinaria civil y debe señalar que el término de almacenamiento
de datos de individuos que no hayan cancelado sus obligaciones financieras
será de diez años termino similar al establecido por el Código Civil para la
prescripción de la acción ordinaria.” Con base en estos argumentos, la Sala
concluyó que para el caso expuesto el amparo solicitado debía denegarse,
puesto que el término de caducidad de diez años, predicable para el caso de
las obligaciones insolutas, aún no había fenecido, lo que justificaba la
permanencia del dato financiero sobre incumplimiento en el pago a la central
de información.

Esta regla es retomada para el caso de la sentencia T-173/07. En esta
decisión, se estudió el caso de un ciudadano que aparecía reportado desde
1980 por una obligación que había objeto de proceso de ejecución, el cual fue
declarado nulo. Sin embargo, la entidad bancaria acreedora se negaba a
actualizar el reporte, al considerar que la deuda no había sido pagada. Para
resolver el problema jurídico planteado, la Corte reiteró las reglas fijadas en las
decisiones T-487/04 y T-1319/05, a fin de indicar que aunque para el caso la
obligación no había sido declarada judicialmente prescrita, esta sola condición
no excusaba del cumplimiento del deber que tienen los sujetos involucrados en
los procesos de administración de datos personales de garantizar que el dato
incorporado en la base de datos responda a criterios de veracidad y
oportunidad. En el asunto propuesto, era evidente que la mora de más de dos
décadas no tenía la virtualidad de constituir un parámetro válido para la
evaluación del riesgo financiero del sujeto concernido, por lo que la

permanencia del dato violaba los derechos fundamentales al hábeas data y al
buen nombre del afectado.

3.4.1.2. De otro lado, también debe la Corte resaltar que el establecimiento
por parte del legislador estatutario de un término de permanencia de la
información sobre incumplimiento en el pago de obligaciones comerciales y
crediticias, no es incompatible con la posibilidad que, en casos concretos, la
inclusión del reporte en los archivos o bancos de datos sea incompatible con
los postulados constitucionales, debido a las causas particulares que motivaron
el incumplimiento en el pago de la obligación.

Así, en aquellos casos en que por evidente fuerza mayor el sujeto concernido
se ha visto compelido a incumplir con el pago de la obligación comercial y
crediticia, resultaría desproporcionado e irrazonable que, como consecuencia
de ese incumplimiento, se incorpore la información sobre mora en los archivos
o bancos de datos destinados al cálculo del riesgo crediticio y, con ello, resulte
aplicable el juicio de desvalor para el acceso a productos comerciales y de
crédito que involucra la presencia de ese reporte, conforme se ha indicado en
esta sentencia. Estas conclusiones son aplicables cuando la mora tiene relación
directa con el hecho que el titular del dato sea víctima de los delitos de
secuestro, desaparición forzada o desplazamiento forzado. En cada uno de
estos eventos, la jurisprudencia constitucional ha señalado, de manera
reiterada, que las distintas entidades del Estado e, inclusive los particulares,
tienen la obligación de evitar que las consecuencias de los mencionados delitos
se extiendan a los distintos ámbitos personales de la víctima, de manera que
se hagan más gravosas. Ello con fundamento en el contenido y alcance del
principio de solidaridad, del cual se derivan deberes constitucionales concretos
y oponibles al Estado y a los ciudadanos.

Este deber tiene efectos específicos en lo que refiere al cumplimiento de las
obligaciones comerciales de la víctima, como lo demuestran decisiones
anteriores de esta Corporación. Así, en la sentencia T-520/03[159] se concluyó
que las personas secuestradas, debido a su estado de debilidad manifiesta,
eran acreedoras de un tratamiento diferenciado, que significaba en el caso
concreto la inexigibilidad de las obligaciones adquiridas con entidades
financieras, mientras permanecieran los efectos del delito, periodo que incluye
el lapso de readaptación de la persona liberada. Ello debido a la imposibilidad
de estructuración del incumplimiento civil, puesto que la falta de pago tenía

origen en la afectación de la libertad y la autonomía individual del deudor. En
concreto, la decisión citada indicó lo siguiente:

“Para establecer la exigibilidad de las cuotas del préstamo, resulta
indispensable reconocer que el secuestro del deudor le impide
físicamente cancelar las cuotas exigibles durante este período
conforme al contrato de mutuo. En esa medida, el incumplimiento de
las obligaciones del secuestrado está justificado. Efectivamente, la
persona se encuentra sujeta a una circunstancia que, conforme a la
jurisprudencia de esta Corporación, es susceptible de considerarse
genéricamente como constitutiva de fuerza mayor, y que le impide
cumplir sus obligaciones. De esta circunstancia se derivan diversas
consecuencias jurídicas, dependiendo de las obligaciones que se
hayan pactado en el contrato.

La primera de tales consecuencias, es que la obligación de pagar los
instalamentos vencidos durante el tiempo en que la persona se
encuentra secuestrada no es exigible. Por lo tanto, la persona no se
encuentra en mora. Desde una perspectiva constitucional, al exigir
tales obligaciones de una persona secuestrada se están
desconociendo las limitaciones a su libertad. En tales casos la
persona se encuentra ante la imposibilidad de decidir libremente si
cumple o no con sus obligaciones, y no se le está permitiendo
asumir responsablemente las consecuencias de sus actos.

En este mismo orden de ideas, la responsabilidad por el
incumplimiento de sus obligaciones tampoco resulta exigible desde
el punto de vista civil. Para que la mora se configure dentro del
régimen civil general, aplicable a estos casos, es necesario que la
responsabilidad por el incumplimiento sea atribuible al sujeto a título
de culpa o dolo. En la medida en que la persona se encuentra sujeta
a una circunstancia eximente de responsabilidad, no le es imputable
la mora, pues no está presente el elemento subjetivo de la misma,
necesario para que se configure.

En efecto, el concepto mismo de culpa en materia de responsabilidad
civil está fundado sobre la noción de libertad, que es eminentemente

individual. La culpa presupone que el sujeto tiene determinadas
posibilidades de acción, dentro de las cuales están la de cumplir y la
de no cumplir sus obligaciones civiles. Por lo tanto, para poder
atribuirle culpa a una persona, ésta debe estar en la posibilidad de
elegir, y de dirigir sus acciones de acuerdo con su elección. Sólo
cuando se dan estos presupuestos, el individuo se vuelve
plenamente responsable civilmente.

Esto trae como consecuencia que para incurrir en culpa, la persona
debe ser consciente de sus opciones, estar en capacidad de
valorarlas y de llevar a cabo sus actividades conforme a sus propias
valoraciones. Sólo en este entendido la atribución de culpa en
materia civil resulta compatible con la definición constitucional de
dignidad humana, según la cual, el individuo es un ser moral y libre,
con la capacidad de elegir y de asumir las consecuencias de sus
propios actos. Dentro de tal orden de ideas, se vulnera el derecho al
libre desarrollo de la personalidad de un individuo al atribuirle culpa
cuando, por circunstancias ajenas a su voluntad, no es libre para
obrar conforme a sus propias valoraciones. Esto se debe a que se le
están atribuyendo responsabilidades que escapan por completo su
ámbito de acción y control. Específicamente, en el caso del
incumplimiento o retraso en el cumplimiento de las obligaciones, la
mora requiere un elemento de antijuridicidad que no está presente
cuando las circunstancias determinantes de la conducta del deudor
superan el estándar exigible, dadas sus posibilidades reales de
acción y control.”
Existe, en los casos de secuestro y de desaparición forzada, [160] una afectación
de la autonomía del individuo de tal entidad que el incumplimiento de las
obligaciones civiles no es predicable de la simple omisión en el pago, sino en la
incapacidad de ejercer la autonomía del sujeto. Similares consideraciones son
predicables de las víctimas del delito de desplazamiento forzado. En este
evento, la afectación de la autonomía de la voluntad y la consecuente
estructuración de la causal de fuerza mayor para el pago de las obligaciones,
se evidencia en la coacción física que obliga a la víctima a abandonar su
domicilio y, por ende, el lugar donde desarrolla sus actividades productivas.
Estas circunstancias, como es evidente, impiden de forma objetiva que la
persona desplazada pueda responder sus obligaciones de crédito, puesto que
debido al hecho delictivo de un tercero, queda en condición de desarraigo y,
con ello, en la imposibilidad de ejecutar las actividades que garantizan sus
ingresos económicos. Bajo esta lógica, la Corte ha establecido que habida

cuenta esa afectación de la autonomía de la voluntad de la persona en
situación de desplazamiento, son acreedores de un tratamiento diferenciado
positivo en lo que respecta a la exigibilidad de las obligaciones financieras.
Sobre este particular, la sentencia T-419/04 estipuló lo siguiente:

“En el caso de la población desplazada, son ampliamente conocidos
los númerosos pronunciamientos de la Corte. Además, dada la
magnitud de este problema, se han proferido leyes encaminadas a
darle solución global, como son entre otras, la Ley 387 de 1997 “Por
la cual se adoptan medidas para la prevención del desplazamiento
forzado; la atención, protección, consolidación y estabilización
socioeconómica de los desplazados internos por la violencia en la
República de Colombia” y sus Decretos reglamentarios, entre ellos,
el Decreto 2569 de 2000, el Decreto 2007 de 2001. Tanto la
jurisprudencia como las disposiciones legales están encaminadas a
suministrar el socorro y la ayuda inmediata que permitan la
satisfacción de los derechos fundamentales para la subsistencia de
estas personas : vida, salud, dignidad, integridad física, educación,
vivienda.
Sin embargo, esta grave situación de insatisfacción de derechos
fundamentales continúa y el número de desplazados aumenta, como
prueba de ello son las númerosas acciones de tutela que se
instauran en distintas partes del país por las personas que lo sufren,
lo que condujo a la Corte en la reciente sentencia, T-025 de 2004,
adeclarar el estado de cosas inconstitucional. En efecto, en esta
providencia en la que fueron acumulados 108 expedientes,
interpuestos por 1150 núcleos familiares, la Corte decidió : “Declarar
la existencia de un estado de cosas inconstitucional en la situación
de la población desplazada debido a la falta de concordancia entre la
gravedad de la afectación de los derechos reconocidos
constitucionalmente y desarrollados por la ley, de un lado, y el
volumen de recursos efectivamente destinados a asegurar el goce
efectivo de tales derechos y la capacidad institucional para
implementar los correspondientes mandatos constitucionales y
legales, de otro lado”.
(…)
En el presente caso, a la luz de los criterios expuestos en el punto
anterior, se parafraseará la pregunta que se hizo la Corte en la
sentencia T-520 de 2003, para el caso de la persona secuestrada y
deudora de una entidad financiera que pide la reliquidación de su
obligación, de acuerdo con sus circunstancias económicas, para
aplicarla a la de la persona desplazada deudora de una entidad
financiera, así:

¿Se vulneran los derechos fundamentales alegados por una persona
desplazada (vida, igualdad, libertad u otro derecho fundamental),
cuando una entidad bancaria le exige el pago de su obligación sin
considerar los efectos que tiene la condición de desplazado sobre sus
posibilidades de cumplir tal pago?
La respuesta es sí, pues este desconocimiento rompe el deber de
solidaridad frente a las personas que se encuentran en
circunstancias de debilidad manifiesta, en cuyo caso, es deber del
Estado o de los particulares, según la situación, de acudir con la
ayuda necesaria, dentro de la órbita de su competencia, como lo
examinó la sentencia T-520 de 2003 citada. Entonces, si en el
presente caso, la entidad financiera no ha tenido en cuenta la
condición de desplazado del actor, la acción de tutela puede ser
procedente. Por el contrario, si la entidad financiera ha suministrado
al demandante la información adecuada a esta condición y a su
actual situación económica, la acción de tutela no procede.”
La comprobación acerca de las condiciones particulares que revisten el
incumplimiento en el pago de las obligaciones a cargo de las víctimas de los
delitos de secuestro, desaparición forzada y desplazamiento forzado, tiene
efectos directos respecto a la administración de datos personales destinada al
cálculo del riesgo crediticio. En efecto, en distintos apartados de esta sentencia
se ha contemplado que la legitimidad constitucional de dichos procesos de
administración, se halla en el vínculo entre la determinación del
comportamiento crediticio de quienes concurren al mercado de productos
comerciales y de crédito y la protección de la estabilidad financiera y el ahorro
público, en tanto fin constitucionalmente valioso. Desde esa perspectiva, para
que la administración de datos personales resulte armónica con los derechos
fundamentales del titular de la información, en especial el derecho al hábeas
data, se requiere entre otras condiciones, otorgar eficacia al principio de
veracidad, el cual, según lo define el legislador estatutario, obliga a que la
información contenida en los bancos de datos debe ser veraz, completa,
exacta, actualizada, comprobable y comprensible. De este modo, se encuentra
proscrito el registro y divulgación de datos parciales, incompletos, fraccionados
o que induzcan a error.
La inclusión del reporte financiero sobre incumplimiento en los bancos de
datos, en los casos en que la mora se derive del hecho que el titular de la
información es víctima de los delitos de secuestro, desaparición forzada o
desplazamiento forzado, y la mora es consecuencia directa de los efectos de
esas conductas, constituye una actuación desproporcionada e irrazonable, que
a su vez afecta el principio de veracidad en la administración de datos
personales. Lo primero, en tanto incluir la información sobre incumplimiento
en las centrales de riesgo y, por ende, adscribir los efectos valorativos que ello
genera, constituiría una profundización de las consecuencias lesivas que
contrae la comisión de los delitos anteriormente citados. Lo segundo, puesto
que, contrario a como sucede en los eventos ordinarios de mora, el

incumplimiento del titular víctima del delito se sustenta en hechos delictuosos
que han coaccionado su voluntad y su autonomía personal, y que, por ende,
son impertinentes para la determinación del riesgo crediticio. Ello en tanto no
se originan del comportamiento libre del deudor, sino de las consecuencias de
los actos del tercero que comete la conducta ilícita. Por lo tanto, no pueden dar
cuenta del “comportamiento crediticio” del sujeto concernido, pues éste solo
puede evaluarse correctamente bajo el supuesto que se trata de una conducta
fundada en la autonomía personal.
3.4.1.3. Los elementos de juicio que ofrecen las decisiones antes estudiadas,
que establecen reglas sobre la determinación del contenido y alcance del
derecho al hábeas data, a partir de su interrelación con otros derechos
fundamentales,
son
importantes
para
definir
el
parámetro
de
constitucionalidad de las previsiones dispuestas por el legislador estatutario en
relación con la caducidad del dato financiero negativo.

La Corte reitera que los procesos de administración de datos personales de
contenido crediticio cumplen un propósito específico: ofrecer a las entidades
que ejercen actividades de intermediación financiera y, en general, a los
sujetos que concurren al mercado, información relacionada con el grado de
cumplimiento de las obligaciones suscritas por el sujeto concernido, en tanto
herramienta importante para adoptar decisiones sobre la suscripción de
contratos comerciales y de crédito con clientes potenciales. Esta actividad es
compatible con los postulados superiores, pues cumple con propósitos
legítimos desde la perspectiva constitucional, como son la estabilidad
financiera, la confianza en el sistema de crédito y la protección del ahorro
público administrado por los establecimientos bancarios y de crédito.

Es precisamente la comprobación acerca de la finalidad específica que tienen
los operadores de información financiera y crediticia la que, a su vez, permite
determinar los límites al ejercicio de las actividades de acopio, tratamiento y
divulgación de datos. Así, toda medida legislativa que regule los procesos de
administración personal de esta índole deberá circunscribirse al cumplimiento
de los propósitos antes anotados. Por lo tanto, en caso que estas previsiones
legales confieran a los sujetos involucrados en las actividades de
administración de datos personales de contenido crediticio, potestades más
amplias que las relacionadas con la satisfacción de tales finalidades, se
vulnerará el derecho fundamental al hábeas data, puesto que se configurarán
escenarios proclives al ejercicio omnímodo y abusivo del poder informático.

El vínculo entre la legitimidad de las actividades de acopio, procesamiento y
divulgación de datos personales financieros y el cumplimiento de finalidades
constitucionalmente legítimas explica, entre otros aspectos, la obligatoriedad
de contar con un término de permanencia del dato financiero sobre
incumplimiento en el pago de obligaciones. En efecto, el cumplimiento de las
citadas finalidades depende de que la información concernida responda a
criterios de veracidad, actualización y oportunidad. Esto significa, en otras
palabras, que la incorporación de datos personales en los bancos de datos está
supeditada a que éstos sean útiles y pertinentes para el cálculo del riesgo
financiero.

La utilidad del dato se califica a partir de la potencialidad que ofrezca para
determinar el nivel del riesgo del sujeto concernido. De esta manera, el
mantenimiento en las centrales de información personal falsa, incompleta,
caduca o desactualizada, constituye un ejercicio arbitrario de la facultad de
procesamiento del dato y, por ende, una violación de las normas
constitucionales. Sobre esta condición resulta imprescindible resaltar que la
utilidad responde a un criterio de proporcionalidad en el acopio de información
personal, según el cual la inclusión del dato personal en los archivos y bancos
de datos resultará constitucionalmente admisible cuando (i) cumpla la finalidad
de esa recopilación, esto es, el cálculo de riesgo crediticio; y (ii) no involucre
una afectación manifiestamente desproporcionada a los derechos del titular del
dato.

La pertinencia, en cambio, refiere a la relación intrínseca entre la naturaleza
del dato y las variables de la información personal que interesan al cálculo del
riesgo crediticio. Por ende, los datos recopilados deberán circunscribirse a
aquella información relevante para determinar el nivel de cumplimiento en el
pago de las obligaciones a cargo del sujeto concernido.

La determinación de un término de caducidad del dato financiero relativo al
incumplimiento en el pago de las obligaciones es, bajo esta perspectiva, un
instrumento necesario para la eficacia de los derechos fundamentales
interferidos en los procesos de administración de datos personales. En efecto,
si la legitimidad de esas actividades descansa en la relación necesaria entre la
recopilación de la información y el cálculo del riesgo crediticio, la identificación
de un plazo definido permite asegurar que, de un lado, ese cálculo sea idóneo
en tanto se funda en información veraz, oportuna y actualizada; y del otro, se
preserven los derechos del titular, que resultarían afectados por el
mantenimiento irrazonable y desproporcionado del dato negativo en el banco
de datos o archivo correspondiente.

No debe perderse se vista que, igualmente, el término de caducidad de la
información financiera sobre incumplimiento garantiza la satisfacción de los
principios de administración de datos personales que conforman el contenido y
alcance del derecho al hábeas data. Así, como lo ha resaltado la jurisprudencia
constitucional, “es evidente que varios de los principios [de administración de
datos personales] comparten identidad de propósitos con la disposición de un
término de caducidad del dato negativo. Este es el caso del principio de
necesidad, pues la identificación del nivel de riesgo financiero, de manera
general, debe basarse en la situación comercial actual del usuario del recurso
de crédito, razón por la cual la inclusión en la base de datos de información
sobre deudas que estuvieron en mora y fueron pagadas no puede tener
vocación de perennidad, ello porque el paso del tiempo privaría de idoneidad al
dato para la determinación del nivel de riesgo, tornándose por ende en
innecesario. Relación similar se encuentra ante el principio de utilidad, ya que
el reporte sobre créditos puestos al día es menos eficaz en términos de
determinación del nivel de riesgo financiero, cuando media un espacio de
tiempo considerable entre la fecha del pago y el momento en que se efectúa el
cálculo de dicho nivel. La compatibilidad expresada se torna aún más estrecha
respecto al principio de caducidad, pues este mandato impide que los
administradores de las bases de datos personales conserven la información
desfavorable de manera indefinida, por lo que ésta deberá ser eliminada del
registro después de un término proporcional y razonable que responda a las
causas que motivaron la inclusión del reporte, las que, en el caso bajo estudio,
están relacionadas con la necesidad de determinar el grado de riesgo
crediticio.”[161]

3.4.1.3. Con base en las consideraciones expuestas, que explican la
justificación de la caducidad de la información financiera negativa, pasa la
Corte a analizar la constitucionalidad de los contenidos normativos previstos
por el legislador estatutario en el artículo 13 del Proyecto de Ley.

El primero de ellos indica que la información de carácter positivo permanecerá
de manera indefinida en los bancos de datos de los operadores de información.
El dato financiero positivo versa sobre el historial crediticio del sujeto
concernido que da cuenta del cumplimiento satisfactorio en la amortización de
sus obligaciones comerciales y de crédito. La ausencia de fijación de un
término de permanencia de datos personales de esta naturaleza no se
muestra, per se, incompatible con la Constitución. Ello en tanto la inclusión de
estos datos en la centrales de información es compatible con los derechos
fundamentales interferidos por la administración de datos personales. En
contrario, la existencia de información positiva del sujeto concernido, en la
medida en que lo distingue como un agente del mercado económico cumplidor

de sus obligaciones comerciales y de crédito, no afecta en modo alguno sus
intereses y antes bien, lo habilita para acceder a los productos financieros.

Adicionalmente, previsiones de esta naturaleza permiten el cumplimiento del
principio de incorporación predicable de los procesos de administración de
datos personales. Así, se establece un mandato expreso a los operadores de
información, en el sentido de mantener vigente dentro del banco de datos
aquellos registros que confieren situaciones ventajosas para el titular,
consistentes en este caso en una calificación favorable sobre su
comportamiento crediticio.

Empero, la compatibilidad general entre la permanencia de la información
financiera positiva y los postulados constitucionales no debe comprenderse de
manera absoluta, sino que debe necesariamente acompasarse con los demás
componentes del derecho al hábeas data y con la necesidad de evitar el
ejercicio indiscriminado y abusivo del poder informático de que son titulares las
fuentes y operadores. Así, en los términos de los principios de finalidad y
temporalidad de la información, previstos por el legislador estatutario, el
mantenimiento indefinido del dato financiero positivo sólo estará justificado
mientras subsistan las causas que dieron lugar al acopio, tratamiento y
divulgación de la información personal. En el presente caso, la finalidad
legítima del procesamiento de los datos personales de contenido comercial y
crediticio está concentrada en el cálculo adecuado del riesgo financiero
atribuible al sujeto concernido, esto con el fin de suministrar información a los
agentes económicos para la toma de decisiones relativas a la celebración de
contratos comerciales y de crédito con clientes potenciales. En consecuencia,
cuando esta finalidad no resulte posible o relevante; por ejemplo, en caso que
el titular de la información fallece o ha sido declarado judicialmente interdicto
para la celebración de actos y negocios jurídicos, el acopio, tratamiento y
circulación de la información positiva son contrarios a la Carta Política, pues
dejan de cumplir con un objetivo que busque hacer efectivos bienes
constitucionalmente valiosos.

El segundo contenido normativo del artículo 13 del Proyecto de Ley, dispone
que los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro,
permanencia, vencido el cual deberá ser retirado de los bancos de datos por el
operador, de forma que los usuarios no puedan acceder a la información. Esta
disposición, en criterio de la Sala, reitera el contenido del principio de
caducidad propio de los procesos de administración de datos personales, según
las consideraciones expuestas in extenso en el presente apartado. Por lo tanto,
no se opone a la Constitución.

El tercer apartado normativo del artículo analizado señala que el término de
permanencia de la información anteriormente descrita será de cuatro años,
contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea
pagada la obligación vencida. Habida cuenta las implicaciones de esta
disposición y las observaciones que sobre la misma han efectuado el Ministerio
Público y los intervinientes, resulta pertinente realizar un análisis más detallado
por parte de la Corte.

La definición de un término de caducidad del dato financiero negativo es un
asunto que corresponde al legislador estatutario y hace parte de la cláusula
general de la competencia para la producción normativa, en cuanto a la
definición del contenido esencial de los derechos fundamentales. [162] Sin
embargo, si bien dicha facultad tiene carácter amplio, la determinación de una
fórmula de permanencia de la información está sujeta a límites. El primero de
ellos es, por supuesto, las normas constitucionales, en especial aquellas
referidas al ámbito de protección del derecho al hábeas data, que como se ha
demostrado en esta sentencia, incorpora los principios de administración de
datos personales. El segundo está relacionado con la prohibición del
tratamiento desproporcionado o irrazonable, imponible en el Estado
Constitucional a todas las actuaciones públicas y en escenarios concretos
también de los particulares. Al respecto, esta Corporación ha resaltado que la
proporcionalidad “refiere a una máxima general y parámetro de acción para la
totalidad de la actividad estatal, aunque no exclusivamente, ya que el principio
de proporcionalidad puede llegar a aplicarse también en el ámbito de las
relaciones particulares regidas por el derecho privado. En sentido
constitucional, la proporcionalidad es un principio de corrección funcional de
toda la actividad estatal que, junto con otros principios de interpretación
constitucional-unidad de la Constitución, fuerza normativa, fuerza integradora,
concordancia práctica, armonización concreta, inmunidad de los derechos
constitucionales e interpretación conforme a la Constitución–, busca asegurar
que el poder público, actúe dentro del marco del estado de derecho, sin
excederse en el ejercicio de sus funciones. Su fundamento normativo último
está dado por los principios fundamentales de Estado de Derecho
(artículo 1 C.P.), fuerza normativa de la Constitución (artículo 4 C.P.) y
carácter inalienable de los derechos de la persona humana (artículo 5
C.P.).”[163]

Esta misma doctrina ha considerado que de la proporcionalidad, entendida
como método de interpretación para el control de constitucionalidad asume dos

mandatos diferenciados: la prohibición del exceso y la prohibición del defecto.
El primero tiene que ver con la limitación del ejercicio de poder público, a fin de
mantener la eficacia de los derechos fundamentales. El segundo, está referido
a la obligatoriedad por parte del Estado de adoptar medidas suficientes para la
eficacia de esos mismos derechos y el cumplimiento de sus fines esenciales, de
modo tal que no se incurra en un déficit de protección.

La definición concreta de la proporcionalidad de una decisión legislativa se
logra a partir de la ponderación. Así, “el objeto de la ponderación son intereses
enfrentados que han recibido alguna protección constitucional, la cual es
mayor en el caso de intereses cobijados por derechos fundamentales. Los
intereses ponderados también se concretan en medidas y fines estatales. Se
pondera, por una parte, las medidas y los fines estatales y, por otra parte, la
afectación de parámetros formales o materiales consagrados en la
Constitución. Existe, por lo tanto, una clara relación conceptual entre la
proporcionalidad y la ponderación. La primera es establecida mediante la
segunda, puesto que siendo la primera un concepto relacional, los extremos de
dicha relación han de ser comparados y sopesados, esto es, ponderados con el
fin de establecer si ellos mantienen el equilibrio, el balance o la medida debida
o, por el contrario, se desconocen las prohibiciones de exceso o defecto.” [164] El
juicio de ponderación, comprendido en esta dimensión, implica el deber del
juez constitucional de adelantar un estudio igualmente relacional, que
contraste las finalidades perseguidas por la medida legislativa y el grado de
afectación de los derechos fundamentales. Esto responde a una metodología
de análisis específica, la cual (i) determine los intereses enfrentados por la
regulación objeto de escrutinio; (ii) sopese el grado de afectación de sufre
cada uno de esos intereses, en razón del límite impuesto por la
norma; (iii) compare dichas afectaciones; e (iv) identifique si alguno de esos
intereses resulta afectado de forma desproporcionada por la medida legislativa,
caso en el cual sería contraria a la Constitución.[165]

En cuanto al primer aspecto, tanto los usuarios de la información como los
titulares de la misma tienen intereses enfrentados en la definición de un
término de caducidad del dato financiero sobre incumplimiento. Los primeros,
quienes guían decisiones económicas a partir del análisis del comportamiento
crediticio de los sujetos concernidos, entendidos como clientes potenciales. Por
tanto, el interés de los usuarios se concentra en que la información que da
cuenta del incumplimiento en el pago de obligaciones dinerarias se mantenga
incorporada en el banco de datos por el mayor tiempo posible, pues ello
permitirá escrutar con profundidad los hábitos de pago del individuo.

Los titulares de la información, en cambio, están interesados en que el dato
financiero negativo no permanezca incorporado a su historial crediticio por un
periodo de tiempo tal que implique (i) una afectación desproporcionada a sus
derechos, en especial, el del acceso al mercado de crédito y, en general, a la
posibilidad de concurrir el tráfico económico de bienes y servicios; y (ii) un
ejercicio abusivo del poder informático por parte de fuentes, operadores y
usuarios de la información personal. En este punto es importante realizar una
consideración adicional. Aunque el reporte de información financiera negativa
responde a un hecho objetivo-el incumplimiento en el pago de las
obligaciones-, no por ello puede adscribírsele carácter neutro en cuanto a los
intereses jurídicos del sujeto concernido. Como lo demuestran fehacientemente
las distintas decisiones judiciales estudiadas en este apartado, el reporte del
dato negativo ocasiona un juicio de desvalor sobre su titular, el cual establece
límites y restricciones para el acceso al crédito y la suscripción de contratos
comerciales.[166] Por lo tanto, resulta imprescindible que, en aras que dicho
juicio no se convierta en una carga desproporcionada en contra del sujeto
concernido, el sistema de información destinado al cálculo del riesgo establezca
reglas que permitan que el deudor incumplido restablezca su buen nombre
comercial luego de que ha honrado debidamente sus obligaciones con
posterioridad a la mora y, de esta forma, se inserte nuevamente el mercado
económico de manera plena. Estas reglas apuntan unívocamente a la definición
de un término razonable de caducidad del dato negativo.

Adicionalmente, también debe reiterarse en esta instancia del análisis que la
legitimidad de las actividades de acopio, recolección y divulgación de datos
personales de contenido crediticio depende, entre otras variables, de un criterio
de oportunidad. Según este requisito, el cálculo del riesgo crediticio debe
basarse en datos actuales y veraces, de modo tal que aquella información que,
debido a su antigüedad, ya no resulta adecuada para esa actividad y, por ende,
pierde la justificación para permanecer reportada. Así, la definición de un
término razonable de caducidad del dato impide la permanencia de datos
personales con estas condiciones.

El sopesamiento de estos intereses de cara a la medida establecida por el
legislador estatutario lleva, igualmente, a consideraciones disímiles entre los
sujetos afectados por la disposición. Para el caso de los usuarios de la
información, el establecimiento de un término de caducidad de dato financiero
negativo de cuatro años, contado a partir del pago de la obligación, no afecta
sus intereses. Este término otorga un panorama amplio del historial crediticio
del sujeto concernido, del cual puede derivarse información suficiente para dar
verdadera cuenta de los hábitos de pago del cliente potencial.

Empero, estos resultados no son predicables respecto de los titulares de la
información financiera, puesto que la norma analizada impone consecuencias

jurídicas irrazonables respecto del sujeto concernido en dos supuestos
concretos. El primero de ellos tiene que ver con los titulares de información
basada en obligaciones insolutas cuya exigibilidad supera el término de la
prescripción ordinaria. Para este caso, la disposición no prevé un plazo de
permanencia, puesto que supedita la contabilización de la caducidad a partir
del pago de la obligación. Así, como en este caso no se ha verificado ese pago,
la información financiera negativa permanecerá de modo indefinido. En este
evento, la Sala advierte que, conforme a la doctrina expuesta, resulta
totalmente injustificado que se mantengan en las bases de datos reportes
basados en obligaciones que han sido excluidas del tráfico jurídico, amén de la
imposibilidad de ser exigibles judicialmente. Si el ordenamiento legal vigente
ha establecido que luego de transcurridos diez años opera la extinción de las
obligaciones dinerarias, no existe razón alguna que sustente que a pesar que
ha operado este fenómeno, el reporte financiero que tiene origen en la deuda
insoluta subsista. Por ende, la permanencia del dato más allá del término de
prescripción configura un ejercicio abusivo del poder informático, que en el
caso concreto se abrogaría una potestad más amplia que la del Estado para
derivar consecuencias jurídicas de la falta de pago de obligaciones.

Según lo expresado, la medida adoptada por el legislador estatutario faculta a
los operadores de información para mantener datos financieros negativos,
derivados de obligaciones insolutas, de forma indefinida. Esta posibilidad
impone una carga desproporcionada al sujeto concernido, puesto que el juicio
de desvalor generado por el reporte negativo tendría consecuencias en el
tiempo más amplias que las que el ordenamiento jurídico ha dispuesto como
predicables de las obligaciones dinerarias. Conforme lo anterior, mientras que
para el Derecho la obligación no resulta exigible, puesto que se considera
extinta en razón del paso del tiempo; esta mantiene sus efectos restrictivos
para el acceso al mercado comercial y de crédito y, en consecuencia, el
ejercicio pleno de los derechos constitucionales, en tanto permanece en los
bancos de datos indefinidamente.

El segundo presupuesto de afectación de los derechos del titular de la
información se basa en la ausencia de criterios de gradualidad en la
determinación del término de caducidad del dato financiero negativo. Al
respecto, la Corte considera que un término de permanencia de cuatro años se
muestra irrazonable cuando la mora tiene una corta duración, caso en el cual el
juicio de desvalor propio del reporte negativo se muestra desproporcionado. En
efecto, en aquellos eventos en que el incumplimiento de la obligación estuvo
vigente por pocos días o meses y el deudor ha advertido esta situación, honró
con prontitud sus obligaciones y muestra un comportamiento financiero
posterior idóneo; la permanencia del dato financiero negativo por un término
irreductible
de
cuatro
años
impone
una
carga
manifiestamente
desproporcionada.

En este escenario la Sala parte de advertir que el reporte financiero negativo
impone un juicio de desvalor en contra del sujeto concernido, que se concentra
en el aumento tangible de las restricciones y límites para el acceso al mercado
comercial y de crédito. Este juicio, con base en el principio de proporcionalidad,
debe corresponder con el nivel de riesgo de incumplimiento que se predique del
comportamiento crediticio del titular del dato. De este modo, la incidencia del
reproche valorativo debe ser mayor en el caso que el deudor que incurre en
mora sistemática en el pago de sus obligaciones y/o sólo accede a honrarlas
luego de haberse surtido un proceso judicial que ordena la ejecución coactiva
del crédito. De forma correlativa, el reproche valorativo debe tener una
incidencia menor cuando se trata de un deudor moroso que acude voluntaria y
prontamente al pago de las obligaciones.

El establecimiento de un término único de caducidad del dato financiero
negativo lleva, en ese sentido, a resultados materialmente injustos, que
contradicen el mandato previsto en el artículo 2º C.P. Así, la afectación del
historial crediticio y el subsiguiente esfuerzo individual para recobrar el buen
nombre comercial y el acceso pleno al mercado comercial y de crédito sería
idéntico en relación con aquellos agentes económicos generalmente cumplidos
con sus obligaciones, que incurrieron en mora de forma marginal y asumieron
voluntariamente el pago pronto de la obligación, que respecto de aquellos otros
que asumen comportamientos de incumplimiento reiterado y sostenido en el
tiempo frente a la amortización de sus créditos.

Como se infiere de las consideraciones expuestas, el establecimiento de un
término único de caducidad del dato financiero negativo impone afectaciones
manifiestamente desproporcionadas a los intereses de los sujetos concernidos,
específicamente para el caso de quienes son titulares de obligaciones insolutas
de las cuales se predica su extinción en virtud del paso del tiempo, como de
aquellos deudores que asumen pronta y voluntariamente el pago de las
obligaciones en mora, quienes quedan en pie de igualdad, en lo que refiere al
juicio de desvalor derivado del reporte financiero sobre incumplimiento, con
aquellos agentes económicos que incurren en mora por un periodo considerable
y solo acceden al pago previa ejecución judicial del crédito incumplido. En
consecuencia, la fijación de un término único de caducidad, carente de
gradualidad y que permite la permanencia indefinida del dato financiero
negativo para el caso de las obligaciones insolutas, es contraria a la
Constitución, puesto que prevé una medida legislativa que impone un
tratamiento abiertamente desproporcionado a los titulares de la información
personal incorporada en centrales de riesgo crediticio.

En este sentido, la Sala se opone a los argumentos planteados por algunos de
los intervinientes, en el sentido de considerar que el término de caducidad
previsto por el legislador estatutario era razonable, pues otorgaba iguales
condiciones a todos los sujetos concernidos, lo que redundaba en la calificación
paritaria del riesgo crediticio. Para la Corte, estas razones omiten considerar
que el reporte financiero negativo involucra un juicio de desvalor en contra del
sujeto concernido, puesto que a partir de él se derivan restricciones y límites al
acceso al mercado comercial y de crédito. Por ende, no es aceptable, con base
en el principio de proporcionalidad, que el término de caducidad del dato
negativo sea uniforme para todos los deudores, al margen de las condiciones
que definen su nivel de cumplimiento de las obligaciones, puesto que
ello (i) contrae consecuencias materialmente injustas en contra de quienes
incurren en mora marginal y asumen voluntariamente el pago de sus créditos y
demás obligaciones comerciales; y (ii) permitiría que, en razón de la
permanencia excesiva del reporte respecto de dichos sujetos, se les restrinja
irrazonablemente el acceso a los recursos ofrecidos por el mercado financiero.

De otro lado, también deben desestimarse las consideraciones realizadas por
otro grupo de intervinientes, quienes consideran que la ausencia de
gradualidad en el término de permanencia del dato financiero negativo es
subsanada por la fórmula de presentación del contenido de la información
prevista por el Proyecto de Ley, la cual obliga a que los operadores confieran
“reporte positivo” cuando el deudor esté al día en sus obligaciones, al margen
del lapso en que el crédito pagado se mantuvo en mora. Sobre el particular, la
Sala considera que esta interpretación desconoce el hecho que la información
financiera contenida en los bancos de datos no se restringe al “reporte”, sino
que necesariamente incorpora el historial crediticio del sujeto concernido. No
de otra manera podría comprenderse que el legislador estatutario haya
dispuesto que los datos relacionados con el tiempo de mora, tipo de cobro y
estado de cartera estén sometidos a un término de permanencia. Ello significa,
sin lugar a dudas, que la información sobre el comportamiento crediticio
pasado hace parte de los datos personales accesibles por los usuarios, en los
términos de la norma estatutaria. Por ende, estos datos incidirán en la
determinación del nivel de riesgo financiero del sujeto concernido y, en
consecuencia, le serán predicables los requisitos de oportunidad y
proporcionalidad anteriormente expuestos.

Conforme a las razones expuestas, la Corte advierte que el término de cuatro
años es una decisión legislativa razonable, excepto en los casos en que se trata
de (i) una mora vigente por un periodo corto, amén del pago efectuado
prontamente; y (ii) cuando se trata de obligaciones insolutas, respecto de las
cuales se predica la prescripción. En estos dos eventos, el término único de
caducidad
de
la
información
sobre
incumplimiento
se
muestra
desproporcionado e irrazonable, por lo que vulnera los derechos
constitucionales del titular de la información.

En esta instancia debe la Sala reiterar que el establecimiento de un término de
caducidad de la información financiera sobre incumplimiento es un asunto que
le corresponde al legislador estatutario. Así, el Proyecto de Ley ha fijado un
término de cuatro años, el cual se muestra razonable desde la perspectiva de
los titulares y de los usuarios de la información, excepto en los casos
anteriormente descritos. Estos casos extremos han sido identificados
consistentemente por la jurisprudencia constitucional, de modo tal que ha
establecido dispositivos específicos para evitar que el mantenimiento del
reporte constituya un ejercicio abusivo del poder informático de las fuentes,
operadores y usuarios.

Sobre este particular, la Sala considera pertinente estipular que esta
comprobación no significa, en modo alguno, que el legislador estatutario se vea
compelido a reiterar los plazos de caducidad fijados por la jurisprudencia
constitucional, pues ello equivaldría a desconocer la vigencia de la cláusula
general de competencia legislativa. Empero, ello no obsta para que cuando la
jurisprudencia constitucional ha identificado, de manera consistente, eventos
en los que determinado término de caducidad se muestra desproporcionado o
irrazonable, esta comprobación no sirva de parámetro para que el legislador
prevea una fórmula de regulación que resulte respetuosa del principio de
proporcionalidad.
Vistas así las cosas, la Corte considera imprescindible mantener el término de
caducidad de la información financiera sobre incumplimiento, previsto por el
legislador estatutario, pues en sí mismo considerado se muestra razonable y,
en esa medida, compatible con la protección de los derechos fundamentales del
sujeto concernido. No obstante, tales conclusiones no son predicables de los
casos extremos a los que se ha hecho reiterada alusión en ese apartado. Así,
ante (i) la necesidad de conservar la fórmula de permanencia de la información
sobre incumplimiento, corolario lógico de la vigencia del principio democrático;
y (ii) el carácter vinculante del principio de proporcionalidad en dicha materia,
que para el presente análisis se traduce en la obligación de contar con términos
de caducidad razonables en los casos extremos antes citados, la Corte
condicionará la exequibilidad del término de permanencia, de modo tal
que (i) se aplique el término razonable desarrollado por la jurisprudencia
constitucional antes analizada, equivalente al duplo de la mora, respecto de las
obligaciones que permanecieron en mora durante un plazo corto;
y (ii) extienda el plazo de permanencia previsto por el legislador estatutario a
los eventos en que se predice la extinción de la obligación en mora. Debe
insistirse en que esta definición de plazos vía jurisprudencial resulta justificada
ante la obligatoriedad que el juez constitucional garantice la eficacia de los
derechos fundamentales interferidos en los procesos de administración de
datos personales de contenido crediticio, que para el presente caso se traduce
en la necesidad de fijar un término de caducidad de la información financiera

negativa que responda a criterios de proporcionalidad, razonabilidad y
oportunidad.
En consecuencia, la Sala declarará la constitucionalidad del artículo 13 del
Proyecto de Ley, en el entendido que la caducidad del dato financiero en caso
de mora inferior a dos años, no podrá exceder el doble de la mora, y que el
término de permanencia de cuatro años también se contará a partir del
momento en que se extinga la obligación por cualquier modo.
3.4.5. Contenido de la información (Artículo 14)
El artículo 14 establece que los bancos de datos de información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países, deberán
presentar la información de los titulares conforme a un formato previsto por el
Gobierno Nacional. Este formato deberá identificar, entre otros aspectos, el
nombre completo del deudor, la condición en la que actúa respecto del crédito,
el monto de la obligación, el tiempo de mora y la fecha de pago, si es del caso.
El Ejecutivo, al diseñar el formato, deberá tener en cuenta que el reporte
deberá establecer que (i) existe reporte negativo cuando el titular se encuentre
en mora en sus cuotas u obligaciones; (ii) concurre reporte positivo cuando el
titular esté al día con las obligaciones. La pretermisión de esta información
derivará en la imposición de las máximas sanciones previstas en el Proyecto de
Ley.
Del mismo modo, el parágrafo 1º del artículo 14 indica que para los efectos de
la presente ley se entiende que una obligación ha sido voluntariamente pagada
cuando el pago se ha producido sin sentencia judicial que así lo ordene. El
parágrafo 2º prevé que las consecuencias previstas en la norma respecto del
pago voluntario serán predicables para cualquier modo de extinción de las
obligaciones, que no sea resultado de una sentencia judicial. El parágrafo 3º
dispone que cuando un usuario consulte la información de un titular, los bancos
de datos deberán de dar información exacta sobre su estado actual, esto es,
dar un reporte positivo o negativo, conforme a los términos expuestos.
Igualmente, indica que el resto de la información contenida en el banco de
datos de contenido crediticio, financiero, comercial, de servicios y la
proveniente de terceros países, hará parte del historial crediticio del titular, el
cual podrá ser consultado por el usuario, siempre y cuando hubiere sido
informado sobre el estado actual. Por último, el parágrafo 4º del artículo 14
proscribe la administración de datos personales con información
exclusivamente desfavorable.
De manera preliminar, la Corte advierte que el parágrafo 3º del presente
artículo incurre en un error de transcripción. En efecto, las expresiones “dar un
reporte positivo de los usuarios” y “harán parte del historial crediticio de cada
usuario” son incorrectas, puesto que en los términos del artículo 3º del
Proyecto de Ley, la información personal se predica de los titulares, no de los
usuarios de la misma. Al respecto, la Sala considera que este error no afecta la
constitucionalidad del precepto ni distorsiona su cabal entendimiento. Ello

habida cuenta que la lectura del artículo 14 en su conjunto no ofrece duda
alguna acerca que la única interpretación plausible de la disposición es que la
información de la que versan los reportes y el historial crediticio corresponde a
los titulares, no a los usuarios. Conforme a esta aclaración, la Corte asumirá el
estudio del artículo mencionado.
De manera general, la Corte considera que el precepto analizado no presenta
mayores reproches de constitucionalidad. En efecto, el establecimiento de un
formato que ordene de manera uniforme la información personal suministrada
a los usuarios, basada en la expedición de reportes positivos y negativos que
responden al Estado actual de cumplimiento de las obligaciones por parte de
los sujetos concernidos, adicionada por el resto del historial crediticio del
mismo, constituye una medida legislativa compatible con el ejercicio efectivo
de las facultades de conocimiento, actualización y rectificación del dato, al igual
que con los principios de administración de datos personales.
El precepto analizado permite que la información personal responda a criterios
de veracidad e integridad. Lo primero porque obliga a que el reporte dé cuenta
del estado real de cumplimiento del sujeto concernido, puesto que una vez está
al día en sus obligaciones comerciales y crediticias, obtiene una calificación
positiva, la cual es transmitida por los operadores a los usuarios. De igual
modo, la norma incorpora fórmulas que permiten definir con claridad cuándo
existe el pago voluntario de las obligaciones, que sustenta el reporte positivo,
previsiones que refuerzan el carácter actualizado y veraz del dato personal de
contenido comercial y crediticio. Así, de manera armónica a la clasificación
efectuada por la jurisprudencia constitucional y analizada in extenso a
propósito del análisis del artículo 13 del Proyecto de Ley, la norma distingue
entre pagos voluntarios y coactivos en consideración de la existencia de un
fallo judicial que ordene el pago. De la misma forma, extiende acertadamente
las consecuencias del pago voluntario de la obligación a otros modos de
extinción de las obligaciones, que no sean resultado de una sentencia judicial.
Sobre este último aspecto, para la Corte es claro que la interpretación
sistemática de los parágrafos 1º y 2º del artículo lleva a concluir que la
sentencia judicial a la que hacen referencia es la que se deriva de un proceso
de ejecución, pues es sólo ella la que puede “ordenar” el pago de la deuda.
La norma estudiada es un desarrollo propio del principio de integridad,
conforme a dos argumentos definidos. En primer lugar, establece que cuando
el usuario consulte la información personal del sujeto concernido, los
operadores de los bancos de datos deberán dar información exacta y completa
sobre el actual estado de cumplimiento en las obligaciones, aunado a la
posibilidad de consultar los demás datos que conforman el historial crediticio
del deudor. Esto implica que los usuarios tendrán acceso a aquella información
que se muestra relevante para otorgar una visión completa del estado de
cumplimiento comercial y crediticio del sujeto concernido. En segundo término,
el parágrafo 4º proscribe la administración de información exclusivamente
desfavorable, prohibición que facilita que los datos financieros sean completos
e incorporen toda la información pertinente, tanto la que da cuenta de la mora,

como la que confiere situaciones ventajas para el titular, en tanto lo califican
como un agente económico cumplidor de sus obligaciones crediticias y
comerciales. Esto último, por supuesto, desarrolla el principio de incorporación,
identificado por la jurisprudencia constitucional dentro del contenido y alcance
del derecho fundamental al hábeas data. Finalmente, debe resaltarse como
esta última disposición se opone a prácticas abusivas en la administración de
datos personales, en especial aquellas dirigidas a la confección de “listas
negras”, las cuales desvirtúan la finalidad constitucionalmente legítima de los
procesos de administración de datos personales de contenido crediticio, al
convertirlos en instrumentos dirigidos a la imposición de barreras injustificadas
para el acceso al mercado comercial y financiero.[167]
Empero, la Corte considera necesario estipular que las finalidades del artículo
14 del Proyecto de Ley, que como se ha indicado son desarrollos de los
principios de veracidad e integridad en la administración de datos personales,
deben estar basadas en una interpretación de la norma analizada, en el sentido
que las expresiones “reporte negativo” y “reporte positivo”, son apenas
calificaciones específicas del reporte crediticio, que en ningún caso pueden
constituirse en un instrumento para que se entregue a los operadores
información falsa, inexacta e incompleta, la cual se base en la simple
calificación positiva o negativa. En tal sentido, conforme lo previsto en el
parágrafo 3º del artículo 14 del Proyecto de Ley, los operadores de los bancos
de datos están en la obligación de entregar al usuario no solo el reporte actual,
sino también el historial crediticio del sujeto concernido, a efectos que se
cumplan con las obligaciones de protección del derecho al hábeas data,
derivadas de los principios de veracidad e integridad.
Para la Corte, una interpretación del artículo 14 del Proyecto de Ley, en el
sentido que el contenido de la información se limite a dar cuenta del estado
actual positivo o negativo, es contraria al derecho fundamental al hábeas data,
el cual, como se ha indicado en esta decisión, contrae el deber que la
información financiera y comercial del sujeto concernido sea divulgada de
forma completa, de modo tal que dé cuenta de su comportamiento crediticio.
En consecuencia, la Sala declarará la exequibilidad condicionada de la norma
citada, en el entendido que las expresiones “reporte negativo” y “reporte
positivo” de los literales a. y b. hacen referencia exclusivamente al
cumplimiento o incumplimiento de la obligación, y que el reporte deberá
contener la información histórica, integral, objetiva y veraz del
comportamiento crediticio del titular.
No obstante la exequibilidad del precepto, la Corte considera pertinente
pronunciarse sobre los cuestionamientos que el Ministerio Público y los
intervinientes expresan respecto a la exequibilidad del artículo 14 del Proyecto
de Ley. En relación con la norma analizada, algunos de los intervinientes
sostienen que debe ser declarada inexequible, pues las facultades dadas al
Gobierno Nacional cobijarían materias propias de la reserva de ley estatutaria,
en tanto refieren al contenido esencial del derecho fundamental al hábeas data.
En su criterio, esta conclusión se soporta en el hecho que el legislador haya

conferido la competencia al Ejecutivo de forma amplia, a través de la
expresión “entre otros aspectos”,prevista en el inciso primero del artículo 14.
De otro lado, otro grupo de intervinientes sostiene que el establecimiento de
un formato de carácter obligatorio viola la libertad económica y de empresa, en
tanto debería dejarse a la potestad de las empresas operadoras la definición de
estos contenidos. Finalmente, el Procurador General solicita a la Corte que
declare inexequible la expresión “y la proveniente de terceros países”, puesto
que el legislador estatutario no ha establecido ninguna regla que permita
garantizar que en relación con la información proveniente del extranjero, se
hayan respetado los principios de administración de datos personales y el
ejercicio de las facultades de conocimiento, actualización y rectificación por
parte del titular del dato. Por ende, tal previsión viola los derechos al debido
proceso y al hábeas data.
Para resolver acerca de la constitucionalidad del precepto, la Corte considera
necesario delimitar el alcance del mismo, puesto que advierte que buena parte
de los cuestionamientos planteados por los intervinientes y el Ministerio Público
se fundan en comprensiones parciales o asistemáticas de la norma analizada.
Así, se observa que la disposición dispone al Gobierno Nacional una
competencia específica: la definición de un formato que determine el modo en
que la información personal deberá presentarse a los usuarios del banco de
datos. El precepto, de igual manera, indica los aspectos mínimos que deberá
contener el formato, los cuales versan sobre la identificación del titular, su
vínculo con la obligación y los datos relacionados con el cumplimiento en el
pago de la misma. De igual manera, el legislador estatutario circunscribe de
manera más específica el contenido del formato, en tanto dispone que deberá
dar cuenta de la existencia de un reporte positivo o negativo, dependiente de si
el titular está o no en el pago de las obligaciones.
Como se indicó en apartado anterior de esta sentencia, la reserva de la ley
estatutaria se predica de aquellas previsiones legales que regulan aspectos
centrales, estructurales del derecho fundamental, que pertenecen o están
próximos al contenido esencial del mismo. Así, en decisiones anteriores de esta
Corporación que han declarado exequibles disposiciones legales ordinarias
sobre hábeas data, al considerar que su contenido no hace parte de la reserva
de ley estatutaria, reitera que ésta es exigible cuado se trate de “i) normas
que desarrollan y complementan los derechos ii) que regulan solamente los
elementos estructurales esenciales, iii) que regulan de forma directa su
ejercicio y también el desarrollo de su ámbito a partir del núcleo esencial
definido en la Constitución, iv) que refieran a los contenidos más cercanos al
núcleo esencial, v) que regulan aspectos inherentes al ejercicio y
principalmente lo que signifique consagrar límites, restricciones, excepciones y
prohibiciones que afecten el núcleo esencial, vi) cuando el legislador asuma de
manera integral, estructural y completa la regulación del derecho, vii) que
aludan a la estructura general y principios reguladores pero no al desarrollo
integral y detallado, regulando así la estructura fundamental y los principios
básicos, y viii) que refieran a leyes que traten situaciones principales e
importantes de los derechos.”[168]Estos requisitos, que obligan a que la reserva

de ley estatutaria esté sustentada en un vínculo cierto y verificable entre la
regulación y los contenidos propios del contenido esencial del derecho
fundamental de que se trate, pretenden evitar el vaciamiento de las
competencias de producción normativa del legislador ordinario. En efecto, la
Corte ha destacado que la reserva de ley estatutaria debe comprenderse en un
sentido restrictivo, de forma tal que se excluyan de esa exigencia previsiones
normativas que si bien están relacionadas con los derechos fundamentales,
disponen reglas para aspectos particulares y específicos, diferenciables del
núcleo esencial. Así, se ha insistido en “que dado que las leyes estatutarias no
fueron creadas dentro del ordenamiento para regular en forma exhaustiva y
casuística todo evento ligado a los derechos fundamentales, sino que están
encargadas de desarrollar los textos constitucionales, es por lo que estas leyes
especiales deben orientarse a contener las regulaciones básicas o mínimas de
los derechos, es decir, aquellas que tienen por objeto la configuración de los
elementos esenciales, estructurales o definitorios de los derechos
fundamentales, sin que por ello pueda considerarse que tales regulaciones
puedan corresponder a aquellas que impliquen la afectación de su núcleo
esencial, pues de ser ello así se trataría de una normativa [169] no reservada a la
ley estatutaria sino contraria a la Constitución.”[170]
Para el caso propuesto, es claro que la delegación otorgada al Gobierno
Nacional radica en un asunto eminentemente técnico, delimitado y que no
versa sobre los aspectos esenciales del derecho fundamental, ni mucho menos
ofrece una regulación integral del mismo. En contrario, la Corte considera que
predicar la reserva de ley estatutaria para un aspecto puntual, previamente
circunscrito por el legislador estatutario y que se restringe a aspectos
operativos de la administración de datos personales de contenido financiero y
crediticio, que ya ha sido regulada suficientemente por el Proyecto de Ley;
configuraría una visión maximalista de las competencias del legislador
estatutario que, correlativamente, vacía las facultades de regulación que la
Carta Política confiere al legislador ordinario. En este sentido, la Corte se
aparta de lo expresado por algunos intervinientes, en el sentido que la norma
ofrece una facultad amplia al Gobierno Nacional para regular aspectos propios
del contenido esencial del derecho fundamental. Ello en tanto el legislador
estatutario limita la competencia del Ejecutivo al diseño de un formato, el cual
prevé su contenido mínimo y la manera en que debe presentar la información
personal a sus usuarios. Como se observa, se ha circunscrito en buena medida
las posibilidades de regulación por parte del Gobierno, por lo que su ámbito de
producción normativa se restringiría a tópicos marginales (diseño del formato,
mecanismo electrónico o físico de soporte, etc.), que no tienen como propósito
regular aspectos propios del contenido y alcance del derecho fundamental.
La materia relativa al establecimiento del formato no regula el contenido
esencial del derecho fundamental al hábeas data, ni tampoco constituye, en si
misma, una regulación de aspectos propios del derecho, que hiciera predicable
la exigencia de reserva de ley. En cambio, debe insistirse en que dicha
competencia tiene una finalidad eminentemente operativa, incompatible con la
posibilidad que el Gobierno Nacional modifique el contenido y alcance del

derecho al hábeas data financiero, delimitado suficientemente por la
normatividad estatutaria. Esta condición técnica y concreta de la competencia
citada es la que justifica su pertenencia al ámbito propio de la facultad
reglamentaria. En efecto, la jurisprudencia constitucional [171] ha comprendido
que si bien la eficacia del principio de legalidad, propio del Estado
Constitucional, depende del otorgamiento de la cláusula general de
competencia legislativa al Congreso, esto no significa que la regulación legal
deba agotar la materia en todos los casos. Así, en aquellos asuntos en que la
Constitución no prevea un mandato específico de reserva de ley, el legislador
podrá regular los aspectos centrales del tópico correspondiente, de modo que
esas previsiones sirvan de límite y marco de referencia para el ejercicio de la
potestad reglamentaria, entendida como la competencia que tiene el Gobierno
para expedir actos administrativos destinados a garantizar la cumplida
ejecución de las leyes (Art. 189-11 C.P.).
Esta división de competencias para la producción normativa ha permitido a la
jurisprudencia constitucional establecer que el ejercicio de la potestad
reglamentaria está sujetado a la existencia de una regulación básica que sirva
de parámetro. De esta forma, la jurisprudencia ha destacado [172] que la
preservación del principio de legalidad implica que el Congreso determine
suficientemente la materia a reglamentar. Así, se desconocen los postulados
constitucionales cuando no existe ese mínimo de materialidad legislativa, sino
que se adopta una fórmula amplia de remisión, a través de la cual el Ejecutivo
sustituye al Congreso en la determinación de la normatividad correspondiente.
Para la Corte, “[e)s posible que la rama legislativa con la utilización de un
lenguaje amplio reconozca a la autoridad administrativa competente un
margen suficiente para el desarrollo específico de algunos de los supuestos
definidos en la ley con el propósito de concretar la aplicación de ciertos
preceptos legales a circunstancias diversas y cambiantes. Eso es propio de un
Estado regulador. Sin embargo, en esos eventos la acción de la administración
y el cumplimiento de las políticas públicas que animan la ley y las regulaciones
administrativas que las materializan dependen de que las disposiciones legales
establezcan criterios inteligibles, claros y orientadores dentro de los cuales ha
de actuar la administración de tal forma que se preserven los principios básicos
de un estado social y democrático de derecho.”[173]
Trasladados estos argumentos al análisis de la norma estatutaria, la Corte
advierte, en primer lugar, que la Constitución no prevé la reserva de ley
respecto a la definición del modo de presentación de la información personal
por parte de los bancos de datos. En ese sentido, este es un tópico que
corresponde al legislador, quien a su vez puede delegar en el reglamento la
definición de los aspectos operativos y técnicos que permitan la ejecución
concreta de la medida legislativa, a condición que la misma establezca la
regulación básica que determine el parámetro de ejercicio de la potestad
reglamentaria. En el caso propuesto, se comprueba que el legislador
estatutario ha fijado los aspectos esenciales del formato que deberá establecer
el Gobierno Nacional, ha señalado expresamente qué datos debe contener y la
forma en que deberá ser presentada la información personal a sus usuarios.

Por ende, existe una debida circunscripción material a la actividad de la
administración, lo que justifica la exequibilidad del precepto.
La Corte, de otro lado, desestima el reproche identificado por un grupo de
intervinientes, en el sentido que la previsión de un formato establecido por el
Gobierno Nacional es contrario a la libertad económica y de empresa. A juicio
de la Sala, la decisión legislativa de establecer un formato uniforme para la
presentación de los datos personales, no puede comprenderse como una
expresión de la competencia estatal de dirección del Estado en la economía,
pues se trata de una medida legislativa que no tiene incidencia alguna ni en el
mercado de crédito, ni en la actividad que desempeñan los operadores de
información, ni, en general, en las actividades de suministro de bienes y
prestación de servicios.
Para que exista una regulación que incida en la libertad económica, la norma
de que se trate debe establecer algún mecanismo que intervenga el mercado,
fije criterios de distribución de los recursos, imponga límites o condiciones a la
iniciativa privada o, de manera general, establezca modificaciones a la
dinámica económica que no se producirían en caso que la Constitución o la ley
no fijaran la medida correspondiente. Estas condiciones no concurren para el
caso analizado. En efecto, el único propósito de la norma es permitir que el
Gobierno Nacional, ceñido a los requisitos previstos por el legislador
estatutario, establezca un modelo uniforme de presentación de la información,
que deben adoptar los operadores de los bancos de datos, el cual ha
considerado el legislador como deseable, a fin de garantizar (i) el acceso en
iguales condiciones a la información personal; (ii) la integridad de los datos
suministrados a los usuarios; y (iii) el uso de condiciones homogéneas, que
faciliten los procesos de consulta de la información personal y el cálculo
correlativo del riesgo crediticio. Este requisito en nada obstaculiza la
conformación de personas jurídicas que presten el servicio de administración
de datos personales de contenido crediticio, no establece prerrogativas a favor
de un agente particular del mercado, ni impide que dichas personas puedan
ejercer las actividades de acopio, tratamiento y divulgación de datos
personales. Por ende, un reproche de esta naturaleza es infundado y, en
consecuencia, no afecta la constitucionalidad del precepto.
En relación con los contenidos normativos predicables del artículo objeto de
estudio, queda por analizar el cuestionamiento expuesto por el Procurador
General, en el sentido que la expresión “la proveniente de terceros países” es
contraria a la Constitución, puesto que la norma estatutaria deja de establecer
los requisitos para la inclusión de información personal proveniente de fuentes
extranjeras, lo que hace imposible acreditar la veracidad de la misma. A su
vez, habida consideración del carácter foráneo del dato, el titular no estaría en
posibilidad de ejercer las facultades de conocimiento, actualización y
rectificación de datos personales, lo que vulneraría el derecho fundamental al
hábeas data.

Para la Corte, el reproche planteado por el Procurador General se basa en un
enunciado normativo que no puede predicarse de la expresión objeto de
análisis. En efecto, aunque la norma estatutaria no prevé una regulación
específica, referida a la administración de datos personales provenientes del
exterior,[174] ello no puede entenderse como una ausencia de condiciones,
límites y requisitos a esa actividad, como lo considera el Ministerio Público. En
cambio, las previsiones contenidas en la Constitución y en la norma estatutaria
establecen obligaciones suficientemente definidas a las fuentes, operadores y
usuarios, que son del todo aplicables a este escenario concreto de
administración de datos personales provenientes de terceros países. Así, en
cuanto a estos procesos resultará exigible, entre otros aspectos: (i) la garantía
del sujeto concernido de conocer, actualizar y rectificar la información que
sobre sí exista en archivos y bancos de datos (Art. 15 C.P.); (ii) la eficacia de
la libertad y de los demás derechos y garantías propios de la administración de
datos personales (Art. 15 C.P.); (iii) la exigencia que el sujeto concernido
preste consentimiento expreso, previo y suficiente para la inclusión de su
información personal en el banco de datos. A su vez, este requisito implica que
la fuente deberá solicitar esa autorización al titular y el operador de la
información deberá requerir a la fuente la certificación de ese consentimiento
(Arts. 7º y 8º del Proyecto de Ley); (iv) la obligación de las fuentes de
garantizar que los datos personales sea veraz, completa, exacta, actualizada y
comprobable (Art. 8º del Proyecto de Ley); y (v) la posibilidad de ejercer ante
los fuentes y operadores, los mecanismos de consultas, peticiones y reclamos
en relación con la información contenida en los archivos y bancos de datos
(Art. 16 C.P.).
Conforme a lo expuesto, la Corte comprueba que la legislación objeto de
análisis prevé instrumentos suficientes para garantizar que los datos
personales de contenido comercial y crediticio que provengan de otros países
resulten ajustados a los predicados propios del derecho fundamental al hábeas
data y de las demás garantías constitucionales interferidas en los procesos de
administración de datos personales. Debe insistirse en que a pesar que la
información tenga origen extranjero, los procesos de administración de datos
personales se llevarán a cabo en el país y estarán subordinados a las
condiciones, requisitos y sanciones previstos en la Constitución y en la
normatividad estatutaria. Por lo tanto, no es viable argumentar que se esté
ante un déficit de protección del derecho, sino que, antes bien, la legislación
ofrece variados instrumentos dirigidos a que (i) los agentes que intervienen en
el proceso de administración de datos personales tengan obligaciones definidas
en relación con la obtención de la autorización, el uso y tratamiento adecuado
de la información personal y, en general, el respeto a los principios que guían
la administración del dato; y (ii) se establezcan instrumentos expeditos para
que el sujeto concernido pueda ejercer las facultades constitucionales de
conocimiento, actualización y rectificación de la información personal. En
consecuencia, el cuestionamiento realizado por el Procurador General en
relación con el artículo 14 carece de sustento suficiente y, por ende, no afecta
la constitucionalidad del precepto.

3.4.6. Acceso a la información por parte de los usuarios (Artículo 15)
El artículo 15 del Proyecto tiene como objetivo regular las finalidades que
legitiman el acceso, por parte de los usuarios, a la información financiera,
crediticia, comercial, de servicios y la proveniente de terceros países, que
repose en bancos de datos.
En ese propósito enuncia como finalidades admisibles las contempladas en las
siguientes hipótesis: (i) la de servir como elemento de análisis para establecer
una relación contractual de cualquier naturaleza, o evaluar el riesgo derivado
de una relación contractual vigente (inciso 2º); (ii) para hacer estudios de
mercado, o investigaciones comerciales o estadísticas (inciso 3º); (iii) para el
adelantamiento de cualquier trámite ante una autoridad pública o una persona
privada, respecto del cual dicha información resulta pertinente (inciso 4°);
y (iv) para cualquier otra finalidad, respecto de la cual de manera general o en
forma particular, se haya obtenido autorización por parte del titular de la
información (inciso 5º).
El Procurador General solicita la inexequibilidad de la tercera de las hipótesis
reseñadas, contemplada ésta en el inciso 4° del precepto examinado, la cual
autoriza a los usuarios acceder a la información “para el adelantamiento de
cualquier trámite ante una autoridad pública o una persona privada, respecto
del cual dicha información resulte pertinente”.Para la Procuraduría, este
segmento normativo introduce una fórmula excesivamente amplia, que
permite el acceso a información personal sin ningún propósito definido, con lo
cual se afectarían los principios de necesidad, finalidad y circulación
restringida.
Uno de los intervinientes, con fundamento en razones similares, solicita la
inexequibilidad del mismo aparte normativo, así como de la expresión “y en
forma general” del último inciso, referida al contenido de la autorización
emitida por el titular de la información.
Por su parte, otro de los intervinientes solicita la inexequibilidad de las
expresiones “Para cualquier otra finalidad”, y “en forma general”, contenidas
en el inciso 5°, al señalar que éstas permiten la recopilación de datos sin la
clara especificación de la finalidad, y su divulgación o uso para fines diferentes
a los previstos inicialmente, lo cual riñe con el contenido esencial del derecho
al hábeas data.
En relación con el contenido de la norma objeto de análisis, una vez más
reitera la Corte, que uno de los principios que guían el proceso de acopio,
procesamiento y divulgación de información personal es el de la finalidad, el
cual exige no solamente que tales procesos estén orientados hacia un fin
constitucionalmente legítimo, sino, de manera particular, una definición clara,
suficiente y previa de ese objetivo. Recuerda, así mismo, que la proclamación
de unos principios jurídicos que rigen el proceso de administración de los datos

personales pretende armonizar el ejercicio de los derechos fundamentales de
los titulares de los datos, de los usuarios y los operadores.
Bajo ese marco, encuentra la Corte que la norma examinada se orienta a
enunciar las expresiones legítimas del principio de finalidad en la fase de
acceso de los usuarios a la información personal. En ese orden de ideas, las
finalidades previstas en los incisos primero y segundo del artículo 15 se
enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se
inscriben en el interés fundamental que subyace en la actividad de
administración de datos personales de brindar a las entidades financieras un
elemento de análisis, que de manera concurrente con otros, les permita medir
el crédito y el nivel de riesgo de sus actuales y futuros clientes.
El inciso primero apunta de manera clara a ese objetivo, al proveer a los
operadores del sistema financiero, y de los sectores crediticio, comercial y de
servicios, de elementos de análisis para calcular el nivel de riesgo financiero o
crediticio en la toma de decisiones sobre el establecimiento o mantenimiento
de una relación contractual. En tanto que el propósito del inciso segundo se
inscribe así mismo dentro de un interés legítimo, en cuanto permite el acceso a
datos personales para el análisis comercial, de mercado y estadístico,
estrategias éstas vinculadas al desarrollo de la actividad de crédito, a la
protección de la confianza pública en el sistema financiero y a la estabilidad del
sistema en su conjunto.
Conviene advertir sin embargo, que la finalidad que legitima el acceso de los
usuarios, en los términos que lo plantean las hipótesis normativas examinadas
(inciso 1º y 2º del art. 15) debe tener plena correspondencia con la finalidad
definida de manera clara, suficiente y previa al momento del acopio y
recopilación de la información.
Las finalidades previstas en los incisos 2º y 3º del artículo 15, se armonizan
con el contenido del artículo 15 de la Constitución en la medida en que
responden a finalidades legítimamente adscritas al contenido del derecho al
hábeas data. No obstante, la Corte considera importante resaltar que, en aras
de proteger el derecho a la intimidad del sujeto concernido, en los casos en
que el acceso por parte del usuario esté dirigido a la elaboración de estudios de
mercado (marketing), estadísticos o sobre tendencias o hábitos de consumo, la
divulgación de la información deberá realizarse de modo tal que se garantice la
imposibilidad que circulen aquellos datos personales que permitan la
identificación del titular del dato.
El inciso cuarto del artículo 15, cataloga como finalidad legítima para el acceso
a la información de contenido financiero, crediticio, comercial y de servicios
que repose en bancos de datos, “el adelantamiento de cualquier trámite ante
una autoridad pública o una persona privada respecto del cual dicha
información resulte pertinente”. Según este preceptola pertinencia de la
información respecto de cualquier tipo de trámite, sería el criterio para
acceder, de manera legítima, a una información personal de contenido

financiero o crediticio. De manera similar, el inciso quinto del mismo artículo
estipula que los usuarios podrán acceder a los datos financieros “para
cualquier otra finalidad”, diversa a las previstas en los incisos anteriores,
siempre y cuando el titular de la información haya otorgado su
autorización “en forma general o para cada caso particular”.
La Corte comparte la apreciación realizada por el Ministerio Público y algunos
de los intervinientes, en el sentido que los incisos cuarto y quinto del artículo
15, individualmente considerados, presentan un grado de ambigüedad que
requiere ser precisado. Empero, esta sola circunstancia no implica la
inexequibilidad de los apartados normativos, puesto que es posible acreditar su
armonía con la Constitución a partir de su interpretación sistemática con los
demás preceptos del Proyecto de Ley Estatutaria.
En primer lugar, la Corte encuentra que los incisos estudiados permiten el
acceso a la información por parte de los usuarios cuando (i) el dato resulte
pertinente para el adelantamiento de cualquier trámite ante una autoridad
pública o una persona privada; y (ii) para cualquier otra finalidad, distinta a la
previstas en las demás hipótesis contempladas en el artículo 15, en las que de
forma general o en cada caso particular, se haya obtenido autorización por
parte del titular de la información. Estas alternativas de acceso al dato
personal de contenido comercial y crediticio por parte de los usuarios deberán,
en primer lugar, ejecutarse con sujeción a los principios de administración de
datos personales y, en particular, al principio de circulación restringida. Por
ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se
derivan de la naturaleza de los datos y las disposiciones constitucionales y
legales aplicables, en especial el principio de temporalidad de la información y
la finalidad del banco de datos. Este último aspecto cobra una especial
importancia para la interpretación de las posibilidades de acceso analizado, en
la medida en que implica que las finalidades de acceso a la información para
los usuarios deberán estar vinculadas con los objetivos del archivo o banco de
datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar
con herramientas para el cálculo del riesgo crediticio.
Verificada esta condición, la Sala advierte que la presunta finalidad indefinida
que se predicaría de la comprensión aislada de los apartados normativos,
queda adecuadamente circunscrita. Así, el acceso por parte de los usuarios
está limitado a que la utilización del dato personal esté relacionada con el
propósito de la recolección de la información, que no es otro que el cálculo del
riesgo crediticio, basado en el análisis del modo en que el sujeto concernido
cumple con sus obligaciones financieras y comerciales. En consecuencia, otras
modalidades de acceso, que no estén vinculadas con la finalidad del banco de
datos, serán contrarias al principio de circulación restringida y, por lo tanto,
configurarán un incumplimiento de la norma estatutaria, susceptible de sanción
en los términos del artículo 18 del Proyecto de Ley.
La segunda condición que se infiere del análisis sistemático de los preceptos
analizados, está relacionada con la vigencia del principio de libertad en la

administración de datos personales que, como se ha insistido en esta decisión,
se concreta en la autorización que realiza el titular ante la fuente para la
incorporación de sus datos personales en archivos y bancos de datos
administrados por los operadores de información. A este respecto, debe
recabarse en que la autorización previa, libre, específica y suficiente es un
atributo que debe concurrir siempre (en ausencia de mandato judicial), en
función de la efectividad de la garantía de autodeterminación de la persona.
Además, debe reiterarse que el otorgamiento de consentimiento por parte del
titular no exime al sistema de administración del dato financiero de asegurar el
cumplimiento de los demás principios, como el de finalidad legítima,
compatible con aquella para la cual los datos han sido recogidos.
Igualmente, debe resaltarse que si bien la norma permite que el
consentimiento se preste “en forma general”, ello debe interpretarse de forma
compatible con el principio de libertad, razón por la que tal modalidad de
autorización deberá, en todo caso, manifestar la finalidad expresa respecto de
la cual se autoriza el acceso a los datos personales por parte del usuario. Así,
dicha generalidad se predicará de las distintas finalidades autorizadas, sin que
signifique la legitimidad de una cláusula abierta, que no identifique claramente
los propósitos para el citado acceso por los usuarios. En efecto, si bien la
norma hace referencia a “cualquier otra finalidad”, en todo caso exige que “se
haya obtenido autorización por parte del titular de la información.”
Conforme a las consideraciones expuestas, el artículo 15 resulta exequible.
Esta conclusión, sin embargo, no es incompatible con la obligatoriedad de
dotar de eficacia a los principios de administración de datos personales en cada
una de las hipótesis de acceso al dato personal, previstas en dicha disposición.
3.5. Peticiones de consultas y reclamos (Artículo 16)
El artículo 16 del Proyecto, que integra el Título V del mismo, se ocupa
de: (i) las peticiones y consultas a través de los cuales el titular del dato puede
acceder a la información que sobre sí repose en la bases de datos de contenido
financiero, crediticio o de servicios, con el propósito de conocerla, señalando
unos requisitos y términos y; (ii) las reclamaciones con miras a corregir o
actualizar la información y el procedimiento aplicable; y (iii) establece que
tales mecanismos directos, se prevén sin perjuicio de las acciones judiciales
que el orden jurídico prevé para la protección del hábeas data (acción de
tutela) o para la discusión de la obligación objeto del reporte (otras acciones
judiciales).
Las peticiones o consultas podrán ser formuladas, por el titular o sus
causahabientes, a través de cualquier medio (verbal o escrito), a condición de
que se mantenga un registro técnico de las mismas. El término para su
resolución, que deberá ser de fondo e integral [175], es de diez días hábiles
contados a partir de la fecha de su recibo, prorrogable a cinco más, cuando no
fuere posible atenderla dentro del primer plazo, previa justificación ante el
interesado de la prórroga, y precisando la fecha en que se atenderá.

Los reclamos, igualmente podrán ser presentados ante el operador del banco
de datos por los titulares del dato o sus causahabientes, cuando estimen que la
información que reposa en el registro individual correspondiente, no es
correcta o está desactualizada.
Las reclamaciones requieren forma escrita y la inclusión de requisitos básicos
como la identificación y dirección del solicitante, la descripción de los hechos
que originan el reclamo, y de ser necesario, los soportes correspondientes. Si
el escrito no es completo el operador está en el deber de poner en
conocimiento del interesado tal hecho, instándolo a que subsane las falencias.
Si transcurrido un mes no lo hace, se entiende que ha desistido de la
reclamación.
En cuanto al trámite, el reclamo debe ser incluido en el registro individual
correspondiente con la expresión “reclamo en trámite” que se mantendrá hasta
que el mismo sea resuelto, y entre tanto, formará parte de la información que
se suministre a los usuarios. Se contempla un término máximo de quince días
hábiles para atender la petición o reclamo, prorrogable hasta por ocho más,
cuando no fuere posible atender la solicitud en el plazo inicial, previa
información motivada de tal hecho al interesado.
Estos términos se aplican, así mismo, a los eventos en que el operador deba
dar traslado del reclamo a una fuente de información independiente, a fin de
que le suministre información con base en la cual aquél (el operador) atenderá
el reclamo. Cuando la solicitud se formula directamente ante la fuente podrá
ser resuelta por ésta, dando aviso de ello al operador a fin de actualizar el
registro individual con la existencia del “reclamo en trámite”.
El numeral 6° del artículo 16, contempla la posibilidad de acudir a los
mecanismos judiciales correspondientes, en el evento de que el concernido no
quede satisfecho con la respuesta obtenida del operador o de la fuente, en su
caso. Al efecto, establece la posibilidad de recurrir a la acción de tutela en
procura del amparo a su derecho fundamental al hábeas data, sin perjuicio del
agotamiento de otros mecanismos judiciales idóneos para debatir lo
relacionado con la obligación reportada como incumplida. Señala este precepto
que “la demanda deberá ser interpuesta contra la fuente de la información” la
cual una vez notificada de la misma procederá a informar al operador [176], a
efecto de que éste cumpla[177] con el deber de actualizar el registro individual
con la expresión “información en discusión jurídica”, adicionando la naturaleza
de esa discusión, anotación que permanecerá hasta que se produzca fallo en
firme. Este mismo procedimiento se aplicará cuando sea la fuente quien
interponga la demanda contra el titular de la información, en relación con la
información reportada y éste proponga excepciones de mérito.
Sobre la regulación de los mecanismos directos que la norma prevé
(peticiones, consultas y reclamos) observa la Corte que armoniza con las
necesidades de garantía integral del hábeas data (Art. 15 C.P.), en cuanto a

través de ellos se busca establecer un canal tendiente a efectivizar cada una de
las facultades que integran este derecho fundamental. En este orden de ideas,
a través de las peticiones y las consultas se materializa la prerrogativa de
conocer la información con miras a su actualización, en tanto que a través del
mecanismo de las reclamaciones se promueve la posibilidad de rectificar o
complementar los datos erróneos o incompletos, bien porque es posible
acreditar por parte del titular el pago de la obligación o la comprobación de
otros fenómenos jurídicos que inhiben el nacimiento de la obligación, como
sucede en caso de la incompetencia de la fuente para exigir el cobro
correspondiente.
La referencia a los causahabientes como sujetos legitimados para activar los
mecanismos de acceso a la información y a su actualización o rectificación,
resulta así mismo acorde con el contenido del derecho fundamental al hábeas
data, en razón a que la información crediticia o financiera que repose en bases
de datos respecto del causante, entraña un interés patrimonial o de otra
índole, que concierne de manera directa a sus herederos, y que puede resultar
relevante para el ejercicio de sus derechos sucesorales. Adicionalmente, debe
tenerse en cuenta que el acceso a la información personal por parte de los
causahabientes del sujeto concernido se explica en la necesidad de establecer
límites a las facultades de fuentes, operadores y usuarios, conforme se explicó
en esta sentencia, a propósito del análisis de constitucionalidad del literal a)
del artículo 5º del Proyecto de Ley.
La regulación de los mecanismos de petición, consulta y reclamación frente a
los operadores o a las fuentes de la información, constituye un desarrollo del
artículo 23 de la Constitución según el cual “el legislador podrá reglamentar su
ejercicio-del derecho de petición-ante organizaciones privadas para garantizar
los derechos fundamentales”,específicamente orientado a la salvaguarda del
derecho fundamental al hábeas data. El derecho de petición se erige así en un
medio imprescindible para una garantía plena del hábeas data [178] el cual se
ejerce frente a entidades públicas u organizaciones privadas.
En relación con el ejercicio del derecho de petición ante particulares la Corte ha
dicho: “(…) Cuando el derecho de petición se formula ante particulares, es
necesario separar tres situaciones: 1. Cuando el particular presta un servicio
público o cuando realiza funciones de autoridad. El derecho de petición opera
igual como si se dirigiera contra la administración. 2. Cuando el derecho de
petición se constituye en un medio para obtener la efectividad de otro derecho
fundamental, puede protegerse de manera inmediata. 3. Pero, si la tutela se
dirige contra particulares que no actúan como autoridad, este será un derecho
fundamental solamente cuando el Legislador lo reglamenta”[179].
A juicio de la Corte, la reglamentación que introduce el artículo 16 sobre estas
expresiones del derecho de petición en el ámbito específico del hábeas data,
atiende los elementos esenciales que conforman el ejercicio de este derecho
fundamental. En efecto, cumple la doble finalidad [180] que se le ha adscrito a
este derecho en el sentido de: (i) permitir a los interesados elevar peticiones o

solicitudes respetuosas a las entidades u organizaciones públicas o privadas
que participan en el proceso de administración de los datos personales;
y (ii) asegurar mediante la imposición de una obligación con cargo a las
organizaciones requeridas, la respuesta y/o resolución de dicha petición, de
manera oportuna, eficaz, de fondo y congruente con lo pedido [181].
De esa manera se preserva el núcleo esencial del derecho de petición en el
ámbito del hábeas data, al establecer los presupuestos para una resolución
pronta y oportuna de la cuestión. La respuesta, según lo ha dicho la
jurisprudencia debe cumplir con requisitos de oportunidad; debe resolverse de
fondo, de manera clara, precisa y congruente con lo solicitado y ser puesta en
conocimiento del peticionario[182], aspectos que son atendidos por la regulación
examinada. Sin embargo, sobre este particular la Corte advierte que aunque la
normatividad estatutaria no establece las consecuencias de la prosperidad de
la petición o reclamo, es evidente que el efecto jurídico de la comprobación de
una inexactitud en el dato personal concernido consiste en el deber del
operador de efectuar la actualización o rectificación, de conformidad con lo
previsto en el artículo 15 de la Carta Política. Esta consecuencia, empero, no
significa que una vez comprobada la irregularidad se genere una
responsabilidad civil inmediata a cargo del usuario o del operador, según sea el
caso, respecto de los perjuicios causados al titular de la información. En toda
circunstancia, deberá adelantarse el proceso de responsabilidad previsto por la
legislación civil, para que una vez surtidas las etapas correspondientes, la
autoridad judicial determine si hay lugar a declarar la existencia del daño y la
obligación correlativa de asumir los perjuicios causados.
En lo que atañe a la oportunidad de la respuesta, la regulación acoge el
parámetro al que, por regla general, acude la jurisprudencia, que al respecto
ha señalado que “[e]n relación con la oportunidad de la respuesta, esto es, con
el término que tiene la administración para resolver las peticiones formuladas,
por regla general, se acude al artículo 6º del Código Contencioso
Administrativo que señala 15 días para resolver. De no ser posible, antes de
que se cumpla con el término allí dispuesto y ante la imposibilidad de dar una
respuesta en dicho lapso, la autoridad o el particular deberá explicar los
motivos y señalar el término en el cual se realizará la contestación” [183]
Cabe destacar a este respecto, que el artículo 6 se refiere a los términos allí
previstos[184] como límites máximos con que cuenta la entidad requerida, por lo
que, para la resolución oportuna debe mediar un criterio de razonabilidad,
dentro de esos marcos, que consulte el grado de complejidad o de dificultad de
la solicitud, de tal manera que no siempre será necesario el agotamiento de los
máximos previstos en la norma.
De acuerdo con lo señalado, encuentra la Corte que la regulación de los
mecanismos de petición, consulta y reclamación respetan el contenido esencial
del derecho de petición, como medio para garantizar a plenitud el derecho
fundamental al hábeas data.

Especial consideración merece el numeral 6º del artículo 16 que hace
referencia a los mecanismos judiciales de defensa con que cuenta el titular de
la información para la protección de su derecho fundamental al hábeas data, y
para demandar justicia en relación con la obligación que se reporta como
incumplida.
Ninguna objeción merece el hecho de que se prevea que la existencia de unos
mecanismos directos no excluye la posibilidad de acceso a los medios de
defensa judicial que contempla el orden jurídico en los ámbitos, constitucional
y civil o comercial, en los términos previstos en los estatutos correspondientes.
Esto es apenas una reiteración de lo que constituye una consecuencia adscrita
al funcionamiento del sistema jurídico, y de su vocación de integralidad.
No obstante debe precisar la Corte que la expresión contenida en el numeral 6
del artículo 16 en el sentido que “La demanda deberá ser interpuesta contra la
fuente de la información (…)”, está referida únicamente a la hipótesis prevista
en el segmento que precede la expresión, es decir al proceso judicial
correspondiente-civil o comercial-tendiente a debatir lo relacionado con la
obligación reportada como incumplida. No puede entenderse referida tal
expresión a la acción de tutela, mencionada en el segmento inicial del numeral
6°, en razón a que una eventual demanda de tutela para la protección del
derecho fundamental al hábeas data puede dirigirse contra cualquiera de los
agentes que participan en el proceso de administración de datos, que haya
incurrido en vulneración de este derecho.
Lo anterior por cuanto la garantía integral del derecho fundamental al hábeas
data reclama corrección en la actuación, no solamente de la fuente de la
información, sino de los demás agentes que intervienen en el proceso de
administración del dato financiero. No en vano el proyecto contempla deberes
de garantía para los operadores (Art. 7°), para la fuente (Art. 8°) y para los
usuarios (Art. 9°). En consecuencia, resulta abiertamente lesivo del derecho al
hábeas data, limitar las posibilidades de su defensa judicial, a los hechos
imputables a la fuente de la información.
Con la aclaración anotada, la Corte declarará la exequibilidad del artículo 16
del proyecto examinado.
3.6. Vigilancia de los destinatarios de la ley (Arts. 17 a 20)
3.6.1. Función de vigilancia (Artículo 17)
La función de vigilancia sobre la conducta de los agentes que intervienen en el
proceso de administración de datos personales, se asigna a la
Superintendencia de Industria y Comercio, y a la Superintendencia Financiera
cuando la fuente, el operador o el usuario, sea una entidad vigilada por este
órgano.

Para el cumplimiento de esa específica función de vigilancia se confiere a
dichos órganos una serie de potestades, adicionales a las propias,
así: (i) impartir instrucciones, fijar criterios y señalar procedimientos sobre la
manera como deben cumplirse las disposiciones de la presente ley; (ii) velar
por el cumplimiento de las disposiciones de esta ley, de las normas que la
reglamenten y de las instrucciones impartidas; (iii) velar porque tanto los
operadores como la fuente cuenten con adecuados sistemas técnicos y de
seguridad que garanticen la actualización de los registros y el correcto uso de
la información; (iv) ordenar, a costa de los vigilados, la realización de
auditorías externas de sistemas para la verificación del cumplimiento de la
Ley; (v) ordenar, de oficio o a petición de parte, la corrección, actualización o
retiro de datos personales cuando fuere procedente, conforme a la ley. Cuando
fuere a petición de parte debe mediar reclamo previo, no atendido o negado,
por el operador o la fuente; (vi) iniciar las investigaciones administrativas
contra los operadores, fuentes y usuarios de la información, establecer la
responsabilidad administrativa derivada del incumplimiento de la ley, o de las
órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y
si es del caso, imponer sanciones u ordenar las medidas que resulten
pertinentes.
Examinadas las posiciones de los intervinientes se observa que uno de ellos
encuentra reparos a esta regulación. Se opone al control dual, con fundamento
en que ello permitiría la existencia de dos regímenes sancionatorios paralelos.
Sugiere la declaratoria de inexequibilidad del inciso 2° del artículo 17, a fin de
que quede radicado un control genérico a cargo de la Superintendencia de
Industria y Comercio.
Para el análisis de este precepto conviene recordar que la Constitución, tanto
en su parte dogmática como en su parte orgánica (Arts. 333, 334 y 335),
configuró un Estado con amplias facultades de intervención en la economía, las
cuales se materializan mediante la actuación concatenada de los poderes
públicos. Una de las expresiones de estas facultades es el denominado poder
de policía administrativa en materia económica, cuyo ejercicio supone, por una
parte, la actuación del Congreso de la República, pero también la actividad de
entidades que hacen parte de la Administración, las cuales ejercen las
funciones de inspección, vigilancia y control, a cargo del poder ejecutivo, sobre
las actividades o agentes económicos[185].
En relación con la libertad económica y la iniciativa privada el artículo 333
(inciso 3°) prevé que el Estado por mandato de la ley impedirá que se obstruya
o restrinja la libertad económica y evitará y controlará cualquier abuso que
persona o empresarios hagan de su posición dominante en el mercado
nacional.
Respecto de la actividad financiera, bursátil y aseguradora y de cualquier otra
relacionada con el manejo, aprovechamiento e inversión de los recursos
captados del público, el artículo 335 C.P. establece un régimen de intervención
estatal reforzada por tratarse de una actividad económica que compromete el

interés público[186], y adicionalmente el artículo 189.24 C.P. atribuye al poder
Ejecutivo específicas funciones de inspección, vigilancia y control sobre las
personas que realizan tal actividad. En esa medida, en este específico sector se
justifica una mayor restricción de las libertades económicas, como ha
reconocido la jurisprudencia constitucional [187], lo cual va aparejado a un
incremento de los poderes de las entidades estatales en ejercicio de la función
de policía administrativa.
Estas funciones de policía administrativa son ejercidas por organismos técnicos
con poderes de regulación y control como son la Superintendencia de Industria
y Comercio y la Superintendencia Financiera. La primera cumple con una
finalidad de fortalecimiento de los procesos de desarrollo empresarial y los
niveles de satisfacción del consumidor colombiano, a través del mejoramiento
de la calidad de bienes y servicios, a la vez que contribuye a garantizar que la
libre competencia como elemento esencial de la libertad de empresa, se
desarrolle en el marco de principios orientadores de esas libertades, como son
la prevalencia del bien común, el interés público y la protección de los
consumidores o usuarios de los bienes o servicios. Por su parte, la
Superintendencia Financiera desarrolla el propósito estatal de asegurar la
confianza en el sistema financiero, así como garantizar la transparencia de las
actividades realizadas por las entidades vigiladas, evitar la comisión de delitos,
en especial, relacionados con el lavado de activos, y proteger los intereses de
terceros de buena fe que pueden resultar lesionados por operaciones de
mercado irregulares, inseguras o inadecuadas.[188]
En esa medida la atribución de funciones de policía administrativa a las
Superintendencias Financiera y de Industria y Comercio, es una expresión del
control reforzado estatal sobre la actividad económica y los agentes que la
desempeñan ordenado por los artículos 189-24, 4334 y 335 constitucionales.
Adicionalmente promueve fines relevantes tales como el ejercicio equilibrado
de la libertad económica en un modelo de libre competencia, el sano ejercicio
de la actividad bancaria, financiera, bursátil y aseguradora, la protección de los
consumidores y usuarios de bienes y servicios, y en general la estabilidad
macroeconómica del país.
La relevancia de tales propósitos, desde el punto de vista del ordenamiento
constitucional, justifica la asignación de potestad de regulación y sancionadora,
en materia de manejo y administración de datos, a la Superintendencia
Financiera, y a la Superintendencia de Industria y Comercio, en relación con
los agentes sometidos a su control y vigilancia.
Sería inocua la consagración de unos principios que regulen la actividad de
administración de datos personales, así como de unos derechos y deberes de
los diferentes agentes que intervienen en ese proceso, si paralelamente, no se
establecen mecanismos que permitan la adopción de medidas eficaces para
desestimular y sancionar prácticas indebidas en el ejercicio del poder
informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que
ésta “forma parte de las competencias de gestión que constitucionalmente se
le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para
imponer una obligación o para regular una conducta con miras a lograr la
realización del interés general, el incumplimiento de ese mandato
correlativamente debe implicar la asignación de atribuciones sancionatorias
bien sea al mismo órgano que impuso la obligación o a otro distinto, con el
propósito de asegurar la vigencia del orden jurídico mediante la imposición de
los castigos correspondientes”.[189]
Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y
control, en materia de hábeas data, se radique en los organismos técnicos que
cumplen esa misma función en relación con la actividad nuclear que
desarrollan las instituciones y agentes controlados. Por el contrario, en razón
del principio de especialidad, tal opción ofrece mayores garantías de
efectividad. Además, la asignación de las facultades de regulación, control y
vigilancia a las Superintendencias de Industria y Comercio y Financiera, en
atención a la actividad que desarrolla la persona o ente vigilado, resulta ser
una consecuencia natural del carácter apenas sectorial del proyecto, referido al
dato financiero, crediticio, comercial y de servicios.
No obstante, debe anotarse que el ejercicio de cada una de estas funciones
implica, necesariamente, que las Superintendencias de Industria y Comercio y
Financiera, actúen de manera autónoma e independiente, a efectos de
asegurar la eficacia de los derechos fundamentales del titular de la información
financiera y crediticia, interferidos en los procesos de administración de datos
personales. Empero, como se señaló a propósito del análisis de
constitucionalidad del literal f) del artículo 5º, estas características pudieran
cuestionarse, a partir de lo previsto en el artículo 115 de la Constitución,
disposición que inscribe a las superintendencias a la Rama Ejecutiva y, por
ende, dependen del Presidente de la República, en tanto Jefe de Gobierno y
suprema autoridad administrativa.
Al respecto, la Corte debe señalar que dicha pertenencia orgánica de las
superintendencias al poder Ejecutivo no es incompatible con que respecto de
esas entidades se predique un margen de autonomía suficiente, que permita la
adecuada protección de los derechos fundamentales del titular. Esta conclusión
se basa en dos consideraciones diferenciadas. La primera está relacionada con
el deber que tienen las superintendencias de ejercer la función administrativa
con base en los principios de igualdad, moralidad, eficacia, economía,
celeridad, imparcialidad y publicidad (Art. 209 C.P.), condiciones todas ellas
que propugnan por la existencia de organismos de control, vigilancia y sanción
que lleven a cabo sus funciones bajo las premisas de la protección del interés
general y la vigencia de los derechos constitucionales (Art. 2 C.P.). La
segunda, tiene que ver con el hecho que el ordenamiento jurídico colombiano
ha dotado a las Superintendencias de Industria y Comercio y Financiera de un
carácter eminentemente técnico y de autonomía administrativa, financiera y
presupuestal,[190] condiciones éstas que concurren en la garantía de

imparcialidad e independencia, necesarias para la protección adecuada de los
derechos fundamentales del titular del dato personal.
Tales características de las Superintendencias de Industria y Comercio y
Financiera serán predicables en todos los escenarios de ejercicio de las
funciones de regulación, control y vigilancia que le adscribe la norma
estatuaria y, en especial, en lo que refiere a la responsabilidad de impartir
órdenes e instrucciones para el adecuado cumplimiento de la ley objeto de
análisis, en especial en lo relativo a la transmisión de datos personales de
contenido comercial y creditito a operadores extranjeros de bancos de datos.
En este caso particular, como se indicó en apartado anterior de esta sentencia,
las Superintendencias mencionadas deberán, en ejercicio de su independencia
y autonomía, verificar si la legislación aplicable al operador de destino cumple
con las garantías suficientes para la protección de los derechos del titular.
Como se observa, la concurrencia de condiciones de autonomía e
independencia de las Superintendencias de Industria y Comercio y Financiera,
es imprescindible para la adecuada protección de las prerrogativas
constitucionales predicables del sujeto concernido, en especial el derecho
fundamental al hábeas data. En consecuencia, la Corte considera necesario
condicionar la exequibilidad del artículo 17 del Proyecto de Ley Estatutaria, en
el entendido que las Superintendencias, en todo caso, deben actuar con
independencia y autonomía en su función de vigilancia.
En lo que respecta a los demás contenidos normativos de la disposición
analizada, se tiene que la naturaleza de las facultades atribuidas en los
numerales 1 a 6 del artículo 17, a las Superintendencias-Financiera y de
Industria y Comercio-, caen dentro del ámbito de las funciones de policía
administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo
(Art. 115 C.P.) , en tanto expresión de la potestad de dirección e intervención
del Estado en la economía (Art.334), y de intervención reforzada del Gobierno
en las actividades financiera, bursátiles y aseguradoras (Art. 335 C.P.).
En efecto, velar por (i) el cumplimiento de la normatividad relacionada con la
administración de datos (Num. 1, 2 y 4); (ii) la seguridad y actualización de los
registros (Nums. 3y 5); y (iii) ejercer la potestad disciplinaria cuando quiera
que los operadores, las fuentes y los usuarios incurran en incumplimiento de la
presente ley, o de las directrices impartidas con fundamento en ella (Num. 6),
constituyen atribuciones compatibles con las funciones de control y vigilancia
sobre el ejercicio de la libertad de empresa y de la actividad financiera bursátil,
en procura de prevenir un uso indebido de la información personal, y
garantizar mayores niveles de adhesión a la normatividad establecida para
preservar el derecho fundamental al hábeas data.
Conviene precisar que la adscripción legal de facultades de control y vigilancia,
incluso de naturaleza sancionatoria, a las Superintendencias Financiera y de
Industria y Comercio, no puede interpretarse como el desplazamiento o la
resignación de competencias que constitucional o legalmente le han sido

atribuidas a otros órganos institucionales de control. En tal sentido, sin
perjuicio de las funciones de vigilancia asignadas a las Superintendencias a que
alude el proyecto, órganos como la Defensoría del Pueblo, por ejemplo,
conservan a plenitud sus competencias constitucionales (Art. 282 C.P.) y
legales (Ley 24 de 1992) que le imponen velar por la promoción, ejercicio y
divulgación de los derechos humanos, y por ende, del derecho fundamental al
hábeas data.
En conclusión, resulta acorde con la Constitución la adscripción de facultades
control y vigilancia a las Superintendencias de Industria y Comercio y
Financiera, en materia de administración de datos personales, como
manifestación de específicos mandatos constitucionales de intervención en la
actividad económica y financiera, para asegurar los fines propios del Estado
social de derecho, entre los que ocupa un lugar preeminente la efectividad de
los derechos fundamentales.
No obstante, el desarrollo de esa actividad de vigilancia y control, cuando se
desarrolla en su dimensión sancionatoria, debe ceñirse a los principios de
legalidad, debido proceso y reserva legal.
3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19)
Los artículos 18 y 19 del proyecto concurren a establecer un sistema de
sanciones con el siguiente contenido:
Destinatarios. Son los operadores, las fuentes y los usuarios de información
países, que incurran en responsabilidad administrativa derivada del
incumplimiento de la ley de hábeas data o de las órdenes o instrucciones
impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).
Órganos de investigación y sanción. La Superintendencia de Industria y
Comercio, y la Superintendencia Financiera, cuando se trate de una entidad
sometida a su vigilancia.
Sanciones: se contempla una serie de sanciones con diverso nivel de
intensidad, aplicables a supuestos de hecho distintos, así:
Multas: pueden ser de carácter personal o institucional, con un tope máximo
de mil quinientos salarios mínimos mensuales legales vigentes al momento de
la imposición de la sanción. Se aplican por “violación de la presente ley, de las
normas que la reglamenten, así como por la inobservancia de las órdenes e
instrucciones impartidas” por la respectiva Superintendencia.
Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que
las generó.

Suspensión de actividades: se establece un límite máximo de seis (6)
meses, y se aplica en los siguientes eventos: a) Cuando la administración de la
información se estuviere ejecutando con violación grave de las condiciones y
requisitos previstos en la presente ley; b) Cuando se establezca la
inobservancia de las órdenes e instrucciones impartidas por la
Superintendencia para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos: se aplica cuando,
transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado
su operación técnica y logística, sus normas, y sus procedimientos a los
requisitos de ley, de conformidad con la resolución que ordenó la suspensión.
Cierre inmediato y definitivo de la operación de bancos de datos: se
aplica a los supuestos de administración de datos prohibidos.
Criterios de graduación de las sanciones (Art. 19). En cuanto resulten
aplicables, se contemplan los siguientes criterios agravantes de la
responsabilidad: (i) la dimensión del daño o peligro para los intereses
jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere
reportado para el infractor o para terceros; (iii) la reincidencia en la comisión
de la infracción; (iv) la resistencia, negativa u obstrucción a la acción
investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;
(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la
Superintendencia de Industria y Comercio”.
Como único criterio de atenuación de la responsabilidad se contempla: (i) el
reconocimiento o aceptación expresos, proveniente del investigado, sobre la
comisión de la infracción, efectuado antes de la imposición de la sanción a que
hubiere lugar.
Procedimiento: La única referencia que se encuentra en este título sobre el
procedimiento aplicable para investigar, hacer la imputación de responsabilidad
e imponer la sanción, es la prevista en el párrafo primero del artículo 18,
conforme al cual las Superintendencias podrán imponer a los vigilados las
sanciones previstas en la ley, “previas explicaciones de acuerdo con el
procedimiento aplicable”.
Examinadas las posiciones de los intervinientes sobre la regulación del sistema
sancionatorio, se observa que uno de ellos estima que el párrafo segundo del
artículo 18, que contempla las sanciones de multa de carácter personal e
institucional, es inexequible por violación de garantías vinculadas al debido
proceso como los principios de legalidad y tipicidad de la falta, y de reserva de
ley y proporcionalidad. A su juicio las conductas descritas en el segmento
normativo acusado “tienen un carácter indeterminado e indeterminable” lo cual
afecta los principios antes señalados.
Otro de los intervinientes, por su parte, solicita la inxequibilidad de todo el
régimen sancionatorio al considerar que viola el derecho al debido proceso, en

tanto otorga a las Superintendencias competencias ajenas a su ámbito de
inspección o vigilancia. Estima así mismo que se presenta vulneración al
principio de proporcionalidad en razón de la potestad que se otorga a los
órganos de vigilancia de imponer multas que considera excesivamente
cuantiosas.
Partiendo de los términos en que se efectúa la regulación al sistema de
sanciones y del debate propuesto por los intervinientes, la Corte debe
examinar fundamentalmente dos problemas: (i) Si la forma en que se regulan
las sanciones y los supuestos fácticos que las determinan, respetan los
principios de reserva de ley, de legalidad y de tipicidad que deben orientar el
régimen sancionatorio administrativo; (ii) si la omisión en el proyecto, de un
procedimiento específico para la determinación de responsabilidades y la
imposición de las sanciones correspondientes, afecta la constitucionalidad de la
regulación sancionatoria.
Para examinar la primera de las cuestiones planteadas, la Corte hará una
breve referencia a las reglas que ha establecido acerca del alcance de los
principios de reserva legal, legalidad y tipicidad, en el ámbito del derecho
administrativo sancionador, a las que confrontará el régimen de sanciones
previsto en el proyecto.
En relación con el principio de reserva de ley, ha expresado la Corte, que
del principio de legalidad propio del Estado de Derecho, en su acepción más
amplia, se deriva el postulado conforme al cual sólo la ley puede imponer
gravámenes, limitaciones o restricciones a las personas. De este postulado se
infiere que, sin perjuicio de las especiales facultades de regulación que la
Constitución o la ley asignen a determinados órganos del Estado, el
reglamento no puede ser fuente autónoma de obligaciones o restricciones para
las personas.[191]
Ha precisado que la reserva de ley en materia de derecho sancionatorio
administrativo existe para: (i) la definición de los elementos básicos de la
infracción, (ii) el procedimiento sancionador, (iii) la definición misma de las
sanciones ; y (iv) los entes encargados para imponerlas.[192]
En lo que concierne al principio de legalidad aplicable en el derecho
administrativo sancionatorio, la Corte ha destacado que el artículo 29 de la
Constitución Política hace referencia a un contenido material de las garantías
fundamentales que deben respetarse para aplicar sanciones de manera
legítima,[193] el cual es exigible en los diferentes ámbitos del derecho [194].
Al estudiar el principio de legalidad en materia sancionatoria, ha afirmado que
éste se encuentra integrado por tres elementos esenciales, los cuales guardan
entre sí una estrecha relación [195]: la lex praevia[196], la lex scripta[197] y la lex
certa[198].

Sin embargo, ha precisado, de manera reiterada, que el principio de legalidad
que rige en el derecho administrativo sancionador se aplica con menor
rigurosidad que en materia penal,[199] sin perjuicio de que los comportamientos
sancionables se encuentren descritos adecuadamente para dar previsibilidad y
claridad a las reglas de juego que rigen la vida en comunidad [200]. Esta
diferencia de matiz se ha justificado en razón a las particularidades de cada
una de las normatividades sancionadoras, a las disímiles consecuencias que
genera su aplicación, a los fines diversos que persiguen, así como los efectos
que producen sobre los asociados[201].
Por tanto, ha indicado que en materia de derecho administrativo sancionador,
el legislador puede establecer normas con un mayor grado de generalidad, que
no implican per se la vulneración del principio de legalidad, siempre y cuando
se establezca un marco de referencia cierto para la determinación de la
infracción y de la sanción en un caso concreto.
En este orden de ideas ha considerado admisible una técnica legislativa distinta
a la que opera en derecho penal, mediante la cual se acuda a clasificaciones
más o menos generales en las que puedan quedar subsumidos los diferentes
tipos de infracciones, siempre y cuando se establezcan “unos criterios que han
de ser atendidos por los funcionarios encargados de imponer la respectiva
sanción, criterios que tocan, entre otros, con la proporcionalidad y
razonabilidad que debe presentarse entre la conducta o hecho que se sanciona
y la sanción que pueda imponerse, lo que le permite tanto al administrado
como al funcionario competente para su imposición, tener un marco de
referencia cierto para la determinación de la sanción en un caso concreto” [202]
Para la Corte, en consecuencia, la flexibilidad que puede establecer el
legislador en materia de derecho administrativo sancionador es compatible con
la Constitución, siempre que esta característica no sea tan amplia que permita
la arbitrariedad de la administración. Un cierto grado de movilidad a la
administración para aplicar las hipótesis fácticas establecidas en la ley guarda
coherencia con los fines constitucionales de esta actividad sancionatoria
administrativa, en la medida que le permite cumplir eficaz y eficientemente
con las obligaciones impuestas por la Carta. Sin embargo, ha advertido que la
flexibilidad del principio de legalidad no puede tener un carácter extremo, al
punto que se permita la arbitrariedad de la administración en la imposición de
las sanciones o las penas[203].
El principio de legalidad en el derecho administrativo sancionador exige que
directamente el legislador establezca como mínimo: (i) los elementos básicos
de la conducta típica que será sancionada; (ii) las remisiones normativas
precisas cuando haya previsto un tipo en blanco o los criterios por medio de los
cuales se pueda determinar con claridad la conducta; (iii) la sanción que será
impuesta o, los criterios para determinarla con claridad”.[204]
De otra parte, uno de los principios esenciales comprendidos dentro del ámbito
del artículo 29 de la Constitución Política es el principio de tipicidad, que se

manifiesta en la“exigencia de descripción especifica y precisa por la norma
creadora de las infracciones y de las sanciones, de las conductas que pueden
ser sancionadas y del contenido material de las sanciones que puede
imponerse por la comisión de cada conducta, así como la correlación entre
unas y otras”.[205]
A partir de ello, la jurisprudencia [206] ha estimado que para que pueda
predicarse el cumplimiento del contenido del principio de tipicidad en el
derecho administrativo sancionador, deben concurrir tres elementos, a saber:
(i)

(ii)
(iii)

Que la conducta sancionable esté descrita de manera específica y
precisa, bien porque la misma esté determinada en el mismo cuerpo
normativo o sea determinable [207]a partir de la aplicación de otras
normas jurídicas;
Que exista una sanción cuyo contenido material esté definido en la ley;
Que exista correlación entre la conducta y la sanción;

Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos
que constituyen falta administrativa, no tienen por qué ser descritos con la
misma minuciosidad y detalle que se exige en materia penal, permitiendo así
una mayor flexibilidad en la adecuación típica”.[208]
En ocasiones, los elementos enunciados no se encuentran previstos en el
mismo instrumento normativo, sino que es preciso consultar el contenido de
otras disposiciones para especificar cuál es la conducta ordenada o prohibida o
cual es la sanción específica aplicable.
Procede la Corte a confrontar las reglas que fijan el contenido de los principios
de reserva legal, legalidad y tipicidad en el ámbito del derecho administrativo
sancionador, con la configuración del régimen disciplinario prevista en los
artículos 18 y 19 del Proyecto de Ley.
En lo que tiene que ver con las sanciones y los supuestos de hecho que las
generan la Corte constata lo siguiente:
La multa, que puede ser de carácter personal o institucional, hasta por el
equivalente a 1.500 salarios mínimos legales vigentes, se impone por: (i)
violación de la presente ley; (ii)“normas que la reglamenten”,(iii) así como por
la inobservancia de las órdenes e instrucciones impartidas por dicha
Superintendencia”.
La hipótesis (i) “violación de la presente ley”, debe ser complementada,
acudiendo a un criterio sistemático, con el contenido de los artículos 7° [209];
8°[210] y 9°[211] del Proyecto examinado, las cuales establecen las obligaciones
específicas que la ley impone a los diferentes agentes que participan en el
proceso de administración de datos personales (los operadores, las fuentes y
los usuarios), quienes son a su vez los destinatarios de la potestad disciplinaria

que la ley radica en las Superintendencias-de Industria y Comercio y
Financiera-.
Los preceptos que concurren a estructurar, de manera precisa y determinada,
la norma de conducta del tipo administrativo, contienen prescripciones
categóricas a cargo de los operadores del sistema, orientadas a salvaguardar
los diversos ámbitos que integra el derecho fundamental del hábeas data
(efectividad de las facultades de conocimiento, actualización y rectificación) de
las prácticas indebidas por parte de quienes detentan el poder informático. La
violación a esas prescripciones explícitamente definidas en la ley, es lo que
integra el supuesto de hecho de la sanción de multa contemplada en el párrafo
segundo del artículo 18.
De tal manera que en lo que concierne a la hipótesis “violación de la ley” de
hábeas data, como supuesto de hecho para la imposición de la sanción de
multa, la conducta que da lugar a la imputación de responsabilidad
administrativa es perfectamente determinable a partir de la integración de la
expresión mencionada del párrafo segundo del artículo 18, con el contenido
deontológico de los artículos 7, 8 y 9 de la misma norma estatutaria.
A través de esta técnica de remisión es posible definir los elementos básicos de
la conducta típica sujeta a sanción de multa, por lo que a juicio de la Corte, el
supuesto de hecho consistente en “violación de la ley” concordado con los
artículos 7, 8 y 9 de la norma estatutaria, respeta los contenidos de los
principios de reserva legal, legalidad y tipicidad, con el alcance que la
jurisprudencia le ha dado a los mismos en el ámbito del derecho administrativo
sancionador. En efecto, el tipo se complementa con disposiciones contendidas
en la propia ley, es consecuente con los atributos de previa, estricta y precisa
del principio de legalidad, en la medida que, como se indicó, la descripción
específica y precisa se obtiene a partir de la concordancia del artículo 18 con
otras disposiciones que señalan los deberes objeto de la infracción y se
presenta una correlación entre esa infracción y la sanción de multa.
Similares consideraciones se predican de las expresiones “normas que la
impartidas
por
dicha
Superintendencia”,
que
configuran
los
supuestos (ii) y (iii), generadores de multa. La remisión que hace el párrafo
segundo del artículo 18, a través de estas expresiones se fundamenta, en
cualquier caso, en la violación de los preceptos que integran la ley estatutaria,
los cuales son desarrollados y especificados en sus aspectos puntuales,
técnicos y específicos, bien por el legislador reglamentario o por las
Superintendencias, en ejercicio de su función de vigilancia. En este caso, no
resulta acertado predicar que existe una vulneración del principio de tipicidad
sancionatoria, puesto que las sanciones se podrán imponer sólo por violación
de la normatividad estatuaria, la cual, como se indicó anteriormente,
constituye una hipótesis objeto de especificación a través de la interpretación
sistemática de los distintos preceptos de la ley, que imponen deberes y
obligaciones a operadores, fuentes y usuarios. Es claro que tanto las normas

reglamentarias como las órdenes e instrucciones que impartan las
Superintendencias, están limitadas por el contenido de dichos deberes y
obligaciones. Por ende, la inclusión de esos preceptos como parte del
parámetro de identificación de la falta no viola los principios de tipicidad y
legalidad predicables de la misma.
Por último debe insistirse que en el ámbito propio del derecho administrativo
sancionador, la tipicidad de la falta se acredita cuando la conducta
sancionable esté descrita de manera específica y precisa, bien porque la misma
esté determinada en el mismo cuerpo normativo o sea determinable, a partir
de la aplicación de otras normas jurídicas. [212]En el caso propuesto, el listado de
obligaciones y deberes predicables de los operadores, las fuentes y los
usuarios, que ofrece la legislación estatutaria otorgan un marco
suficientemente definido para la identificación precisa de las faltas.
Contrario a lo que señala alguno de los intervinientes, la norma de sanción en
el caso de la multa es perfectamente determinable puesto que el precepto
establece un límite máximo (1.500 salarios mínimos mensuales legales), y
unos criterios de naturaleza objetiva y subjetiva, para su graduación (Art. 19),
atendidas las circunstancias del caso concreto. Como criterios objetivos
establece la dimensión del daño y el beneficio económico obtenido con la
infracción; como criterios subjetivos contempla aptitudes como la reincidencia,
la renuencia u obstrucción a la acción de vigilancia, y la aceptación de
responsabilidad durante la investigación. La conjugación del elemento del
límite máximo de la sanción con los criterios auxiliares (objetivos y subjetivos)
para la graduación, proveen a la autoridad administrativa de los elementos
suficientes para la determinación de la sanción, a la vez que permiten al
destinatario del control prever, de manera razonable, las posibles
consecuencias de su actuar.
La sanción consistente en suspensión de las actividades del banco de datos,
hasta por un término de seis (6) meses, se aplica frente al siguiente supuesto
fáctico: cuando la administración de la información se estuviere llevando a
cabo con violación grave de las condiciones y requisitos previstos en la ley, o
con inobservancia de las órdenes e instrucciones impartidas por la
Superintendencias (Financiera y de Industria y Comercio) para corregir tales
violaciones.
Sobre esta modalidad sancionatoria, observa la Corte que su configuración
incorpora los elementos básicos de la infracción, el contenido material de la
sanción, los criterios necesarios para su determinación, e involucra una
correlación entre la conducta y la sanción, en el grado de precisión que es
permitido para el derecho administrativo sancionador. En efecto, a pesar de
que el supuesto de hecho no describe de manera pormenorizada las hipótesis
específicas que podrían generar este tipo de sanción, adopta como referente
las condiciones y requisitos en que, conforme a la ley, debe desarrollarse la
actividad de administración de datos personales, lo que implica una nueva
remisión implícita a los deberes que la ley impone a los vigilados para que

interactúen de manera legítima en el proceso de administración de datos
(Arts.7, 8 y 9). No obstante, en esta hipótesis el endurecimiento de la
respuesta sancionatoria se relaciona con la “gravedad” de la violación,
elemento normativo que debe ser concretado apelando a los criterios previstos
en el artículo 19 del Proyecto de Ley. En cuanto a la sanción, establece su
naturaleza y un límite máximo de duración, lo que la torna previsible y
susceptible de concreción.
Conviene precisar que al incluir dentro de este supuesto fáctico
la “inobservancia de las órdenes e instrucciones impartidas por las
Superintendencias (…) para corregir tales violaciones”, no se está
contemplando un supuesto normativo que permita a las Superintendencias
crear, de manera autónoma, infracciones a partir del reglamento o de las
instrucciones o directivas administrativas. El referente en este evento sigue
siendo la ley, en cuanto las órdenes o instrucciones se orientan a exigir el
cumplimiento de la misma, o como lo dice el precepto a “corregir tales
violaciones”.
La sanción de cierre o clausura de operaciones del banco de datos se aplica en
el supuesto fáctico en que, transcurrido el término de suspensión, la institución
o entidad sancionada no hubiere adecuado su operación técnica y logística, y
sus normas y procedimientos a los requisitos de ley, de conformidad con lo
dispuesto en la resolución que ordenó la suspensión.
Es este un supuesto en el que se sanciona la persistencia en la violación de la
ley de hábeas data financiero en lo que concierne a la adecuación de la
operación técnica y logística para el cumplimiento de sus mandatos. Lo que se
castiga de manera más drástica en esta hipótesis sancionatoria, no es el
incumplimiento de una resolución de la Superintendencia correspondiente, sino
la continua y persistente sustracción del operador, la fuente o el usuario, a los
deberes que la ley les impone (Arts 7° , 8° y 9°), específicamente en materia
de adecuación técnica, logística, normativa y procedimiental para el
cumplimiento adecuado de la ley, cuando ha mediado ya una sanción. Los
numerales 4, 6 y 7, del artículo 7° de la Ley, contemplan precisos mandatos
para los operadores en esta materia. A su vez, los numerales 1° y 4° del
artículo 8° prevén deberes de adecuación técnica, logística y normativa para la
fuente, en tanto que los numerales 3° del artículo 9° los contemplan para los
usuarios. De tal manera que la fuente de la sanción continúa siendo la
normatividad estatutaria, no la resolución, la cual se ha proferido para exigir el
cumplimiento de la ley, cuya inobservancia persiste.
No puede aducirse válidamente la vulneración de la garantía del non bis in
idem, aplicable también en el ámbito del derecho administrativo sancionador,
puesto que la reacción más drástica que incorpora esta sanción se funda en la
ocurrencia de nuevos hechos, posteriores a la primera sanción, que configuran
así mismo violación al régimen de hábeas data financiero.

Por consiguiente, encuentra la Corte que la sanción consistente en cierre o
clausura del banco de datos, cuando luego de transcurrido el término de la
suspensión no se hubiere adecuado la operación a los requerimientos técnicos,
logísticos, normativos o procedimentales, responde a las exigencias básicas de
los principios de reserva legal, legalidad y tipicidad, en la medida que define
los elementos básicos de la infracción, cuyo referente es la propia ley de
hábeas data, determina el contenido material de la sanción y muestra una
correlación entre la conducta y la naturaleza de la sanción.
Por último, el artículo 18 de la Ley contempla la sanción más drástica
consistente en el “cierre inmediato y definitivo de la operación” cuando quiera
que se establezca la administración de datos prohibidos.
Sobre esta última modalidad sancionatoria, contemplada en el inciso final del
artículo 18, precisa la Corte que debe ser interpretada en concordancia con el
enunciado de esta misma disposición, según el cual los órganos de vigilancia
podrán imponer la sanción a los destinatarios del control “previas explicaciones
de acuerdo con el procedimiento aplicable”, lo que implica que el carácter
inmediato y definitivo del cierre debe efectuarse una vez que, mediante el
debido proceso aplicable, en el que se de la oportunidad de defensa al
investigado, se establezca el hecho que genera el reproche: la administración
de datos prohibidos. Este elemento de la norma de conducta que genera la
sanción, es susceptible de determinación a partir de los principios que orientan
el proceso de administración de datos personales (Art. 4°).
Con la precisión efectuada, para la Corte esta sanción responde a las
exigencias básicas de reserva de ley, legalidad y tipicidad en el grado exigido
para el ámbito administrativo sancionador, en cuanto los elementos básicos de
la infracción se pueden deducir de los mandatos de la ley (la administración de
datos con violación de los principios que guían la actividad de recolección,
tratamiento y circulación de datos personales),se establece de manera clara el
contenido material de la sanción, y existe una correlación entre la norma de
conducta y la norma de sanción. El carácter particularmente drástico de la
sanción se funda en que en la base de la infracción subyace el desconocimiento
de las reglas básicas y los principios mínimos que orientan el proceso de
En lo que tiene que ver con el procedimiento para imponer las sanciones, la
Corte parte de advertir que uno de los elementos que integran el principio de
reserva legal en materia de derecho sancionatorio administrativo, y que
constituye una exigencia del debido proceso, es la previsión por el legislador de
un procedimiento que ofrezca certeza sobre las reglas de juego aplicables para
la investigación, efectuar la respectiva imputación de responsabilidad, e
imponer la correspondiente sanción al infractor, si a ello hubiere lugar. Este
procedimiento debe garantizar, a través de mecanismos idóneos, un adecuado
ejercicio del derecho de defensa.

Pues bien, examinado el contenido integral de la norma estatutaria, la única
referencia que ésta hace al procedimiento para el ejercicio de la potestad
sancionatoria, es la prevista en el enunciado del artículo 18, conforme al cual,
las sanciones a los operadores, fuentes y usuarios del sistema se impondrán
por la Superintendencia de Industria y Comercio y la Superintendencia
Financiera, “previas explicaciones de acuerdo con el procedimiento aplicable”.
A juicio de la Corte, el enunciado del artículo 18 contempla una remisión a los
procedimientos que en materia correctiva o sancionatoria, referida a otras
competencias, aplican los órganos a los que se atribuye la potestad
sancionatoria en el ámbito específico del hábeas data. En este sentido el
procedimiento aplicable para el ejercicio de la potestad sancionatoria, en el
ámbito del hábeas data, por parte de la Superintendencia de Industria y
Comercio, sería el previsto en el Decreto Extraordinario No. 2153 de
1992, “Por el cual se reestructura la Superintendencia de Industria y Comercio
y se dictan otras disposiciones”. Este estatuto prevé un procedimiento para
determinar si existe una infracción a las normas de promoción a la
competencia y prácticas comerciales restrictivas, [213] que por remisión del
artículo 18 sería el aplicable para detectar y sancionar las infracciones a la ley
de hábeas data financiero.
En lo que concierne a la Superintendencia Financiera, el artículo 208 del
Régimen Financiero y Cambiario, sustituido por el artículo 45 de la Ley 795 de
2003, contempla un procedimiento minucioso de carácter sancionatorio,
aplicable “a las entidades vigiladas por la Superintendencia Bancaria, así como
a los directores, administradores, representantes legales, revisores fiscales u
otros funcionarios o empleados de éstas”[214].
Los mencionados son los “procedimientos aplicables” a que remite el enunciado
del artículo 18 de la Ley de hábeas data. Ello sin perjuicio, de que a futuro, en
ejercicio de la cláusula general de competencia que la Constitución reconoce al
legislador, éste configure un procedimiento específico para investigar, imputar
responsabilidad e imponer las sanciones derivadas de la infracción a la
normatividad estatutaria de hábeas data financiero.
En conclusión, encuentra la Corte que el régimen sancionatorio previsto en los
artículos 18 y 19 de la Ley de hábeas data respeta, de manera general, los
principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad
exigible en el derecho administrativo sancionador. Los preceptos examinados,
con las remisiones y concordancias señaladas,(i) definen los elementos básicos
de las infracciones que generan sanción y los criterios para su
determinación; (ii) establecen
el
contenido
material
de
la
sanción; (iii) permiten establecer una correlación entre el contenido de la
norma de conducta y la norma de sanción; (iv) establecen-vía remisión-un
procedimiento establecido en normas con fuerza material de ley;
y (v) determina los órganos encargados del ejercicio de la potestad
sancionatoria.

Por consiguiente, la Corte declarará la exequibilidad de los artículos 18 y 19 del
proyecto de ley examinado, con excepción de la expresión “normas legales que
la reglamenten, así como por la inobservancia de las órdenes e instrucciones
impartidas por dicha Superintendencia” contenidas en el párrafo segundo del
artículo 18.
3.6.3. Régimen de transición para las Entidades de Control (Artículo 20)
Este precepto prevé un término de seis meses de transición para que los
órganos a los cuales se atribuye la función de inspección y vigilancia sobre el
cumplimiento de la Ley, asuman las funciones correspondientes. El legislador
provee una justificación para la adopción de esta medida consistente en que
dentro de ese lapso el Gobierno Nacional adoptará las medidas necesarias para
adecuar la estructura de las Superintendencias de Industria y Comercio, y
Financiera dotándolas de la capacidad presupuestal y técnica necesarias para
cumplir con las funciones que la norma estatutaria les asigna.
Esta previsión constituye una expresión del ejercicio legítimo de la libertad de
configuración legislativa en cuanto respeta límites de razonabilidad y
proporcionalidad. En efecto, se trata de una medida orientada a promover una
finalidad constitucionalmente legítima como es la de crear las condiciones
técnicas y operativas indispensables para que el sistema de protección del
hábeas data financiero, opere de manera eficaz.
La idoneidad y la necesidad de la medida orientada a promover la mencionada
finalidad, emergen del contenido mismo de la ley, particularmente de la
regulación de los deberes que se imponen a los operadores, a la fuente y a los
usuarios de los bancos de datos, y de las consecuencias de su incumplimiento.
En efecto, los artículos 7, 8 y 9 de la Ley conceden una gran importancia a los
aspectos técnicos, operativos y procedimentales como instrumentos para
garantizar la efectividad de las garantías que integran el derecho fundamental
al hábeas data, al punto la indebida adecuación de la operación técnica,
logística, normativa y procedimental, puede conllevar al cierre o clausura de
operaciones del banco de datos.
Por consiguiente, encuentra la Corte razonable que, en aras de una mayor
efectividad del derecho fundamental al hábeas data, se establezca un término
de transición a fin de que tanto los agentes que intervienen en el proceso de
administración de los datos personales, como los organismos encargados de su
vigilancia y control, realicen los ajustes administrativos, presupuestales y
técnicos necesarios que concurran a garantizar la correcta operatividad del
sistema. La Corte, por ende, declarará su constitucionalidad.
3.7. Disposiciones finales (Arts. 21 y 22)
3.7.1. Régimen de transición (Artículo 21)

El artículo 21 del Proyecto de Ley establece dos contenidos normativos
distintos, que deben analizarse separadamente. El primero de ellos establece
que para el cumplimiento de la norma estatutaria las personas que, a la fecha
de su entrada en vigencia ejerzan alguna de las actividades en ella reguladas,
tendrán un plazo de hasta seis meses para adecuar su funcionamiento a dicha
normatividad. Esta previsión, en criterio de la Corte, no plantea mayores
debates en cuanto a su constitucionalidad. En efecto, conforme a los
argumentos acabados de expresar respecto del artículo 20 del Proyecto de Ley,
es del todo razonable que el legislador estatutario, en ejercicio de su amplia
competencia de producción normativa, establezca plazos de adaptación para el
cumplimiento adecuado de la ley.
El segundo contenido normativo dispone un grupo de reglas de transición,
relacionadas con la aplicación de términos especiales de caducidad del dato
financiero negativo, diferenciadas en razón a las condiciones de la mora del
sujeto concernido. Así, la norma establece los siguientes parámetros:
a. Los titulares de información que estuvieren al día en el pago de sus
obligaciones a la fecha de entrada en vigencia de la norma estatutaria y
cuya información negativa hubiere permanecido por lo menos un año,
contado a partir del pago de las obligaciones, serán beneficiarios de la
caducidad inmediata de la información negativa. En caso que el dato
financiero negativo de estos titulares no hubiere cumplido un año de
reportado, permanecerá mientras se cumpla ese plazo, contado también
a partir del pago de la obligación.
b. Los titulares de la información que estuvieren en mora en el pago de sus
obligaciones y que asumieren voluntariamente las mismas dentro de los
seis meses siguientes a la entrada en vigencia de la norma estatutaria,
les será aplicable un término de caducidad del dato financiero negativo
de un año, contado a partir de la fecha de pago de la obligación.
c. El beneficio consistente en la concesión de plazos especiales de
caducidad del dato financiero negativo se perderá en caso que el titular
de la información incurra nuevamente en mora. En este caso, se aplicará
el plazo ordinario previsto en el artículo 13 del Proyecto de Ley.
El Procurador General y un grupo de intervinientes solicitan a la Corte que
declare la exequibilidad de este apartado normativo. En su criterio, el legislador
estatutario puede válidamente establecer beneficios de esta naturaleza, los
cuales pertenecen al amplio margen de configuración, tienen una naturaleza
excepcional y, por ende, son justificados en el ámbito propio del régimen de
transición. Agregan que el precepto tiene un propósito definido, consistente en
la promoción del saneamiento de la cartera de las instituciones comerciales y
de crédito, objetivo que es constitucionalmente legítimo. A su vez, la norma es
compatible con el cálculo adecuado del riesgo financiero, pues los datos
estarían sometidos a criterios de veracidad y actualidad, puesto que el
requisito para la aplicación del régimen es la acreditación del pago de la

obligación. Además, los usuarios de la información cuentan con otros
parámetros para la determinación del cálculo de riesgo, distinto al tiempo de
mora en el pago de las obligaciones. Por último, las condiciones impuestas no
imponen tratamientos discriminatorios en contra de los deudores cumplidos,
pues no extiende sus prerrogativas a favor de los deudores morosos. En todo
caso, el titular deberá cumplir con el pago de las obligaciones para hacerse
beneficiario de la medida de transición.
Otro grupo de intervinientes considera que el contenido normativo es
inconstitucional. Advierten que el precepto es contrario al artículo 335 de la
Carta, que define a las actividades de intermediación financiero como de
interés público, y al artículo 20 C.P. que confiere a los usuarios del dato
personal el derecho a recibir información veraz e imparcial.
El reproche constitucional se funda en considerar que la estabilidad del sistema
financiero depende de que las instituciones de crédito cuenten con información
veraz e imparcial sobre sus clientes potenciales. Por ende, la confianza y
seguridad del sector está sustentado en que los recursos sean distribuidos de
forma eficiente, esto es, a quienes ofrezcan mayores garantías de
cumplimiento en el pago de las obligaciones. El adecuado cálculo del riesgo
financiero, en ese sentido, sustenta el buen funcionamiento del sistema
crediticio en su conjunto.
Para los intervinientes, los beneficios previstos en la norma analizada afectan,
de forma desproporcionada, el bien constitucional de la estabilidad financiera y
el derecho de la información del que son titulares las entidades de crédito. A su
juicio, la mencionada estabilidad sólo se logra a partir de un cálculo adecuado
del riesgo, que a su vez está supeditado a que la información financiera
negativa permanezca en los bancos de datos por un término razonable, como
lo ha establecido la jurisprudencia constitucional. Un plazo como el previsto por
el régimen de transición, que es apenas de un año, no es razonable para los
efectos de la determinación del nivel de riesgo.
Por último, ponen de presente que la norma restringe intensamente los
derechos mencionados e, igualmente, no responde a ninguna finalidad
constitucional legítima. Con base en un grupo de estudios económicos
concluyen que el adecuado cálculo del riesgo crediticio fortalece el mercado
financiero y, en consecuencia, le permite tener mayor profundización y
manejar los recursos de forma eficiente. Por lo tanto, contrario a lo
considerado por el Congreso al momento de incluir el beneficio, la norma no
democratiza el crédito sino que, antes bien, lo restringe. Así, dado que el
régimen de transición no proporciona elementos para expandir el crédito, no
hay razones para pensar que promueva el crecimiento económico. Finalmente,
en cuanto a la finalidad de recuperación de cartera, los intervinientes señalan
que si bien podría tener algún impacto-incierto, en tanto no se han
implementado políticas en ese sentido-este beneficio no tiene una entidad tal
que permita afectar desproporcionadamente el bien constitucional de la
estabilidad financiera.

Para resolver acerca de la constitucionalidad del precepto, la Corte considera
necesario delimitar el alcance del mismo y sus consecuencias. Así, se observa
que la medida propuesta por el legislador, se inserta en un régimen de
transición y pretende otorgar un beneficio a aquellas personas que estuvieron
en mora en el periodo inmediatamente anterior a la vigencia de la ley, o
continúan en mora pero asumen voluntariamente sus obligaciones en un plazo
breve, luego de la vigencia de la ley, beneficio consistente en la aplicación de
un término especial de caducidad de un año, contado a partir del pago de la
obligación. Se trata, en este sentido, de una medida que (i) está relacionada
con la transición de un modelo no regulado de administración de datos
personales, a otro reglado, respecto del cual el legislador estatutario ha
considerado necesario fijar un esquema de caducidad especial del dato
negativo, favorable a los intereses de los sujetos concernidos, en tanto busca
establecer condiciones equitativas ab initio para la contabilización del término
de permanencia de la información financiera desfavorable al amparo del nuevo
régimen; (ii) tiene carácter excepcional, puesto que opera una sola vez, luego
de la entrada en vigencia de la norma estatuaria; (iii) tiene carácter
cualificado, en la medida en que se fundamenta, en todos los casos, en la
acreditación del pago voluntario de la obligación en mora; (iv) no establece
discriminaciones injustificadas entre los sujetos concernidos, pues se aplica
bajo el supuesto que se trata de deudores cumplidos, quienes asumen
voluntariamente el pago de sus obligaciones y, por lo mismo, son beneficiarios
de un término homogéneo de permanencia de la información financiera
negativa.
El propósito de esta medida fue definido expresamente por el legislador al
momento de integrar el contenido normativo al Proyecto de Ley. Así, en el
informe de ponencia para primer debate en Cámara de Representantes, se
indicó que la adición de los incisos analizados responde “al objetivo de generar
un incentivo para aquellos deudores del sistema financiero que se encuentren
al día a la entrada en vigencia de la presente ley, o que estando en mora se
pongan al día con sus obligaciones dentro de los seis (6) meses siguientes a la
entrada en vigencia de la ley. De esta forma se busca la democratización del
crédito, la recuperación de la cartera por parte del sector financiero y el
crecimiento de la economía. Considero que la mejor forma de apoyar e
incentivar a los diferentes sectores de la economía nacional es otorgando
crédito.”[215]
De acuerdo con esta comprobación, se tiene que la finalidad de la disposición
es establecer un término especial de caducidad del dato financiero negativo,
que opere como una medida de intervención en el mercado de crédito, dirigida
a su democratización, la recuperación de la cartera en mora y,
consecuentemente, el desarrollo económico. Se trata entonces, de una medida
legislativa de intervención en la economía, contenida en una norma estatutaria
dirigida a establecer el régimen de administración de datos personales. Por
ende, la constitucionalidad del precepto dependerá de la respuesta a dos
problemas jurídicos definidos. En primer lugar, deberá establecer si el

legislador estatutario estaba facultado constitucionalmente para prever una
norma de esa naturaleza. En segundo término, la Sala tendrá que determinar
si el contenido concreto de la medida legislativa cumple con las condiciones
fijadas por la Carta Política para la legitimidad de los instrumentos de
intervención económica dispuestos por el Congreso.
Respecto al primer tópico, en distintos apartados de esta sentencia se ha
señalado que la fijación de términos de caducidad del dato financiero negativo
es un asunto que tiene reserva de ley estatutaria, en cuanto regula aspectos
estructurales del derecho fundamental al hábeas data. Es con base en esta
consideración que este Tribunal ha declarado la inexequibilidad de normas de
similar naturaleza a la ahora estudiada, contenidas en leyes ordinarias.
Esta doctrina fue propuesta por la Corte en la sentencia C-384/00, que analizó
varias disposiciones de la Ley 510/99, entre ellas el artículo 114, norma que
señalaba algunas directrices sobre (i) la autorización del titular como requisito
para la inclusión de información en centrales de riesgo crediticio; (ii) la
exigibilidad de tarifas para el acceso a la información financiera por parte del
titular; (iii) la obligación que el dato concernido respondiera a criterios de
veracidad y actualidad; y (iv) la caducidad inmediata de la información
financiera negativa para aquellos deudores que dentro de los seis meses
siguientes a la vigencia de la ley, se pusieran al día en sus obligaciones,
independiente del monto de la obligación y de si el pago se producía judicial o
extrajudicialmente. Para la Corte la norma resultaba inexequible, puesto que
establecía reglas estrechamente relacionadas con el ejercicio de las facultades
constitucionales de conocimiento, actualización y rectificación de información
personal concernida en bases de datos, lo que significaba el desarrollo de
aspectos pertenecientes al núcleo esencial del derecho al hábeas data. Así, en
relación específica con el parágrafo que preveía la caducidad inmediata a
determinado grupo de deudores, la Corte insistió en que “[l]a disposición
permite a la Superintendencia Bancaria fijar límites o pautas respecto de los
datos que se pueden registrar y ceder, y, finalmente, consagra disposiciones
relativas a la caducidad excepcional del dato financiero, únicamente respecto
de deudores morosos que se pongan al día en el pago de sus obligaciones,
dentro del término perentorio fijado por la disposición. El anterior contenido
regulante, tiene implicaciones directas con el núcleo esencial del derecho de
habeas data, pues involucra de lleno la facultad de las personas para “conocer,
actualizar y rectificar las informaciones que se hayan recogido sobre ellas en
bancos de datos” (Subrayas no originales).
Esta regla fue reiterada por la Corte en la sentencia C-729/00, que decidió la
inexequibilidad del artículo 110 de la Ley 510/99. Este precepto establecía un
grupo de reglas sobre caducidad del dato financiero negativo, basadas en el
tiempo de mora y el monto de la obligación. [216] Con base en lo dispuesto en la
sentencia C-384/00, esta Corporación consideró que la regulación propuesta
constituía un desarrollo de las facultades de conocimiento, actualización y
rectificación de la información personal contenida en archivos y bases de

datos, asuntos pertenecientes al núcleo esencial del derecho al hábeas data y,
por ende, pertenecían a la reserva de ley estatutaria.
La Corte tuvo oportunidad de pronunciarse de forma más específica sobre el
vínculo entre la fijación de reglas que imponen términos de caducidad especial
del dato financiero negativo y la reserva de ley estatutaria, en la sentencia C687/02, que declaró la inexequibilidad del artículo 19 de la Ley 716/01, [217] que
reproducía el mismo contenido normativo previsto en el parágrafo del artículo
114 de la Ley 510/99. En este caso, la Corte reiteró el precedente contenido en
los fallos C-384/00 y C-729/00, a fin de concluir que las normas que
establecían reglas de desarrollo a asuntos propios del contenido esencial del
derecho fundamental al hábeas data tenían carácter estatutario.
Sin embargo, la Corte asumió el estudio particular del argumento planteado
por el Procurador General, en el sentido que el establecimiento de un término
de caducidad del dato financiero negativo no implica una restricción,
condicionamiento o limitación del derecho fundamental al hábeas data sino
que, antes bien, confería una garantía suplementaria, razón por la cual no
debía sujetarse a la reserva de ley estatutaria. Ante este cuestionamiento, el
Pleno de esta Corporación consideró que el establecimiento de un término de
caducidad del dato financiero negativo era uno de los aspectos estructurales
del derecho al hábeas data, puesto que (i) establece las condiciones para que
el dato pueda ser removido, lo que está intrínsecamente con la facultad de
actualización de la información personal; (ii) impone una restricción del
derecho a circular datos personales, prerrogativa que se predican de los
operadores de la información personal de contenido crediticio; y (iii) implica
una limitación al derecho a recibir información veraz e imparcial por parte de
las instituciones de crédito, lo que a su vez tiene efectos en la preservación de
la estabilidad financiera, comprendida como bien constitucionalmente
protegido. En ese sentido, la determinación de un término de caducidad del
dato financiero negativo pondera los derechos de los titulares de la
información, en especial el “derecho al olvido”, identificado por la doctrina
constitucional como una de las barreras al abuso en el ejercicio del poder
informático, y los derechos de los establecimientos de crédito, quienes
representan el interés general de la estabilidad financiera, de circular datos
personales y recibir información imparcial.
Los argumentos expuestos permiten a la Corte concluir que la fijación de
términos especiales de caducidad del dato financiero negativo es un asunto
intrínsecamente relacionado con el desarrollo de las facultades de
conocimiento, actualización y rectificación del dato personal, las cuales
integran el contenido esencial del derecho al hábeas data. Así, en relación con
el primer problema jurídico planteado en este apartado, se tiene que el
legislador estatutario estaba no sólo facultado para prever previsiones de esta
naturaleza, sino que las mismas hacen parte de su competencia exclusiva. Por
ende, superado este nivel de análisis, pasa la Corte a resolver la segunda de
las problemáticas planteadas.

La intervención del Estado en la economía se sustenta en un mandato
constitucional expreso. El artículo 334 Superior le confiere la dirección general
de la misma, la cual trae como consecuencia la posibilidad de injerencia, por
intermedio de la ley, en la explotación de los recursos naturales, en el uso del
suelo, en la producción, distribución, utilización y consumo de los bienes, y en
los servicios públicos y privados. Estos actos de intervención, empero, tienen
carácter cualificado, pues deben estar dirigidos a un conjunto de propósitos,
definidos por la Carta Política y relacionados con la racionalización de la
economía, el mejoramiento de la calidad de vida de los habitantes, la
distribución equitativa de las oportunidades y los beneficios del desarrollo, la
preservación de un ambiente sano, el pleno empleo de los recursos humanos,
el acceso de todas las personas, en especial las de menores ingresos, a los
bienes y servicios, la promoción de la productividad y competitividad y el
desarrollo armónico de las regiones.
En lo que respecta a la intervención económica en el mercado de
intermediación financiera, el Texto Constitucional también establece una
cláusula expresa de intervención. Así, se parte de considerar que las
actividades relacionadas con el manejo, aprovechamiento e inversión de
recursos de captación son de interés público, sólo pueden ser ejercidas previa
autorización del Estado, conforme a la ley, la cual regulará la forma de
intervención del Gobierno y promoverá la democratización del crédito (Art. 335
C.P.).
Las previsiones constitucionales se enmarcan, conforme a estos presupuestos,
en un modelo de economía social de mercado, en la cual, si bien el Estado
garantiza y protege la libertad económica y de empresa, tiene potestades
específicas para intervenir en la economía, con el objeto de otorgar eficacia a
los intereses generales y hacer efectiva la igualdad de oportunidades de acceso
a los bienes y servicios que integran ese mercado.
Para el caso particular del mercado financiero, las facultades de intervención
estatal están unívocamente dirigidas a la democratización de los productos de
crédito. En las sociedades contemporáneas, es evidente que la concreción de
los proyectos de vida individual y las iniciativas empresariales depende, casi de
forma exclusiva, de la posibilidad de obtención en el mercado de
intermediación de los recursos para su financiamiento. Es por esta razón que el
Estado, en su condición de garante de la prosperidad general, debe ejercer
acciones concretas, dirigidas a eliminar las barreras para el acceso oportuno y
suficiente a estos recursos.
Ante la necesidad de conservar el equilibrio entre la potestad estatal de
establecer medidas de intervención y la libertad económica, la jurisprudencia
constitucional ha identificado los criterios aplicables para evaluar la legitimidad
de dichas medidas. Esta doctrina se basa en considerar que las restricciones a
la libertad económica, fundadas en dichas medidas, son ajustadas a la
Constitución a condición que: (i) se haya llevado a cabo por ministerio de la
ley; (ii) se respete el “núcleo esencial” de la libertad de empresa; (iii) se

obedezca al principio de solidaridad o a alguna de las finalidades expresamente
señaladas por la Constitución; y (iv) se responda a criterios de razonabilidad y
proporcionalidad.[218]
En lo que refiere al análisis de constitucionalidad de la norma objeto de
estudio, distintos argumentos expuestos en esta decisión han demostrado que
la administración de datos personales de contenido crediticio tiene carácter
dual. De un lado, es una actividad que persigue fines constitucionalmente
legítimos, puesto que concurre en el aseguramiento de la estabilidad
financiera, en tanto otorga a los agentes económicos información relevante
para la distribución adecuada de los recursos de crédito. De otro, es una
expresión de la libertad económica, en la medida en que las tareas
desarrolladas por las fuentes, operadores y usuarios son esfuerzos
empresariales, guiados por el ánimo de lucro y de los cuales se obtienen
ventajas económicas significativas. En efecto, contar con los datos personales
relativos al cumplimiento de las obligaciones comerciales y crediticias del
sujeto concernido permite que los agentes económicos adopten decisiones
informadas sobre la celebración de contratos con clientes potenciales. La
administración de datos personales, así comprendida, es una actividad que
produce valor cuantificable, lo que explica que los usuarios del dato asuman el
costo de acceder a la información, pues ese conocimiento les otorga una
ventaja económica apreciable, respecto de los demás agentes que concurren al
mercado de bienes y servicios, que no cuentan con ese parámetro de decisión.
Bajo esta perspectiva, el establecimiento de un término especial de caducidad
del dato financiero negativo es una medida legislativa que establece límites a
la actividad económica desarrollada por las fuentes, operadores y usuarios de
la información personal de contenido comercial y crediticio. Por ende, la
legitimidad constitucional de la medida depende del cumplimiento de las
condiciones identificadas por la jurisprudencia constitucional para ese efecto.
En primer término, se advierte que la medida fue expedida por el legislador
estatutario quien, como se indicó, tiene la competencia constitucional para
expedir normas que determinen la caducidad especial del dato financiero
negativo, asunto perteneciente a los aspectos estructurales del derecho
fundamental al hábeas data.
En segundo lugar, no encuentra la Corte que la disposición de un término
especial afecte el núcleo esencial de la libertad de empresa. El establecimiento
de un plazo especial de permanencia de la información financiera negativa que
opera de forma excepcional, depende del pago efectivo de la obligación en
mora y está circunscrita a la limitación de la permanencia de la información
financiera negativa a un año, deja incólumes las competencias para que las
fuentes, operadores y usuarios desarrollen a plenitud la actividad de
administración de datos personales de contenido comercial y crediticio. La
medida adoptada por el legislador estatutario, así las cosas, no impide la
administración de datos personales, no produce la eliminación inmediata y
sistemática del historial crediticio de los sujetos concernidos, ni tampoco es

incompatible con la posibilidad que las fuentes, operadores y usuarios
continúen con sus actividades de recolección, tratamiento y divulgación de
datos personales. Así, la Sala concluye que la norma analizada en nada se
opone al ejercicio de la libertad económica, representada en este caso en la
administración de datos personales de contenido crediticio.
Respecto al tercero de los requisitos planteados, el legislador estatutario
consideró que la fijación de una caducidad especial del dato financiero negativo
busca democratizar el crédito, la recuperación de la cartera y,
consecuencialmente,
el crecimiento
económico,
objetivos
que prima
facie guardan unidad de propósitos con los fines de la intervención del Estado
en el mercado financiero, previstos en el artículo 334 Superior. Sin embargo,
un grupo de intervinientes se opone a esta consideración, basados en señalar
que medidas de esta naturaleza distorsionan el cálculo del riesgo financiero y
son contraproducentes para la adecuada distribución de los recursos de
crédito, lo que iría en contravía de los propósitos previstos por el legislador
estatutario.
En el fundamento jurídico 3.4.1.2. de esta sentencia, a propósito del análisis
de constitucionalidad del artículo 13 del Proyecto de Ley, la Sala señaló que si
bien el dato financiero negativo está basado en un presupuesto objetivo,
consistente en el grado de cumplimiento en el pago de las obligaciones
comerciales y de crédito, no por ello resultaba válido concluir que los efectos
de la calificación de ese reporte fueran neutros. En ese sentido, se demostró
como la incorporación en los bancos de datos de información financiera
negativa genera un juicio de desvalor en contra del sujeto concernido, cuyos
resultados imponen necesariamente limitaciones para el acceso al crédito. Es
por esta razón que la jurisprudencia constitucional ha identificado la necesidad
de fijar un término razonable de caducidad del dato financiero negativo, a fin
de establecer restricciones temporales a la permanencia de esa información,
de modo tal que (i) los efectos del juicio de desvalor no se tornen en una carga
desproporcionada e irrazonable en contra del titular, quien de lo contrario
quedaría excluido a perpetuidad del mercado comercial y de crédito; y (ii) se
enerve la posibilidad que las fuentes, operadores y usuarios abusaran en el
ejercicio del poder informático, entendido como la capacidad de incidir en los
intereses del sujeto concernido a través de la administración de su información
personal.
El vínculo entre el dato financiero negativo y la restricción al acceso al crédito,
permite a la Corte sostener que el argumento según el cual la determinación
de una caducidad especial para el dato financiero negativo es una medida que
pretende democratizar el crédito, resulta plausible. En efecto, la limitación
excepcional del término de permanencia de la información negativa permite
atenuar el juicio de desvalor que necesariamente produce la incorporación de
ese dato y, por ende, facilita el acceso a los productos financieros. Del mismo
modo, la concesión de un plazo preferencial para la caducidad del dato
negativo es un estímulo para que los titulares de la información se pongan al
día en sus obligaciones, lo que redunda en la disminución de la cartera insoluta

de las instituciones crediticias y, en últimas, en la estabilidad financiera y la
protección de los recursos de captación.
Por lo tanto, no encuentra la Corte que los propósitos definidos por el
legislador estatutario estén manifiestamente desvinculados de los fines de la
intervención estatal en el mercado de crédito previstos en la Constitución.
Sobre este particular debe insistirse en que la idoneidad de las medidas de
intervención económica está sustentada en la identificación, por parte del
Tribunal Constitucional, de una conexión razonable entre la medida legislativa
y objetivos compatibles con la Carta Política. No se trata, como lo sostienen
algunos de los intervinientes, de una determinación exhaustiva, dirigida a
identificar si la previsión legal resulta imperiosa e imprescindible para cumplir
con dichos objetivos. Ello debido a que el Texto Superior reconoce una facultad
amplia al legislador para el establecimiento de instrumentos de intervención
económica, que sólo está limitada por la identidad entre el propósito de la
medida y los fines previstos en la Carta. Dicha conexión está suficientemente
acreditada respecto de la norma estatutaria objeto de análisis.
Finalmente, la medida de intervención debe cumplir con criterios de
razonabilidad y proporcionalidad. Para el presente caso, debe establecerse si lo
dispuesto por el legislador estatutario afecta desproporcionadamente (i) la
estabilidad del sistema financiero, fundada en el cálculo adecuado del riesgo
crediticio; y (ii) el derecho a recibir información veraz e imparcial que tienen
los usuarios del dato personal de contenido crediticio.
En cuanto a lo primero, debe partirse de considerar que la medida legislativa
está circunscrita a condiciones estrictas. La norma establece que el beneficio
tiene carácter excepcional, puesto que se aplica una sola vez y respecto de los
deudores que efectivamente asuman el pago de sus obligaciones en mora. De
la misma forma, la medida adoptada por el legislador estatutario en modo
alguno involucra la caducidad inmediata de la información financiera negativa,
puesto que, en todos los casos, el dato permanecerá en el banco de datos por
el término de un año. Por último, la disposición no impide que luego de
finalizado el plazo para su aplicación, la información financiera negativa sea
incorporada con base en las reglas ordinarias de caducidad, que establecen
términos razonables para la permanencia del dato financiero negativo.
Verificadas estas características, la Sala considera que lo dispuesto por el
legislador estatutario tiene un alcance marginal respecto al cálculo del riesgo.
Ello en tanto la medida de transición en nada impide que los usuarios de la
información conozcan el comportamiento crediticio del deudor que se ha
puesto al día, pues los datos personales negativos permanecerán en el archivo
o banco de datos durante el año siguiente al pago de la obligación.
Adicionalmente, los efectos de la caducidad especial no se extienden a la
información favorable, fundada en el cumplimiento oportuno en el pago de las
obligaciones, ni respecto de aquellos datos financieros negativos relacionados
con obligaciones que permanezcan insolutas luego del término previsto por el
legislador estatutario para la aplicación del beneficio de caducidad especial. Por

lo tanto, resulta desacertado considerar que la aplicación de la medida
legislativa distorsione de tal manera el historial crediticio de los sujetos
concernidos, que modo que tenga la virtualidad de amenazar la estabilidad del
sistema financiero en su conjunto. En contrario, la naturaleza limitada y
excepcional de la caducidad especial prevista en la norma estatutaria no incide
en la conservación de los datos personales necesarios para la determinación
del riesgo crediticio.
La fijación de una caducidad especial del dato financiero negativo no afecta
desproporcionadamente el derecho de los usuarios a recibir información veraz
e imparcial. Como se ha indicado, la fórmula adoptada por el legislador
estatutario se restringe a limitar a un año la permanencia de la información
financiera negativa a favor de determinados titulares que luego de pagar
voluntariamente sus obligaciones, obtienen ese beneficio. Una medida de esta
naturaleza, contrario a como lo consideran algunos de los intervinientes, no
contrae la supresión del historial crediticio del sujeto concernido, sino que
simplemente reduce, más no elimina por completo, el término de caducidad en
supuestos de hecho concretos y específicos, supeditados todos ellos al pago de
las obligaciones en mora. Además, no se trata de una medida de aplicación
sistemática, sino que opera por una sola vez, en los precisos términos
dispuestos por el legislador estatutario.
Los datos personales de contenido crediticio incorporados en los bancos de
datos, luego de aplicada la medida de caducidad especial, responderán a
criterios de veracidad e integridad. En efecto, la aplicación del término de
permanencia de un año depende de que la obligación base del reporte
financiero negativo haya sido efectivamente pagada. Así, el reporte dará
cuenta del estado real y actual del cumplimiento de las obligaciones del sujeto
concernido, por lo que los usuarios no verán afectado su derecho a recibir
información veraz respecto del comportamiento crediticio del sujeto
concernido. Además, debe insistirse en que la aplicación de la medida no
comporta la supresión in limine de la información financiera negativa, sino la
limitación del término de caducidad.
Según estas consideraciones, la Corte advierte que la posición sostenida por
algunos de los intervinientes, en el sentido que la limitación impuesta por el
legislador estatutario impide por completo la administración de datos
personales de contenido crediticio, parte de una concepción maximalista de la
incorporación de datos financieros negativos en bancos de datos, la cual
contradice no sólo mandatos expresos de la norma estatutaria, sino que
desconoce los principios de administración de datos personales y las reglas
técnicas que regulan el adecuado cálculo del riesgo financiero.
En distintos apartados de esta decisión se ha señalado que la finalidad de
establecer un régimen de administración de datos personales se centra en
garantizar los derechos constitucionales del sujeto concernido y,
coetáneamente, permitir el ejercicio de las actividades de recolección,
tratamiento y divulgación de información personal de contenido crediticio,

labores armónicas con la Constitución, en la medida en que están relacionadas
con la estabilidad financiera y la protección del ahorro público. Sin embargo, la
legitimidad constitucional de estas actividades no es incompatible con la
imposición de condiciones y requisitos a las fuentes, operadores y usuarios de
la información, en especial aquellas que se derivan del deber de
responsabilidad social en el tratamiento del dato personal. Este deber,
reconocido expresamente por la norma estatutaria en su artículo 10, implica
que la información financiera deba evaluarse concurrentemente con otros
elementos de juicio pertinentes para el cálculo del riesgo crediticio, por lo que
queda proscrito el uso de esos datos como único criterio para la adopción de
decisiones relacionadas con solicitudes de crédito.
La idoneidad del cálculo del riesgo, entonces, depende de la consideración y
evaluación de factores de diversa índole, que escapan al estrecho conocimiento
que otorga la simple evaluación del dato financiero negativo. Como se indicó en
el fundamento jurídico 3.4.1., las normas técnicas aplicables a la materia
obligan a que los establecimientos de crédito tengan en cuenta variables
relacionadas con, entre otros aspectos, la solvencia del deudor, su flujo de
ingresos y egresos, la composición de su patrimonio, las reestructuraciones del
crédito y la afectación a la capacidad de pago derivada de factores económicos
externos no predicables de la voluntad del titular de la obligación. En caso que
el cálculo del riesgo crediticio no tenga en cuenta este grupo de factores, sino
que, en contrario se funde exclusivamente en el dato financiero negativo, se
configuraría
un
escenario
en
que
la
administración
de
datos
personales (i) deviene ilegítima, en tanto impediría injustificadamente el
acceso del titular al mercado de crédito; y (ii) es contraria a los principios de
veracidad, integridad e incorporación, pues basaría la determinación del nivel
de riesgo en un análisis incompleto de los datos pertinentes para ese propósito.
La medida legislativa de transición, dentro de este marco, tiene apenas una
incidencia mínima en el cálculo del riesgo, puesto que se restringe a limitar el
tiempo de permanencia del dato financiero negativo, circunstancia que tiene
incidencia en sólo uno de los varios factores a tener en cuenta para determinar
el riesgo de incumplimiento el sujeto concernido. Por ende, resulta un
contrasentido concluir que la disposición objeto de análisis afecta
desproporcionadamente el derecho a la información de las entidades de
crédito, cuando ésta no interfiere, en modo alguno, con las distintas variables
para la medición del riesgo antes citadas, sino que se restringe a establecer un
plazo especial de caducidad para un caso concreto, excepcional y, en todo
caso, sujeto al pago de la obligación en mora.
En conclusión, la caducidad especial del dato financiero negativo prevista en el
artículo 21 del Proyecto de Ley es compatible con el ejercicio de las actividades
de recolección, tratamiento y circulación de datos personales de contenido
crediticio. Igualmente, en tanto tiene un carácter excepcional, limitado en el
tiempo y específico, no involucra una afectación desproporcionada del derecho
a la información de las entidades que integran el sistema de crédito, ni
tampoco tiene un alcance tal que comprometa la estabilidad financiera, amén

de la intangibilidad de los demás factores que permiten identificar el nivel de
riesgo crediticio y la existencia de un término cierto de permanencia del dato
financiero negativo, periodo dentro del cual los agentes económicos pueden
acceder a dicha información. En suma, se trata de una medida de intervención
económica que busca propósitos constitucionalmente legítimos, respetuosa de
los derechos de los sujetos que concurren en la administración de datos
personales. Por ende, la norma no se opone a los postulados de la Carta
Política y será declarada exequible.
3.7.2. Vigencia y derogatorias (Artículo 22)
El artículo 22 establece una fórmula usual de vigencia de la ley estatutaria, con
efectos a futuro y derogatorios de las normas anteriores que resulten
incompatibles. Esta previsión es acorde con la Constitución, pues se limita a
reiterar el carácter ordinario de aplicación en el tiempo de las normas jurídicas.
Por lo tanto, será declarado exequible.
4. Texto definitivo del Proyecto de Ley Estatutaria
De conformidad con los argumentos expresados en esta decisión, el Texto
Definitivo del Proyecto de Ley Estatutaria objeto de examen es el siguiente.
Debe advertirse que en relación con los condicionamientos predicables de la
exequibilidad de algunas disposiciones de la norma estatutaria, éstos serán
expuestos en la parte resolutiva de la sentencia.
“PROYECTO DE LEY ESTATUTARIA NÚMERO 221 DE 2007 CAMARA, 027
DE 2006 SENADO ACUMULADO
CON EL NÚMERO 05 DE 2006 SENADO
por la cual se dictan las disposiciones generales del Hábeas Data y se regula el
países
y se dictan otras disposiciones.
Artículo 1°. Objeto. La presente ley tiene por objeto desarrollar el derecho
constitucional que tienen todas las personas a conocer, actualizar y rectificar
las informaciones que se hayan recogido sobre ellas en Bancos de Datos, y los
demás derechos, libertades y garantías constitucionales relacionadas con la
recolección, tratamiento y circulación de datos personales a que se refiere el
artículo 15 de la Constitución Política, así como el derecho a la información
establecido en el artículo 20 de la Constitución Política, particularmente en
relación con la información financiera y crediticia, comercial, de servicios y la

Artículo 2°. Ámbito de aplicación. La presente ley se aplica a todos los
datos de información personal registrados en un Banco de Datos, sean estos
Esta ley se aplicará sin perjuicio de normas especiales que disponen la
confidencialidad o reserva de ciertos datos o información registrada en Bancos
de datos de naturaleza pública, para fines estadísticos, de investigación o
sanción de delitos o para garantizar el orden público.
Se exceptúan de esta ley las bases de datos que tienen por finalidad producir
la Inteligencia de Estado por parte del Departamento Administrativo de
Seguridad, DAS, y de la Fuerza Pública para garantizar la seguridad nacional
interna y externa.
Los registros públicos a cargo de las cámaras de comercio se regirán
exclusivamente por las normas y principios consagrados en las normas
especiales que las regulan.
Igualmente, quedan excluidos de la aplicación de la presente ley aquellos datos
Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende
por:
a) Titular de la información. Es la persona natural o jurídica a quien se refiere
la información que reposa en un Banco de Datos y sujeto del derecho de
Hábeas Data y demás derechos y garantías a que se refiere la presente ley;
b) Fuente de información. Es la persona, entidad u organización que recibe o
conoce datos personales de los titulares de la información, en virtud de una
relación comercial o de servicio o de cualquier otra índole y que, en razón de
autorización legal o del titular, suministra esos datos a un operador de
información, el que a su vez los entregará al usuario final. Si la fuente entrega
la información directamente a los usuarios y no, a través de un operador,
aquella tendrá la doble condición de fuente y operador y asumirá los deberes y
responsabilidades de ambos. La fuente de la información responde por la
calidad de los datos suministrados al operador la cual, en cuanto tiene acceso
y suministra información personal de terceros, se sujeta al cumplimiento de los
deberes y responsabilidades previstas para garantizar la protección de los
derechos del titular de los datos;
c) Operador de información. Se denomina operador de información a la
persona, entidad u organización que recibe de la fuente datos personales sobre
varios titulares de la información, los administra y los pone en conocimiento de
los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en
cuanto tiene acceso a información personal de terceros, se sujeta al

cumplimiento de los deberes y responsabilidades previstos para garantizar la
protección de los derechos del titular de los datos. Salvo que el operador sea la
misma fuente de la información, este no tiene relación comercial o de servicio
con el titular y por ende no es responsable por la calidad de los datos que le
sean suministrados por la fuente;
d) Usuario. El usuario es la persona natural o jurídica que, en los términos y
circunstancias previstos en la presente ley, puede acceder a información
personal de uno o varios titulares de la información suministrada por el
operador o por la fuente, o directamente por el titular de la información. El
usuario, en cuanto tiene acceso a información personal de terceros, se sujeta
al cumplimiento de los deberes y responsabilidades previstos para garantizar la
protección de los derechos del titular de los datos. En el caso en que el usuario
a su vez entregue la información directamente a un operador, aquella tendrá la
doble condición de usuario y fuente, y asumirá los deberes y responsabilidades
de ambos;
e) Dato personal. Es cualquier pieza de información vinculada a una o varias
personas determinadas o determinables o que puedan asociarse con una
persona natural o jurídica. Los datos impersonales no se sujetan al régimen de
protección de datos de la presente ley. Cuando en la presente ley se haga
referencia a un dato, se presume que se trata de uso personal. Los datos
personales pueden ser públicos, semiprivados o privados;
f) Dato público. Es el dato calificado como tal según los mandatos de la ley o
de la Constitución Política y todos aquellos que no sean semiprivados o
privados, de conformidad con la presente ley. Son públicos, entre otros, los
datos contenidos en documentos públicos, sentencias judiciales debidamente
ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil
de las personas;
g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima,
reservada, ni pública y cuyo conocimiento o divulgación puede interesar no
solo a su titular sino a cierto sector o grupo de personas o a la sociedad en
general, como el dato financiero y crediticio de actividad comercial o de
servicios a que se refiere el Título IV de la presente ley.
h) Dato privado. Es el dato que por su naturaleza íntima o reservada solo es
relevante para el titular;
i) Agencia de Información Comercial. Es toda empresa legalmente constituida
que tenga como actividad principal la recolección, validación y procesamiento
de información comercial sobre las empresas y comerciantes específicamente
solicitadas por sus clientes, entendiéndose por información comercial aquella
información histórica y actual relativa a la situación financiera, patrimonial, de

empresa. Para los efectos de la presente ley, las agencias de información
comercial son operadores de información y fuentes de información.
Parágrafo. A las agencias de información comercial, así como a sus fuentes o
usuarios, según sea el caso, no se aplicarán las siguientes disposiciones de la
presente ley: Numerales 2 y 6 del artículo 8°, artículo 12 y artículo 14;
j) Información financiera, crediticia, comercial, de servicios y la proveniente de
terceros países.
Para todos los efectos de la presente ley se entenderá por
financiera, crediticia, comercial, de servicios y la proveniente
países, aquella referida al nacimiento, ejecución y extinción de
dinerarias, independientemente de la naturaleza del contrato
origen.

información
de terceros
obligaciones
que les dé

Artículo 4°. Principios de la administración de datos. En el desarrollo,
interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera
armónica e integral, los principios que a continuación se establecen:
a) Principio de veracidad o calidad de los registros o datos. La información
contenida en los Bancos de Datos debe ser veraz, completa, exacta,
actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación
de datos parciales, incompletos, fraccionados o que induzcan a error;
b) Principio de finalidad. La administración de datos personales debe obedecer
a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad
debe informársele al titular de la información previa o concomitantemente con
el otorgamiento de la autorización, cuando ella sea necesaria o en general
siempre que el titular solicite información al respecto;
c) Principio de circulación restringida. La administración de datos personales se
sujeta a los límites que se derivan de la naturaleza de los datos, de las
disposiciones de la presente ley y de los principios de la administración de
datos personales especialmente de los principios de temporalidad de la
información y la finalidad del Banco de Datos.
Los datos personales, salvo la información pública, no podrán ser accesibles
por Internet o por otros medios de divulgación o comunicación masiva, salvo
que el acceso sea técnicamente controlable para brindar un conocimiento
restringido solo a los titulares o los usuarios autorizados conforme a la
presente ley;
d) Principio de temporalidad de la información. La información del titular no
podrá ser suministrada a usuarios o terceros cuando deje de servir para la
finalidad del Banco de Datos;

e) Principio de interpretación integral de derechos constitucionales. La presente
ley se interpretará en el sentido de que se amparen adecuadamente los
derechos constitucionales, como son el Hábeas Data, el derecho al buen
nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la
información. Los derechos de los titulares se interpretarán en armonía y en un
plano de equilibrio con el derecho a la información previsto en el artículo 20 de
la Constitución y con los demás derechos constitucionales aplicables;
f) Principio de seguridad. La información que conforma los registros
individuales constitutivos de los Bancos de Datos a que se refiere la ley, así
como la resultante de las consultas que de ella hagan sus usuarios, se deberá
manejar con las medidas técnicas que sean necesarias para garantizar la
seguridad de los registros evitando su adulteración, pérdida, consulta o uso no
autorizado;
g) Principio de confidencialidad. Todas las personas naturales o jurídicas que
intervengan en la administración de datos personales que no tengan la
naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva
de la información, inclusive después de finalizada su relación con alguna de las
labores que comprende la administración de datos, pudiendo solo realizar
suministro o comunicación de datos cuando ello corresponda al desarrollo de
las actividades autorizadas en la presente ley y en los términos de la misma.
Artículo 5°. Circulación de información. La información personal
recolectada o suministrada de conformidad con lo dispuesto en la ley a los
operadores que haga parte del Banco de datos que administra, podrá ser
entregada de manera verbal, escrita, o puesta a disposición de las siguientes
personas y en los siguientes términos:
a) A los titulares, a las personas debidamente autorizadas por estos y a sus
causahabientes mediante el procedimiento de consulta previsto en la presente
ley;
b) A los usuarios de la información, dentro de los parámetros de la presente
ley;
c) A cualquier autoridad judicial, previa orden judicial;
d) A las entidades públicas del poder ejecutivo, cuando el conocimiento de
dicha información corresponda directamente al cumplimiento de alguna de sus
funciones;
e) A los órganos de control y demás dependencias de investigación
disciplinaria, fiscal, o administrativa, cuando la información sea necesaria para
el desarrollo de una investigación en curso;
f) A otros operadores de datos, cuando se cuente con autorización del titular, o
cuando sin ser necesaria la autorización del titular el Banco de Datos de

destino tenga la misma finalidad o una finalidad que comprenda la que tiene el
operador que entrega los datos. Si el receptor de la información fuere un
Banco de Datos extranjero, la entrega sin autorización del titular solo podrá
titular;
g) A otras personas autorizadas por la ley.
TITULO II
DERECHOS DE LOS TITULARES DE LA INFORMACION
Artículo 6°. Derechos de los titulares de la información. Los titulares
tendrán los siguientes derechos:
1. Frente a los operadores de los Bancos de Datos:
1.1 Ejercer el derecho fundamental al Hábeas Data en los términos de la
presente ley, mediante la utilización de los procedimientos de consultas o
reclamos, sin perjuicio de los demás mecanismos constitucionales y legales.
1.2 Solicitar el respeto y la protección de los demás derechos constitucionales o
legales, así como de las demás disposiciones de la presente ley, mediante la
utilización del procedimiento de reclamos y peticiones.
1.3 Solicitar prueba de la certificación de la existencia de la autorización
expedida por la fuente o por el usuario.
1.4 Solicitar información acerca de los usuarios autorizados para obtener
información.
Parágrafo. La administración de información pública no requiere autorización
del titular de los datos, pero se sujeta al cumplimiento de los principios de la
administración de datos personales y a las demás disposiciones de la presente
ley.
La administración de datos semi-privados y privados requiere el
consentimiento previo y expreso del titular de los datos, salvo en el caso del
dato financiero, crediticio, comercial, de servicios y el proveniente de terceros
países el cual no requiere autorización del titular. En todo caso, la
administración de datos semi-privados y privados se sujeta al cumplimiento de
los principios de la administración de datos personales y a las demás
2. Frente a las fuentes de la información:

2.1 Ejercer los derechos fundamentales al Hábeas Data y de petición, cuyo
cumplimiento se podrá realizar a través de los operadores, conforme lo
previsto en los procedimientos de consultas y reclamos de esta ley, sin
perjuicio de los demás mecanismos constitucionales o legales.
2.2 Solicitar información o pedir la actualización o rectificación de los datos
contenidos en la base de datos, lo cual realizará el operador, con base en la
información aportada por la fuente, conforme se establece en el procedimiento
para consultas, reclamos y peticiones.
2.3 Solicitar prueba de la autorización, cuando dicha autorización sea requerida
3. Frente a los usuarios:
3.1 Solicitar información sobre la utilización que el usuario le está dando a la
operador.
3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo
Parágrafo. Los titulares de información
adicionalmente los siguientes derechos:

financiera

y

crediticia

tendrán

Podrán acudir ante la autoridad de vigilancia para presentar quejas contra las
fuentes, operadores o usuarios por violación de las normas sobre
administración de la información financiera y crediticia.
ley.
TITULO III
DEBERES DE LOS OPERADORES, LAS FUENTES
Y LOS USUARIOS DE INFORMACION
Artículo 7°. Deberes de los operadores de los Bancos de Datos. Sin
perjuicio del cumplimiento de las demás disposiciones contenidas en la
presente ley y otras que rijan su actividad, los operadores de los Bancos de
Datos están obligados a:
1. Garantizar, en todo tiempo al titular de la información, el pleno y efectivo
ejercicio del derecho de Hábeas Data y de petición, es decir, la posibilidad de
conocer la información que sobre él exista o repose en el Banco de Datos, y
solicitar la actualización o corrección de datos, todo lo cual se realizará por

conducto de los mecanismos de consultas o reclamos, conforme lo previsto en
la presente ley.
2. Garantizar, que en la recolección, tratamiento y circulación de datos, se
respetarán los demás derechos consagrados en la ley.
3. Permitir el acceso a la información únicamente a las personas que, de
conformidad con lo previsto en esta ley, pueden tener acceso a ella.
4. Adoptar un manual interno de políticas y procedimientos para garantizar el
adecuado cumplimiento de la presente ley y, en especial, para la atención de
consultas y reclamos por parte de los titulares.
5. Solicitar la certificación a la fuente de la existencia de la autorización
otorgada por el titular, cuando dicha autorización sea necesaria, conforme lo
6. Conservar con las debidas seguridades los registros almacenados para
impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento.
7. Realizar periódica y oportunamente la actualización y rectificación de los
datos, cada vez que le reporten novedades las fuentes, en los términos de la
presente ley.
8. Tramitar las peticiones, consultas y los reclamos formulados por los titulares
de la información, en los términos señalados en la presente ley.
9. Indicar en el respectivo registro individual que determinada información se
encuentra en discusión por parte de su titular, cuando se haya presentado la
solicitud de rectificación o actualización de la misma y no haya finalizado dicho
trámite, en la forma en que se regula en la presente ley.
10. Circular la información a los usuarios dentro de los parámetros de la
presente ley.
11. Cumplir las instrucciones y requerimientos que la autoridad de vigilancia
imparta en relación con el cumplimiento de la presente ley.
Artículo 8°. Deberes de las fuentes de la información. Las fuentes de la
información deberán cumplir las siguientes obligaciones, sin perjuicio del
cumplimiento de las demás disposiciones previstas en la presente ley y en
otras que rijan su actividad:
1. Garantizar que la información que se suministre a los operadores de los
Bancos de Datos o a los usuarios sea veraz, completa, exacta, actualizada y
comprobable.

2. Reportar, de forma periódica y oportuna al operador, todas las novedades
respecto de los datos que previamente le haya suministrado y adoptar las
demás medidas necesarias para que la información suministrada a este se
mantenga actualizada.
3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los
operadores.
4. Diseñar e implementar mecanismos eficaces para reportar oportunamente la
información al operador.
5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva
autorización otorgada por los titulares de la información, y asegurarse de no
suministrar a los operadores ningún dato cuyo suministro no esté previamente
autorizado, cuando dicha autorización sea necesaria, de conformidad con lo
6. Certificar, semestralmente al operador, que la información suministrada
cuenta con la autorización de conformidad con lo previsto en la presente ley.
7. Resolver los reclamos y peticiones del titular en la forma en que se regula
en la presente ley.
8. Informar al operador que determinada información se encuentra en
discusión por parte de su titular, cuando se haya presentado la solicitud de
rectificación o actualización de la misma, con el fin de que el operador incluya
en el Banco de Datos una mención en ese sentido hasta que se haya finalizado
dicho trámite.
9. Cumplir con las instrucciones que imparta la autoridad de control en relación
con el cumplimiento de la presente ley.
Artículo 9°. Deberes de los usuarios. Sin perjuicio del cumplimiento de las
disposiciones contenidas en la presente ley y demás que rijan su actividad, los
usuarios de la información deberán:
1. Guardar reserva sobre la información que les sea suministrada por los
operadores de los Bancos de Datos, por las fuentes o los titulares de la
información y utilizar la información únicamente para los fines para los que le
fue entregada, en los términos de la presente ley.
2. Informar a los titulares, a su solicitud, sobre la utilización que le está dando
a la información.

3. Conservar con las debidas seguridades la información recibida para impedir
su deterioro, pérdida, alteración, uso no autorizado o fraudulento.
4. Cumplir con las instrucciones que imparta la autoridad de control, en
relación con el cumplimiento de la presente ley.
TITULO IV
DE LOS BANCOS DE DATOS DE INFORMACION FINANCIERA,
CREDITICIA, COMERCIAL, DE SERVICIOS Y LA PROVENIENTE DE
TERCEROS PAISES
Artículo 10. Principio de favorecimiento a una actividad de interés
público. La actividad de administración de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países está directamente
relacionada y favorece una actividad de interés público, como lo es la actividad
financiera propiamente, por cuanto ayuda a la democratización del crédito,
promueve el desarrollo de la actividad de crédito, la protección de la confianza
pública en el sistema financiero y la estabilidad del mismo, y genera otros
beneficios para la economía nacional y en especial para la actividad financiera,
crediticia, comercial y de servicios del país.
Parágrafo 1°. La administración de información financiera, crediticia, comercial,
de servicios y la proveniente de terceros países, por parte de fuentes, usuarios
y operadores deberá realizarse de forma que permita favorecer los fines de
expansión y democratización del crédito. Los usuarios de este tipo de
información deberán valorar este tipo de información en forma concurrente con
otros factores o elementos de juicio que técnicamente inciden en el estudio de
riesgo y el análisis crediticio, y no podrán basarse exclusivamente en la
información relativa al incumplimiento de obligaciones suministrada por los
operadores para adoptar decisiones frente a solicitudes de crédito.
La Superintendencia Financiera de Colombia podrá imponer las sanciones
previstas en la presente ley a los usuarios de la información que nieguen una
solicitud de crédito basados exclusivamente en el reporte de información
negativa del solicitante.
Parágrafo 2º. La consulta de la información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países por parte del titular, será gratuita
al menos una (1) vez cada mes calendario.
Artículo 11. Requisitos especiales para los operadores. Los operadores
de Bancos de Datos de información financiera, crediticia, comercial, de
servicios y la proveniente de terceros países que funcionen como entes
independientes a las fuentes de la información, deberán cumplir con los
siguientes requisitos especiales de funcionamiento:

1. Deberán constituirse como sociedades comerciales, entidades sin ánimo de
lucro, o entidades cooperativas.
2. Deberán contar con un área de servicio al titular de la información, para la
atención de peticiones, consultas y reclamos.
3. Deberán contar con un sistema de seguridad y con las demás condiciones
técnicas suficientes para garantizar la seguridad y actualización de los
registros, evitando su adulteración, pérdida, consulta o uso no autorizado
4. Deberán actualizar la información reportada por las fuentes con una
periodicidad no superior a diez (10) días calendario contados a partir del recibo
de la misma.
Artículo 12. Requisitos especiales para fuentes. Las fuentes deberán
actualizar mensualmente la información suministrada al operador, sin perjuicio
de lo dispuesto en el Título III de la presente ley.
El reporte de información negativa sobre incumplimiento de obligaciones de
cualquier naturaleza, que hagan las fuentes de información a los operadores de
Bancos de Datos de información financiera, crediticia, comercial, de servicios y
la proveniente de terceros países, sólo procederá previa comunicación al titular
de la información, con el fin de que este pueda demostrar o efectuar el pago
de la obligación, así como controvertir aspectos tales como el monto de la
obligación o cuota y la fecha de exigibilidad. Dicha comunicación podrá
incluirse en los extractos periódicos que las fuentes de información envíen a
sus clientes.
En todo caso, las fuentes de información podrán efectuar el reporte de la
información transcurridos veinte (20) días calendario siguientes a la fecha de
envío de la comunicación en la última dirección de domicilio del afectado que
se encuentre registrada en los archivos de la fuente de la información y sin
perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al
operador, que la información se encuentra en discusión por parte de su titular,
cuando se haya presentado solicitud de rectificación o actualización y esta aún
Artículo 13. Permanencia de la información. La información de carácter
positivo permanecerá de manera indefinida en los Bancos de Datos de los
Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro,
permanencia, vencido el cual deberá ser retirada de los Bancos de Datos por el
información. El término de permanencia de esta información será de cuatro (4)

años contados a partir de la fecha en que sean pagadas las cuotas vencidas o
Artículo 14. Contenido de la información. El Gobierno Nacional establecerá
la forma en la cual los Bancos de Datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, deberán presentar
la información de los titulares de la información. Para tal efecto, deberá señalar
un formato que permita identificar, entre otros aspectos, el nombre completo
del deudor, la condición en que actúa, esto es, como deudor principal, deudor
solidario, avalista o fiador, el monto de la obligación o cuota vencida, el tiempo
de mora y la fecha del pago, si es del caso.
El Gobierno Nacional al ejercer la facultad prevista en el inciso anterior deberá
tener en cuenta que en el formato de reporte deberá establecer que:
a) Se presenta reporte negativo cuando la(s) persona(s) naturales o jurídicas
efectivamente se encuentran en mora en sus cuotas u obligaciones;
b) Se presenta reporte positivo cuando la(s) persona(s) naturales y jurídicas
están al día en sus obligaciones.
El incumplimiento de la obligación aquí prevista dará lugar a la imposición de
las máximas sanciones previstas en la presente ley.
Parágrafo 1°. Para los efectos de la presente ley se entiende que una
obligación ha sido voluntariamente pagada, cuando su pago se ha producido
sin que medie sentencia judicial que así lo ordene.
Parágrafo 2°. Las consecuencias previstas en el presente artículo para el pago
voluntario de las obligaciones vencidas, será predicable para cualquier otro
modo de extinción de las obligaciones, que no sea resultado de una sentencia
judicial.
Parágrafo 3°. Cuando un usuario consulte el estado de un titular en las bases
de datos de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países, estas tendrán que dar información exacta
sobre su estado actual, es decir, dar un reporte positivo de los usuarios que en
el momento de la consulta están al día en sus obligaciones y uno negativo de
los que al momento de la consulta se encuentren en mora en una cuota u
obligaciones.
El resto de la información contenida en las bases de datos financieros,
crediticios, comercial, de servicios y la proveniente de terceros países harán
parte del historial crediticio de cada usuario, el cual podrá ser consultado por el
usuario, siempre y cuando hubiere sido informado sobre el estado actual.
Parágrafo 4°. Se prohíbe la administración
información exclusivamente desfavorable.

de

datos

personales

con

Artículo 15. Acceso a la información por parte de los usuarios. La
información contenida en Bancos de Datos de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países podrá ser accedida
por los usuarios únicamente con las siguientes finalidades:
Como elemento de análisis para establecer y mantener una relación
contractual, cualquiera que sea su naturaleza, así como para la evaluación de
los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones
comerciales o estadísticas.
Para el adelantamiento de cualquier trámite ante una autoridad pública o una
persona privada, respecto del cual dicha información resulte pertinente.
Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y
en forma general o para cada caso particular se haya obtenido autorización por
parte del titular de la información.
TITULO V
PETICIONES DE CONSULTAS Y RECLAMOS
Artículo 16. Peticiones, consultas y reclamos.
I. Trámite de consultas. Los titulares de la información o sus causahabientes
podrán consultar la información personal del titular, que repose en cualquier
Banco de Datos, sea este del sector público o privado. El operador deberá
suministrar a estos, debidamente identificados, toda la información contenida
en el registro individual o que esté vinculada con la identificación del titular.
La petición, consulta de información se formulará verbalmente, por escrito, o
por cualquier canal de comunicación, siempre y cuando se mantenga evidencia
de la consulta por medios técnicos.
La petición o consulta será atendida en un término máximo de diez (10) días
hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere
posible atender la petición o consulta dentro de dicho término, se informará al
se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días
Parágrafo. La petición o consulta se deberá atender de fondo, suministrando
integralmente toda la información solicitada.
II. Trámite de reclamos. Los titulares de la información o sus causahabientes
que consideren que la información contenida en su registro individual en un

Banco de Datos debe ser objeto de corrección o actualización podrán presentar
un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas:
1. La petición o reclamo se formulará mediante escrito dirigido al operador del
Banco de Datos, con la identificación del titular, la descripción de los hechos
que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los
documentos de soporte que se quieran hacer valer. En caso de que el escrito
resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.
Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante
presente la información requerida, se entenderá que ha desistido de la
reclamación o petición.
2. Una vez recibido la petición o reclamo completo el operador incluirá en el
registro individual en un término no mayor a dos (2) días hábiles una leyenda
que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información
deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la
información que se suministra a los usuarios.
3. El término máximo para atender la petición o reclamo será de quince (15)
días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando
no fuere posible atender la petición dentro de dicho término, se informará al
se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días
4. En los casos en que exista una fuente de información independiente del
operador, este último deberá dar traslado del reclamo a la fuente en un
término máximo de dos (2) días hábiles, la cual deberá resolver e informar la
respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo
caso, la respuesta deberá darse al titular por el operador en el término máximo
de quince (15) días hábiles contados a partir del día siguiente a la fecha de
presentación de la reclamación, prorrogables por ocho (8) días hábiles más,
según lo indicado en el numeral anterior. Si el reclamo es presentado ante la
fuente, esta procederá a resolver directamente el reclamo, pero deberá
informar al operador sobre la recepción del reclamo dentro de los dos (2) días
hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la
obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza
del mismo dentro del registro individual, lo cual deberá hacer el operador
dentro de los dos (2) días hábiles siguientes a haber recibido la información de
la fuente.
5. Para dar respuesta a la petición o reclamo, el operador o la fuente, según
sea el caso, deberá realizar una verificación completa de las observaciones o
planteamientos del titular, asegurándose de revisar toda la información
pertinente para poder dar una respuesta completa al titular.
6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho
fundamental del Hábeas Data, en caso que el titular no se encuentre satisfecho

con la respuesta a la petición, podrá recurrir al proceso judicial
correspondiente dentro de los términos legales pertinentes para debatir lo
relacionado con la obligación reportada como incumplida. La demanda deberá
ser interpuesta contra la fuente de la información la cual, una vez notificada de
la misma, procederá a informar al operador dentro de los dos (2) días hábiles
siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir
la leyenda que diga “información en discusión judicial” y la naturaleza de la
misma dentro del registro individual, lo cual deberá hacer el operador dentro
de los dos (2) días hábiles siguientes a haber recibido la información de la
fuente y por todo el tiempo que tome obtener un fallo en firme. Igual
procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial
contra el titular de la información, referente a la obligación reportada como
incumplida, y este proponga excepciones de mérito.
TITULO VI
VIGILANCIA DE LOS DESTINATARIOS DE LA LEY
Artículo 17. Función de vigilancia. La Superintendencia de Industria y
Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los
usuarios de información financiera, crediticia, comercial, de servicios y la
proveniente de terceros países, en cuanto se refiere a la actividad de
administración de datos personales que se regula en la presente ley.
En los casos en que la fuente, usuario u operador de información sea una
entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá
la vigilancia e impondrá las sanciones correspondientes, de conformidad con
las facultades que le son propias, según lo establecido en el Estatuto Orgánico
del Sistema Financiero y las demás normas pertinentes y las establecidas en la
presente ley.
Para el ejercicio de la función de vigilancia a que se refiere el presente artículo,
la Superintendencia de Industria y Comercio y la Superintendencia Financiera
de Colombia, según el caso, tendrán en adición a las propias las siguientes
facultades:
1. Impartir instrucciones y órdenes sobre la manera como deben cumplirse las
disposiciones de la presente ley relacionadas con la administración de la
terceros países fijar los criterios que faciliten su cumplimiento y señalar
procedimientos para su cabal aplicación.
2. Velar por el cumplimiento de las disposiciones de la presente ley, de las
normas que la reglamenten y de las instrucciones impartidas por la respectiva
Superintendencia.
3. Velar porque los operadores y fuentes cuenten con un sistema de seguridad
y con las demás condiciones técnicas suficientes para garantizar la seguridad y

actualización de los registros, evitando su adulteración, pérdida, consulta o uso
no autorizado conforme lo previsto en la presente ley.
4. Ordenar a cargo del operador, la fuente o usuario la realización de auditorías
externas de sistemas para verificar el cumplimiento de las disposiciones de la
presente ley.
5. Ordenar de oficio o a petición de parte la corrección, actualización o retiro
de datos personales cuando ello sea procedente, conforme con lo establecido
en la presente ley. Cuando sea a petición de parte, se deberá acreditar ante la
Superintendencia que se surtió el trámite de un reclamo por los mismos
hechos ante el operador o la fuente, y que el mismo no fue atendido o fue
atendido desfavorablemente.
6. Iniciar de oficio o a petición de parte investigaciones administrativas contra
los operadores, fuentes y usuarios de información financiera, crediticia,
comercial, de servicios y la proveniente de terceros países, con el fin de
establecer si existe responsabilidad administrativa derivada del incumplimiento
de las disposiciones de la presente ley o de las órdenes o instrucciones
impartidas por el organismo de vigilancia respectivo, y si es del caso imponer
sanciones u ordenar las medidas que resulten pertinentes.
Artículo 18. Sanciones. La Superintendencia de Industria y Comercio y
Superintendencia Financiera podrán imponer a los operadores, fuentes
usuarios de información financiera, crediticia, comercial, de servicios y
proveniente de terceros países previas explicaciones de acuerdo con
procedimiento aplicable, las siguientes sanciones:

la
o
la
el

Multas de carácter personal e institucional hasta por el equivalente a mil
quinientos (1.500) salarios mínimos mensuales legales vigentes al momento
de la imposición de la sanción, por violación a la presente ley, normas que la
impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser
sucesivas mientras subsista el incumplimiento que las originó.
Suspensión de las actividades del Banco de Datos, hasta por un término de
seis (6) meses, cuando se estuviere llevando a cabo la administración de la
información en violación grave de las condiciones y requisitos previstos en la
presente ley, así como por la inobservancia de las órdenes e instrucciones
impartidas por las Superintendencias mencionadas para corregir tales
violaciones.
Cierre o clausura de operaciones del Banco de Datos cuando, una vez
transcurrido el término de suspensión, no hubiere adecuado su operación
técnica y logística, y sus normas y procedimientos a los requisitos de ley, de
conformidad con lo dispuesto en la resolución que ordenó la suspensión.
Cierre inmediato y definitivo de la operación de Bancos de Datos que
administren datos prohibidos.

Artículo 19. Criterios para graduar las sanciones. Las sanciones por
infracciones a que se refiere el artículo anterior se graduarán atendiendo los
siguientes criterios, en cuanto resulten aplicables:
a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la
presente ley;
b) El beneficio económico que se hubiere obtenido para el infractor o para
terceros, por la comisión de la infracción, o el daño que tal infracción hubiere
podido causar;
c) La reincidencia en la comisión de la infracción;
d) La resistencia, negativa u obstrucción a la acción investigadora o de
vigilancia de la Superintendencia de Industria y Comercio;
e) La renuencia o desacato a cumplir, con las órdenes impartidas por la
Superintendencia de Industria y Comercio;
f) El reconocimiento o aceptación expresos que haga el investigado sobre la
comisión de la infracción antes de la imposición de la sanción a que hubiere
lugar.
Artículo 20. Régimen de transición para las Entidades de Control. La
Superintendencia de Industria y Comercio y la Superintendencia Financiera
asumirán, seis (6) meses después de la entrada en vigencia de la presente ley,
las funciones aquí establecidas. Para tales efectos, dentro de dicho término el
Gobierno Nacional adoptará las medidas necesarias para adecuar la estructura
de la Superintendencia de Industria, Comercio y Financiera dotándola de la
capacidad presupuestal y técnica necesaria para cumplir con dichas funciones.
TITULO VII
DE LAS DISPOSICIONES FINALES
Artículo 21. Régimen de transición. Para el cumplimiento de las
disposiciones contenidas en la presente ley, las personas que, a la fecha de su
entrada en vigencia ejerzan alguna de las actividades aquí reguladas, tendrán
un plazo de hasta seis (6) meses para adecuar su funcionamiento a las
Los titulares de la información que a la entrada en vigencia de esta ley
estuvieren al día en sus obligaciones objeto de reporte, y cuya información
negativa hubiere permanecido en los Bancos de Datos por lo menos un año
contado a partir de la cancelación de las obligaciones, serán beneficiarios de la
caducidad inmediata de la información negativa.

A su vez, los titulares de la información que se encuentren al día en sus
obligaciones objeto de reporte, pero cuya información negativa no hubiere
permanecido en los Bancos de Datos al menos un año después de canceladas
las obligaciones, permanecerán con dicha información negativa por el tiempo
que les hiciere falta para cumplir el año, contado a partir de la cancelación de
las obligaciones.
Los titulares de la información que cancelen sus obligaciones objeto de reporte
dentro de los seis (6) meses siguientes a la entrada en vigencia de la presente
ley, permanecerán con dicha información negativa en los Bancos de Datos por
el término de un (1) año, contado a partir de la fecha de cancelación de tales
obligaciones. Cumplido este plazo de un (1) año, el dato negativo deberá ser
retirado automáticamente de los Bancos de Datos.
El beneficio previsto en este artículo se perderá en caso que el titular de la
información incurra nuevamente en mora, evento en el cual su reporte
reflejará nuevamente la totalidad de los incumplimientos pasados, en los
términos previstos en el artículo 13 de esta ley.
Artículo 22. Vigencia y derogatorias. Esta ley rige a partir de la fecha de
publicación y deroga las disposiciones que le sean contrarias.”
VI. DECISIÓN
Con fundamento en las precedentes motivaciones, la Sala Plena de la Corte
Constitucional, administrando justicia en nombre del Pueblo y por mandato de
la Constitución,
RESUELVE:
Primero.-Declarar EXEQUIBLE, por su aspecto formal, el Proyecto de Ley
Estatutaria No. 27/06 Senado-221/07 Cámara (Acum. 05/06 Senado) “por la
cual se dictan las disposiciones generales del Hábeas Data y se regula el
países y se dictan otras disposiciones.”.
Segundo.-Declarar EXEQUIBLES los artículos 1º, 2º, 4º, 7º, 8º, 9º, 10, 11,
12, 15, 16, 18, 19, 20, 21 y 22 del Proyecto de Ley Estatutaria objeto de
revisión.
Tercero.-Declarar EXEQUIBLE el artículo 3º del Proyecto de Ley objeto de
revisión, en el entendido que respecto a lo previsto en el literal c) de este
artículo, el operador es responsable a partir de la recepción del dato
suministrado por la fuente, por el incumplimiento de los deberes de diligencia y
cuidado en relación con la calidad de la información personal, consagrados en
esta Ley Estatutaria. Esta declaratoria de exequibilidad operará salvo la

expresión “así como la información relativa a las demás actividades propias del
sector financiero o sobre el manejo financiero o los estados financieros del
titular”, contenida en el literal j) del artículo 3º del Proyecto de Ley Estatutaria,
que se declaraINEXEQUIBLE.
Cuarto.-Declarar EXEQUIBLE el artículo 5º del Proyecto de Ley objeto de
revisión, en el entendido que respecto a lo previsto en el literal d) de este
artículo, las entidades públicas del poder ejecutivo, cuando acceden al dato
personal, quedan sometidas a los deberes y responsabilidades previstos por la
Ley Estatutaria para los usuarios de la información.
Quinto.-Declarar EXEQUIBLE el artículo 6º del Proyecto de Ley objeto de
revisión, en el entendido que respecto a lo previsto en el numeral 2.1. de este
artículo, la fuente tiene la obligación de informar a los titulares los datos que
suministra al operador, para los fines previstos en el inciso 2º del artículo 12
de la Ley Estatutaria.
Sexto.-Declarar EXEQUIBLE el artículo 13 del Proyecto de Ley objeto de
revisión, en el entendido que la caducidad del dato financiero en caso de mora
inferior a dos años, no podrá exceder el doble de la mora, y que el término de
permanencia de cuatro años también se contará a partir del momento en que
se extinga la obligación por cualquier modo.
Séptimo.-Declarar EXEQUIBLE el artículo 14 del Proyecto de Ley, en el
entendido que las expresiones “reporte negativo” y “reporte positivo” de los
literales a. y b. hacen referencia exclusivamente al cumplimiento o
incumplimiento de la obligación, y que el reporte deberá contener la
información histórica, integral, objetiva y veraz del comportamiento crediticio
del titular.
Octavo.-Declarar EXEQUIBLE el artículo 17 del Proyecto de Ley objeto de
revisión, en el entendido que las Superintendencias, en todo caso, deben
actuar con independencia y autonomía en su función de vigilancia.
Noveno.-ENVIAR copia auténtica de esta sentencia a los Presidentes del
Senado de la República y de la Cámara de Representantes para su
conocimiento, y con el fin de que remitan al Presidente de la República el texto
del proyecto de ley, para los efectos del correspondiente trámite constitucional.
Cópiese, notifíquese, comuníquese, insértese en la Gaceta de la Corte
Constitucional, cúmplase y archívese el expediente.

HUMBERTO ANTONIO SIERRA PORTO
Presidente

JAIME ARAÚJO RENTERÍA
Magistrado
Ausente en comisión

MANUEL JOSÉ CEPEDA ESPINOSA
Magistrado
Ausente en comisión

JAIME CÓRDOBA TRIVIÑO
Magistrado

RODRIGO ESCOBAR GIL
Magistrado

MAURICIO GONZÁLEZ CUERVO
Magistrado

MARCO GERARDO MONROY CABRA
Magistrado

NILSON PINILLA PINILLA
Magistrado

CLARA INÉS VARGAS HERNÁNDEZ
Magistrada

MARTHA VICTORIA SÁCHICA DE MONCALEANO
Secretaria General
TABLA DE CONTENIDO
SENTENCIA C-1011 de 2008
I.

Texto de la norma (1)

II.

Intervenciones

1. Intervenciones oficiales (14)
2. Intervenciones institucionales (20)
3. Intervenciones ciudadanas (30)

III.

Concepto del Procurador General de la Nación (41)

IV.

Subsanación del vicio de procedimiento en la formación de la
ley (47)

V.

Consideraciones de la Corte Constitucional y fundamentos de
la decisión (48)

Metodología de la sentencia (48)
Análisis de constitucionalidad del procedimiento legislativo
1.

El procedimiento surtido en el Congreso respecto del Proyecto de Ley
Estatutaria (48)
2.
Trámite legislativo de subsanación (56)
3.
Constitucionalidad del procedimiento surtido por el Proyecto de Ley (61)
3.1. Publicación del proyecto antes de darle curso en la comisión respectiva
(62)
3.2. Aprobación por mayoría absoluta (63)
3.3. Cumplimiento de las pautas del debate previstas en el artículo 160 C.P.
(65)
3.4. Anuncio previo a la discusión y votación (66)
3.5. Aprobación en una sola legislatura (68)
3.6. Cumplimiento de los requisitos de unidad de materia, consecutividad e
identidad (69)
3.7. Cumplimiento de los requisitos predicables de las normas que ordenan
gasto público (89)
Análisis sobre la constitucionalidad material del Proyecto de Ley
1. La materia del Proyecto de Ley Estatutaria
1.1. El Proyecto de Ley constituye una regulación parcial del derecho al
hábeas data (91)
1.2. El legislador estatutario está facultado para realizar regulaciones de los
derechos fundamentales aplicables de manera sectorial (98)
El Proyecto de Ley no incurre en una omisión legislativa relativa (103)
2. Consideración preliminar: Aspectos generales del régimen del derecho al
hábeas data (105)
3. Análisis del articulado
3.1. Disposiciones generales (Arts. 1º a 5º)
3.1.1. Artículo 1º-Objeto (118)
3.1.2.Artículo 2º-Ámbito de aplicación (119)
3.1.3. Artículo 3º-Definiciones (126)
3.1.4. Artículo 4º-Principios de administración de datos (144)
3.1.5. Artículo 5º-Circulación de la información (146)

3.2. Derechos de los titulares de la información (Artículo 6º) (165)
3.3. Deberes de los operadores, las fuentes y los usuarios de la información
(Arts. 7º a 9º)
3.3.1. Deberes de los operadores de bancos de datos (Artículo 7º) (172)
3.3.2. Deberes de las fuentes de información (Artículo 8º) (174)
3.3.3. Deberes de los usuarios (Artículo 9º) (178)
3.4. De los bancos de datos de información financiera, crediticia, comercial,
de servicios y la proveniente de terceros países. (Arts. 10 a 15)
3.4.1. Principio de favorecimiento de una actividad de interés público
(Artículo 10) (178)
3.4.2. Requisitos especiales para los operadores (Artículo 11) (185)
3.4.3. Requisitos especiales para fuentes (Artículo 12) (187)
3.4.4. Permanencia de la información (Artículo 13) (190)
3.4.5. Contenido de la información (Artículo 14) (214)
3.4.6. Acceso a la información por parte de los usuarios (Artículo 15) (222)
3.5. Peticiones de consultas y reclamos (Artículo 16) (226)
3.6. Vigilancia de los destinatarios de la ley (Arts. 17 a 20)
3.6.1. Función de vigilancia (Artículo 17) (231)
3.6.2. Sanciones y criterios para su graduación (Arts. 18 y 19) (235)
3.6.3. Régimen de transición para las Entidades de Control (Artículo 20)
(247)
3.7. Disposiciones finales (Arts. 21 y 22)
3.7.1. Régimen de transición (Artículo 21) (248)
3.7.2. Vigencia y derogatorias (Artículo 22) (260)
4. Texto definitivo del Proyecto de Ley Estatutaria (260)
VI. Decisión (273)

[1]

Auto 089 de 2005.
Corte Constitucional Sentencia C-144 de 1993.
[3]
Cfr. Folios 36A al 35H del cuaderno principal.
[4]
Cfr. Folios 111 a 112 del cuaderno de pruebas 1.
[5]
Cfr. Folio 38 del cuaderno principal.
[6]
[7]
[8]
Cfr. Folio 29 del cuaderno de pruebas 1.
[9]
[10]
Cfr. Folios 3 al 4 del cuaderno de pruebas 1.
[2]

[11]

[13]
[14]
[15]
[16]
Sobre el particular, en la Gaceta del Congreso 72 de 2007, p. 88 se lee lo siguiente:
“La Presidencia indica a la Secretaría conti nuar con el siguiente proyecto.
Proyecto de ley número 27 de 2006 Sena do, (acumulado con el 05 de 2006 Senado), por la cual se
dictan las disposiciones gene rales del hábeas data y se regula el manejo de la información contenida en
bases de datos personales, en especial la financiera, crediti cia, comercial y de servicios y se dictan otras
disposiciones.
(…)
La Presidencia indica a la Secretaría dar lec tura a la proposición que termina el informe.
Por Secretaría se da lectura a la proposición positiva con que termina el informe de ponen cia.
La Presidencia somete a consideración de la plenaria la proposición leída y, cerrada su discusión, esta le
imparte su aprobación.
Se abre el segundo debate
Por solicitud del honorable Senador Oscar Darío Pérez Pineda, la Presidencia somete a consideración de la
plenaria omitir la lectura del articulado y, cerrada su discusión, esta le imparte su aprobación.
La Presidencia somete a consideración de la plenaria el articulado del proyecto, y cerrada su discusión
pregunta: ¿Adopta la plenaria el articulado propuesto? Y esta responde afirma tivamente.
La Presidencia indica a la Secretaría dar lectura al título del proyecto.
Por Secretaría se da lectura al título del Proyecto de ley número 27 de 2006 Senado, (Acumulado con el
05 de 2006 Senado), por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo
de la información contenida en bases de datos per sonales, en especial la financiera, crediticia, comercial y
de servicios y se dictan otras dis posiciones.
Leído este, la Presidencia lo somete a con sideración de la plenaria, y cerrada su discu sión pregunta:
¿Aprueban los miembros de la Corporación el título leído? Y estos le impar ten su aprobación.
Cumplidos los trámites constitucionales, legales y reglamentarios, la Presidencia pre gunta: ¿Quieren los
Senadores presentes que el Proyecto de ley aprobado sea Ley de la Re pública? Y estos responden
afirmativamente.
La Presidencia indica a la Secretaría conti nuar con el siguiente proyecto.”
[17]
[18]
[19]
[20]
[21]
[22]
[23]
Cfr. Gaceta del Congreso 307 de 2007 p. 30 a 31. Folios 51 a 52 del cuaderno de pruebas 6.
[24]
[25]
[26]
[27]
[28]
[29]
[30]
[31]
Al respecto, en el acta de la sesión plenaria se encuentra lo siguiente:
“La Presidencia indica a la Secretaría continuar con el siguiente informe de conciliación, el cual se abrió y
cerró su discusión y se encuentra pendiente de aprobar.
[12]

Proyecto de ley número 027 de 2006 Senado (acumulado 05 de 2006 Senado), 221 de 2007 Cámara), por la
cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida
en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de
terceros países y se dictan otras disposiciones.

Leída y cerrada la discusión del informe de conciliación, la Presidencia lo somete a consideración de la
plenaria y esta le imparte su aprobación.”
[32]
[33]
Folios 163 a 164 del cuaderno de pruebas 4.
[34]
Sobre el particular, en la página 12 de la Gaceta del Congreso 327/07, (Folio 216 del cuaderno de pruebas
4), se lee lo siguiente:
“Referencia: Informe de Conciliación al Proyecto de Ley Estatutaria número 221 de 2007 Cámara, 027 de
2006 Senado, acumulado con el 05 al 06 Senado, por la cual se dictan las disposiciones generales del Hábeas
Data y se regula el manejo de la información contenida en base de datos personales en especial la financiera,
crediticia, comercial de servicios y la proveniente de terceros países y se dictan otras disposiciones.
Se anexa el informe de conciliación que igualmente fue publicado y repartido a los Congresistas en la Gaceta
del Congreso.
Firman Luis Fernando Velasco, Oscar Darío Pérez, David Luna y Juan de Jesús Córdoba.
Dirige la Sesión el Vicepresidente, honorable Representante Jorge Homero Giraldo:
En consideración el informe de conciliación, leído, se abre la discusión, anuncio que va a cerrarse, queda
cerrada, ¿lo aprueban?
El Secretario General, doctor Angelino Lizcano Rivera, informa:
Ha sido aprobado Presidente.
Dirige la Sesión el Vicepresidente, honorable Representante Jorge Homero Giraldo:
Continúe señor Secretario.”
[35]

Cfr. Cuaderno de pruebas 11, folio 39.
Cfr. Corte Constitucional, sentencia C-1040/05 y auto A-311/06.
[37]
[38]
[39]
Cfr. Gaceta del Congreso 327/08, página 17.
[40]
Cfr. Folios 10 (reverso) y 11 del cuaderno de pruebas 10.
[41]
[42]
[43]
Sobre esta recopilación de decisiones, Cfr. Corte Constitucional, Auto 232/07
[44]
[45]
[46]
Acerca de esta enumeración de requisitos, Cfr. Corte Constitucional, sentencia C-502/07.
[47]
Los artículos 128 y 129 de la Ley 5ª de 1992 establecen sobre las formas de votación:
“ARTICULO 128. Modos de votación. Hay tres modos de votación, a saber: La ordinaria, la nominal y la
secreta.” La votación ordinaria se usará en todos los casos en que la Constitución, la ley o el reglamento no
hubieren requerido votación nominal. /
“ARTICULO 129. Votación ordinaria. Se efectúa dando los Congresistas, con la mano, un golpe sobre el
pupitre. El Secretario informará sobre el resultado de la votación, y si no se pidiere en el acto la verificación,
se tendrá por exacto el informe. / Si se pidiere la verificación por algún Senador o Representante, en su caso,
se procederá de este modo: los que quieran el SI se pondrán de pie, permaneciendo en esta postura mientras
son contados por el Secretario y se publica su número. Sentados, se procederá seguidamente con los que
quieran el NO y se ponen a su vez de pie; el Secretario los cuenta e informa su número y el resultado de la
votación. / El Congresista puede solicitar que su voto conste en el acta, indicándolo en forma inmediata y
públicamente. / Podrá emplearse cualquier procedimiento electrónico que acredite el sentido del voto de cada
Congresista y el resultado total de la votación.”
[48]
En la sentencia se realizó la revisión previa de constitucionalidad del proyecto de ley estatutaria número
58/00 Senado y 219/01 Cámara, “Por la cual se reforman las leyes 131 y 134 de 1994, reglamentarias del voto
programático.” El M.P. fue Marco Gerardo Monroy Cabra. Salvaron parcialmente el voto los magistrados
Alfredo Beltrán Sierra y Rodrigo Escobar Gil. En la cita que se transcribe se insertó entre paréntesis la
locución “sic”, para señalar que donde se dice quórum deliberatorio se quiso decir realmente quórum
[36]

decisorio, tal como se aclaró después en la sentencia C-307 de 2004, al transcribir el mismo aparte de la
sentencia C-179 de 2002.
[49]
MM.PP. Rodrigo Escobar Gil, Manuel José Cepeda Espinosa y Alfredo Beltrán Sierra. La sentencia contó
con el salvamento parcial de voto, por distintos motivos, de los magistrados Clara Inés Vargas Hernández,
Jaime Araújo Rentería, Alfredo Beltrán Sierra, Rodrigo Escobar Gil, Marco Gerardo Monroy Cabra y
Eduardo Montealegre Lynett. También contó con aclaraciones de votos de los magistrados Clara Inés Vargas
Hernández Jaime Araújo Rentería y Alfredo Beltrán Sierra.
[50]
Cf. artículo 116 de la Ley 5ª de 1992.
[51]
Cfr. Corte Constitucional, sentencia C-473/05.
[52]
Cfr. Corte Constitucional, sentencia C-1040/05 y auto A-311/06.
[53]
Cfr. Corte Constitucional, auto A-311/06.
[54]
Sobre el particular Cfr. Corte Constitucional, sentencia C-576/06.
[55]
[56]
Cfr. Corte Constitucional, sentencias C-501/01, C-714/01, C-1025/01 y C-809/07, entre otras.
[57]
[58]
[59]
Sentencia C-702 de 1999.M.P. Fabio Morón Díaz
[60]
Sentencia C-1190 de 2001 M.P. Jaime Araújo Rentería. También se puede consultar la Sentencia C-950 de
2001 M.P. Jaime Córdoba Triviño.
[61]
Sentencia C-702 de 1999 M.P. Fabio Morón Díaz.
[62]
Ver Sentencia C-1108/01 M.P. Rodrigo Escobar Gil y Marco Gerardo Monroy Cabra.
[63]
Sentencias C-008 de 1995 M.P. José Gregorio Hernández Galindo y C-809 de 2001.M.P. Clara Inés
Vargas Hernández
[64]
[65]
[66]
Corte Constitucional, Sentencia C-801 de 2003 (MP Jaime Córdoba Triviño), en este caso se examinó los
cambios sufridos por el artículo 51 de la Ley 789 de 2003 (jornada laboral flexible), frente al cual el Congreso
ensayó distintas fórmulas en todos los debates. El artículo, tal y como fue finalmente aprobado, no hizo parte
ni del proyecto del gobierno, ni de la ponencia para primer debate en comisiones. En la ponencia para segundo
debate en plenaria de la Cámara fue incluido y aprobado el artículo sobre jornada laboral flexible. En la
ponencia para segundo debate en plenaria del Senado, no existía el artículo sobre jornada laboral flexible, pero
sí el asunto de la jornada laboral. La comisión de conciliación adopta el artículo sobre jornada laboral flexible
y fórmula que es aprobada por las Cámaras. Aun cuando el artículo como tal sólo es aprobado inicialmente en
la Plenaria de la Cámara, el asunto sobre la regulación de la jornada laboral si fue aprobado en los 4 debates.
[67]
Corte Constitucional, sentencia C-1092 de 2003 (MP Álvaro Tafur Galvis).
[68]
Corte Constitucional, sentencia C-920 de 2001 (MP Rodrigo Escobar Gil). La Corte declara la inexequi
bilidad de una disposición. Intro ducida en el último debate, que constituía un asunto nuevo, sin relación con
la materia debatida hasta ese momento.
[69]
Ver Corte Constitucional, sentencia C-198 de 2002 (MP Clara Inés Vargas Hernández, SV Rodrigo
Escobar Gil, Marco Gerardo Monroy Cabra y Álvaro Tafur Galvis).
[70]
Corte Constitucional, sentencia C-996 de 2004 (MP Marco Gerardo Monroy Cabra)
[71]
[72]
Cfr. Gaceta del Congreso 30 de 2007.
[73]
[74]
Corte Constitucional, sentencia C-614 de 2002 (MP Rodrigo Escobar Gil; AV Jaime Araújo Rentería y
Clara Inés Vargas Hernández) En este caso, la Corte consideró que “(…) como resultado de los debates en
segunda vuelta, el proyecto aprobado en la primera puede ser objeto, en primer lugar, de modifica ciones que
tengan un alcance meramente formal, como cambios en las palabras, o en la redacción. Tales cambios puede
afectar también la estructura de un artículo, de tal modo que se fundan en uno solo los contenidos de varios
incisos, o, en un proyecto complejo, puede ocurrir que haya intercambio de textos entre distintos artículos. Y
puede ocurrir que en ninguno de tales eventos se modifique el contenido de regulación del proyecto. Y así,
puede suceder que el inciso que se echa de menos en una disposición se encuentre incorporado en otro de la
misma norma, o que el artículo que parece ser nuevo no sea sino el producto de la regulación separada de
materias que antes se habían tratado de manera conjunta en una sola norma, etc.”
[75]
Corte Constitucional, sentencia C-614 de 2002 (MP Rodrigo Escobar Gil; AV Jaime Araújo Rentería y
Clara Inés Vargas Hernández) Para la Corte, “[c]omo resultado del debate, en cualquiera de sus etapas,

pueden presentarse modificaciones que afecten el contenido normativo de las disposiciones de un proyecto, o
le incorporen regulaciones complementarias, con la condición de que no comporten cambios esenciales sobre
lo que ha sido previamente aprobado.” Por ‘cambios esenciales’ dice la Corte en este caso, se entiende
modificaciones “(…) en las disposiciones aprobadas, en tal medida significativas, que no permitan afirmar
que se trata de modificaciones o adicio nes a una iniciativa aprobada con anterioridad, sino que constituyan
verda deras propuestas nuevas, que no habrían recibido los debates reglamentarios y que no habrían sido
consideradas en la primera vuelta.”
[76]
Tal como lo ha definido la jurisprudencia constitucional, la competencia de las comisiones de conciliación
“(…) está circunscrita únicamente a las diferencias que hubieren podido surgir entre lo aprobado en la
plenaria de la Cámara de Representantes y lo aprobado en la plenaria del Senado. Tales discrepancias se
pueden expresar de diversas formas, por ejemplo: (i) cuando no hay acuerdo sobre la redacción de un texto
normativo, (ii) cuando el contenido de un artículo difiere del aprobado en la otra plenaria y, (iii) cuando se
aprueban artículos nuevos en una cámara.” Corte Constitucional, sentencia C-292 de 2003 (MP Eduardo
Montealegre Lynett; SPV Jaime Araújo Rentería; Manuel José Cepeda Espinosa; Eduardo Montealegre
Lynett; AV Álvaro Tafur Galvis). Mediante esta sentencia la Corte revisó la constitucionalidad del proyecto
de ley estatutaria numero 022 de 2001 Senado, 149 de 2001 Cámara, “por medio de la cual se reglamentan
las veedurías ciudadanas”.
[77]
[78]
Ley 819/03. Artículo 7. Análisis del impacto fiscal de las normas. En todo momento, el impacto fiscal
de cualquier proyecto de ley, ordenanza o acuerdo, que ordene gasto o que otorgue beneficios tributarios,
deberá hacerse explícito y deberá ser compatible con el Marco Fiscal de Mediano Plazo.
Para estos propósitos, deberá incluirse expresamente en la exposición de motivos y en las ponencias de trámite
respectivas los costos fiscales de la iniciativa y la fuente de ingreso adicional generada para el financiamiento
de dicho costo.
El Ministerio de Hacienda y Crédito Público, en cualquier tiempo durante el respectivo trámite en el Congreso
de la República, deberá rendir su concepto frente a la consistencia de lo dispuesto en el inciso anterior. En
ningún caso este concepto podrá ir en contravía del Marco Fiscal de Mediano Plazo. Este informe será
publicado en la Gaceta del Congreso.
Los proyectos de ley de iniciativa gubernamental, que planteen un gasto adicional o una reducción de
ingresos, deberá contener la correspondiente fuente sustitutiva por disminución de gasto o aumentos de
ingresos, lo cual deberá ser analizado y aprobado por el Ministerio de Hacienda y Crédito Público.
En las entidades territoriales, el trámite previsto en el inciso anterior será surtido ante la respectiva Secretaría
de Hacienda o quien haga sus veces.
[79]
[80]
Sentencia C-399/03 M.P. Clara Inés Vargas Hernández.
[81]
“Artículo 39. Los gastos autorizados por leyes preexistentes a la presentación del Proyecto Anual del
Presupuesto General de la Nación, serán incorporados a éste, de acuerdo con la disponibilidad de recursos y
las prioridades del Gobierno, si corresponden a funciones de órganos del nivel nacional y guardan
concordancia con el Plan Nacional de Inversiones, e igualmente las apropiaciones a las cuales se refiere el
parágrafo único del artículo 21 de la Ley 60 de 1993.
Los proyectos de ley mediante los cuales se decreten gastos de funcionamiento solo podrán ser presentados,
dictados o reformados por iniciativa del Gobierno a través del Ministro de Hacienda y Crédito Público y del
Ministro del ramo, en forma conjunta (Ley 179 de 1994, art. 18).”
[82]
Cfr. Corte Constitucional, sentencia C-1134/04, M.P. Álvaro Tafur Galvis.
[83]
En el derecho comparado existen varios ordenamientos sobre la administración general de datos
personales. Entre ellos, se encuentra la Directiva Europea de Protección de Datos Personales 95/46/CE,
norma de referencia de la Unión Europea para la materia. En ella, luego de identificar los derechos
interferidos en la protección de datos personales y la importancia de la protección de los mismos en el ámbito
comunitario, establece secciones concebidas como materias generales, aplicables a toda categoría de
administración de información personal. Estas secciones regulan (i) normas generales sobre objeto, ámbito de
aplicación, definiciones y derecho nacional aplicable; (ii) principios relativos a la calidad de los
datos; (iii) categorías especiales de tratamiento de protección de datos; (iv) deber de información al interesado
respecto de la recolección de datos; (v) derecho de acceso a los datos por parte del interesado; (vi) excepciones
y limitaciones a la aplicación de las normas sobre protección de datos personales; (vii) derecho de oposición
del interesado; (viii) reglas sobre confidencialidad y seguridad en el tratamiento de la información; (ix) deber
de notificación a la autoridad de control; (x) régimen de recursos judiciales, responsabilidad y

sanciones; (xi) transferencia de datos a terceros países; (xii) códigos de conducta; (xiii) deber de constitución
de una autoridad de control y las reglas que le son aplicables; y (xiv) medidas de ejecución comunitaria.
Otro ejemplo puede encontrarse en la legislación española sobre la materia. En efecto, la Ley Orgánica
15/1999, de protección de datos de carácter personal, establece disposiciones dirigidas a regular (i) las
disposiciones generales sobre la administración de información personal; (ii) los principios de protección de
los datos; (iii) los derechos de las personas concernidas; (iv) las disposiciones sectoriales dirigidas a la
regulación diferenciada de los ficheros de naturaleza pública y privada; (v) normas sobre el movimiento
internacional de datos; (vi) las normas que regulan la Agencia de Protección de Datos; y (vii) el régimen
sancionatorio.
Como se observa, regímenes de esta naturaleza tienen como objeto una regulación integral de las distintas
modalidades de administración de datos personales, sin que circunscriban su vigencia a una naturaleza de
datos en particular.
[84]
Cfr. Gaceta del Congreso 246/06, páginas 14-15.
[85]
[86]
Cuerpos normativos concentrados en la regulación sectorial de la administración de datos personales,
recopilados exclusivamente para propósitos relacionados con el cálculo del riesgo crediticio, no son extraños
en el derecho comparado. Un ejemplo de regulación de esta naturaleza es la legislación estadounidense “Fair
Credit Reporting Act” . 15 U.S.C. § 1681 et seq. Este ordenamiento se encarga de regular, entre sus aspectos
más importantes (i) el régimen aplicable a las agencias de información sobre los consumidores; (ii) las reglas
sobre los usos permitidos de la información personal comercial y financiera; (iii) los requerimientos de
seguridad y confidencialidad predicables de las citadas agencias; (iv) el régimen de responsabilidad civil por
el incumplimiento de las reglas sobre tratamiento de la información; y (v) las posibilidades de acceso
excepcional a los registros sobre historial crediticio por parte de agencias de seguridad y para fines
relacionados con la prevención, investigación y sanción del terrorismo, previsiones agregadas en virtud de
la “USA Patriot Act”.
[87]
Cfr. Corte Constitucional, sentencias C-646/01 y C-687/02.
[88]
Corte Constitucional, Sentencia C-425/94, MP: José Gregorio Hernández Galindo. En esta sentencia, la
Corte declaró inconstitucionales los artículos de la Ley 104 de 1993 que regulaban el derecho a la información
y establecían restricciones sobre el núcleo esencial que deberían haber sido reguladas en una ley estatutaria.
[89]
[90]
Sentencia C-567 de 1997, M.P. Eduardo Cifuentes Muñoz
[91]
Sobre el particular insiste la sentencia C-687/02, en el sentido que resultaba claro que “si una norma fija
pautas y establece supuestos fácticos para la caducidad de los datos de las personas, está reglamentando el
contenido conceptual básico del derecho al habeas data, pues por este camino es alterada la forma como
distintas personas pueden actualizar y rectificar sus informaciones. Existen entonces precedentes claros,
según los cuales, una disposición que establezca un límite de caducidad para los datos negativos de las
personas, está regulando contenidos estructurales de un derecho fundamental, y por tanto debe ser adoptada
a través de una ley estatutaria.” La misma sentencia agregó que la reserva de ley estatutaria para el caso
concreto de la fijación de un término de caducidad al dato financiero negativo encontraba sustento en, al
menos, tres razones. De un lado, y como lo señalaron las sentencias C-384 de 2000 y C-729 de 2000, la
consagración de un término de caducidad del dato financiero regula estructuralmente el hábeas data en
materia financiera, pues establece las condiciones de tiempo en que las personas pueden exigir que sea
removida una información negativa, que figura en una determinada base de datos. Y es obvio que ese
elemento es básico en la determinación del alcance concreto del hábeas data, puesto que condiciona el éxito
de la posibilidad de que una persona modifique la información contenida en una base de datos. 17. De otro
lado, el propio artículo 15, al regular el habeas data y el derecho a la intimidad, ampara también, dentro de
determinados límites, el derecho de las personas a estructurar bases de datos, pues no sólo prevé
precisamente que el hábeas data es un mecanismo para rectificar el contenido de dichas bases, sino que
además esa disposición establece literalmente que “en la recolección, tratamiento y circulación de datos se
respetarán la libertad y demás garantías consagradas en la Constitución”. Esto significa que existe un
derecho a recolectar, sistematizar y circular datos, que además se encuentra profundamente ligado a la
libertad de toda persona de informar y recibir información veraz e imparcial (CP art. 20). El derecho a
sistematizar y circular datos es entonces fundamental, no sólo por su consagración expresa en el artículo 15
superior sino además por su relación inescindible con la libertad de información, que es uno de los derechos
más importantes en una democracia, tal y como esta Corte lo ha destacado en numerosas oportunidades, al
señalar que es una libertad preferente en nuestro orden constitucional. Ahora bien, la consagración de un

término de caducidad, a partir del cual las entidades financieras no pueden circular determinados datos
sobre los eventuales deudores, implica obviamente una restricción al derecho a la circulación de datos,
reconocido por la Carta. Y esta restricción, al estar asociada al derecho fundamental a recolectar, tratar y
circular datos, requiere una ley estatutaria. 18-Finalmente, y directamente ligado a lo anterior, la
consagración de un término de caducidad implica una restricción al derecho a informar y a ser informado,
que es un derecho fundamental (CP art. 20). Además, esta limitación opera en el campo financiero, que es
una actividad de interés general, como expresamente lo señala el artículo 335 de la Constitución. Ahora bien,
la información veraz en materia financiera protege la estabilidad del sector, pues el otorgamiento de créditos
es una actividad que implica riesgos, y por ello es legítimo que las entidades financieras busquen conocer el
comportamiento pasado de los aspirantes a préstamos[91]. Esto no significa que la existencia de un término de
caducidad sea en si mismo inconstitucional, pues encuentra amplio sustento en el derecho al olvido, o el
derecho a la caducidad negativa del dato financiero, que es a su vez una expresión del derecho a la intimidad
y del lugar prevalente de la dignidad humana en el ordenamiento constitucional (CP arts. 1º, 5 y 15). Y es
que las personas requieren una protección frente al poder informático, y uno de los elementos de esa
protección es el derecho a que ciertas informaciones negativas deban ser olvidadas y no puedan circular en
bases de datos después de un determinado tiempo.”
[92]

[94]
Cfr. Corte Constitucional, sentencias C-543/96, C-427/00, C-1549/00 y C-185/02. Esta síntesis es tomada
de las consideraciones de la sentencia C-045/06.
[95]
Cfr. Corte Constitucional, sentencias C-1549/00 y C-427/00.
[96]
El riesgo financiero es definido como “la posibilidad de que una entidad incurra en pérdidas y se
disminuya el valor de sus activos, como consecuencia de que un deudor o contraparte incumpla sus
obligaciones.” Cfr. Superintendencia Financiera de Colombia. Circular Básica Contable y Financiera 100 de
1995. Capítulo II.
[97]
Debe tenerse en cuenta que la denominación “hábeas data” no ha sido la única utilizada por la
jurisprudencia para identificar las facultades del sujeto concernido respecto de las bases de datos. Así, durante
el desarrollo del concepto en las decisiones de la Corte se han usado las expresiones de “autodeterminación
informática” o “autodeterminación informativa”. En todo caso, estas tres definiciones refieren a la misma
realidad jurídica, por lo que no ofrecen mayores dificultades en su uso alternativo. Sin embargo, ante la
necesidad de contar con una descripción uniforme y habida cuenta el uso extendido del término en el ámbito
del derecho constitucional colombiano, esta sentencia utilizará el vocablo hábeas data con el fin de nombrar el
derecho que tienen todas las personas a ejercer las facultades de conocimiento, actualización y rectificación de
la información personal contenida en bases de datos. Adicionalmente, debe tenerse en cuenta que en el
derecho comparado, amén de las particularidades en su ejercicio, se ha considerado apropiado distinguir una
especie particular del hábeas data, referido a los derechos del sujeto concernido en centrales de información
crediticia. Sobre el particular. Cfr. DUBIÉ. Pedro. El hábeas data financiero. En: GOZAÍNI, Osvaldo. La
Defensa de la Intimidad y de los Datos Personales a través del Habeas Data. Ediar. Buenos Aires. 2001.
[98]
El primer desarrollo del derecho al hábeas data y sus relaciones con los derechos a la dignidad humana, la
intimidad y el buen nombre fue realizado por la Corte en la sentencia T-414/92. En esta sentencia se
consideró que la protección del dato personal era un aspecto connatural a la eficacia del derecho a la
intimidad, en cuanto es el individuo quien debe arbitrar la divulgación de la información perteneciente a su
vida privada. Este ejercicio del derecho constitucional adquiría, en términos de la sentencia, una mayor
vigencia ante las posibilidades de gestión informatizada de datos que ejercían las centrales de información
financiera. De esa medida, existía la necesidad de configurar a favor del individuo un derecho a la “libertad
informática”, definido como “la facultad de disponer de la información, de preservar la propia identidad
informática, es decir, de permitir, controlar o rectificar los datos concernientes a la personalidad del titular
de los mismos y que, como tales, lo identifican e individualizan ante los demás. Es, como se ve, una nueva
dimensión social de la libertad individual diversa, y por razón de las circunstancias que explican su
aparición, de otras clásicas manifestaciones de la libertad”.
[99]
Aunque el número de sentencias es considerable, a partir del uso de las herramientas del análisis dinámico
de jurisprudencia, puede concluirse que entre las sentencias hito de este debate se encuentran los fallos T414/92, T-433/94, T-176/95, T-261/95, SU-082/95, SU-089/95, T-552/97, T-307/99, T-527/00, SU-014/01 T578/01, T-729/02 y T-592/03.
[93]

[100]

Esta decisión se ocupó de la revisión de un fallo de tutela promovido por un ciudadano que consideraba
violado sus derechos a la intimidad, la seguridad, la integridad personal, la propiedad y la libertad; en razón a
que el Departamento Administrativo de Catastro Distrital y la Superintendencia Nacional de Salud publicaban
en sus páginas Web su información personal, a la cual podía accederse por cualquier persona que conociera
algunos pocos datos del sujeto concernido. La Corte concluyó que ese modelo de suministro del dato violaba
los principios de administración de los datos personales, en especial los de libertad, finalidad e
individualidad. Por ende, concedió el amparo y ordenó a las entidades mencionadas que eliminaran cualquier
posibilidad de acceso indiscriminado a la información personal del actor.
[101]
Cfr. Corte Constitucional, sentencia T-729/02, fundamento jurídico 4 a).
[102]
Aunque la formulación de principios de la administración de datos personales, que definen el contenido y
alcance del derecho al hábeas data, es una construcción jurisprudencial que sistematiza las condiciones
mínimas para la satisfacción de las facultades propias de ese derecho, previstas en el artículo 15 C.P.; es
importante advertir que el modelo principialista también ha sido desarrollado por instancias del derecho
internacional que, preocupadas por la necesidad de contar con regulaciones legales nacionales respetuosas de
los derechos humanos interferidos por las actividades de administración de datos personales, han establecido
directrices para la regulación, presentadas a través de principios guía de regulación. Un ejemplo de ello es la
Recomendación del Consejo de la Organización para la Cooperación y el Desarrollo Económico-OCDE, sobre
las Directrices relativas a la Protección de la Intimidad y de la Circulación Transfronteriza de Datos de
Carácter Personal, de 1980. En este documento se establecen los principios de (i) limitación de la recogida,
según el cual debería haber límites en la recogida de datos personales y tales datos deberían recabarse
mediante medios lícitos y justos y, en su caso, con el conocimiento o consentimiento del sujeto de los
datos; (ii) calidad de los datos, que apunta a que los datos personales deberían ser pertinentes a los efectos
para los que se vayan a utilizar y, en la medida necesaria a tales efectos, deberían ser exactos y completos, y
mantenerse al día; (iii) especificación de la finalidad, el cual establece que los efectos para los cuales se
recojan los datos personales deberían especificarse en el momento de la recogida, a más tardar, y la posterior
utilización quedar limitada al cumplimiento de tales efectos o de aquellos otros que no sean incompatibles con
los mismos y que se especifiquen en cada ocasión en que se cambie la finalidad; (iv) limitación de uso, que
estipula que los datos personales no deberían revelarse, hacerse disponibles o utilizarse de otro modo a efectos
que no sean los especificados, salvo en los casos de consentimiento del sujeto de datos o imperativo
legal; (v) salvaguardas de seguridad, dirigido a que los datos personales deberían protegerse, mediante
salvaguardas de seguridad razonables, frente a tales riesgos como pérdida de los mismos o acceso,
destrucción, uso, modificación o revelación no autorizados; (vi) apertura, el cual establece que debería haber
una política general de apertura respecto a avances, prácticas y políticas con respecto a los datos personales. A
su vez, el mismo principio propugna por que deberían existir medios fácilmente disponibles para establecer la
existencia e índole de los datos personales, y de las principales finalidades para su uso, así como la identidad y
domicilio del controlador de los datos; (vii) participación individual, según el cual a persona debería tener
derecho a: a) recabar, del controlador de los datos o de otro modo, confirmación de si el controlador tiene o no
tiene datos correspondientes a la misma; b) hacer que se le comuniquen los datos correspondientes a ella
dentro de un plazo razonable, por una cuota en su caso, que no sea excesiva, de manera razonable y de una
forma que le resulte fácilmente inteligible; c) que se le den los motivos para ello, en virtud de los subapartados
a) y b), si su solicitud fuere denegada y ella pueda impugnar tal denegación, y d) impugnar los datos que se
refieran a ella y, si la impugnación prospera, hacer que se supriman, rectifiquen, completen o modifiquen los
mismos; y (viii) responsabilidad, que propugna porque el controlador de datos debería ser responsable del
cumplimiento de las medidas que den efecto a los principios expuestos más arriba.
Como se observa, la sistematización ofrecida por el precedente citado recoge, en buena medida, la tendencia
internacional de estipular principios de administración de datos personales, que sirvan de sustento para la
protección de los derechos fundamentales de los sujetos concernidos, en especia la intimidad y el hábeas data.
[103]
Así mismo, en la sentencia T-414 de 1992, frente a la titularidad del dato y a su posibilidad de apropiación
por un tercero, la Corte indicó: "Lo cierto es que por las muy estrechas relaciones entre el dato personal y la
intimidad que atrás hemos destacado, la sola búsqueda y hallazgo de un dato no autoriza a pensar que se ha
producido simultáneamente su apropiación exclusiva y, por tanto, la exclusión de toda pretensión por parte del
sujeto concernido en el dato. De ahí que no pueda hablarse de que existe un propietario del dato con las
mismas implicaciones como si se tratara de una casa, un automóvil o un bien intangible. Tampoco cabe pensar
que la entidad que recibe un dato de su cliente en ejercicio de una actividad económica, se convierte por ello
mismo en su propietario exclusivo...". En este mismo fallo la Corte se pronunció acerca de la imposibilidad

de someter los asuntos concernientes a los datos personales al derecho clásico de propiedad, y excluyó
cualquier intento de reconocerle validez a la idea de su apropiación por parte de terceros.
[104]
Cfr. Corte Constitucional, sentencia T-729/02, fundamento jurídico 4 c).
[105]
Esta calificación se justifica, entre otras, en virtud de la existencia de ciertos derechos igualmente
constitucionales, como es el caso de los derechos de propiedad intelectual (artículo 61 de la Constitución) que
constituyen un límite de rango constitucional al derecho a la información.
[106]
Cfr. Corte Constitucional, sentencia T-729/02, fundamento jurídico 4 c).
[107]
Cfr. Corte Constitucional, sentencias SU-082/95 y T-307/99.
[108]
Cfr. Comité de Derechos Humanos. Observación General No. 16 “El Derecho al respecto a la vida
privada, la familia, el domicilio, y la correspondencia y la protección de la honra y la reputación”. Adoptada
durante el 32° período de sesiones. 1988. Párrafo 10.
[109]
O’DONNELL, Daniel. Derecho internacional de los derechos humanos. Normativa, jurisprudencia y
doctrina de de los sistemas universal e interamericano. Edición General de Alejandro Valencia
Villa. Oficina en Colombia del Alto Comisionado de Naciones Unidas para los Derechos Humanos. Bogotá,
2004. Páginas 543-546.
[110]
En el ámbito del sistema interamericano, el Relator para la Libertad de Expresión expuso consideraciones
más amplias sobre el alcance del derecho del titular de acceso a la información personal. Al respecto, el
principio 3º de la Declaración de Principios sobre Libertad de Expresión, establece que “Toda persona tiene
el derecho a acceder a la información sobre sí misma o sus bienes en forma expedita y no onerosa, ya esté
contenida en bases de datos, registros públicos o privados y, en el caso de que fuere necesario, actualizarla,
rectificarla y/o enmendarla”. Al analizar este principio, el Relator indicó lo siguiente:
“Este principio se refiere a la acción de habeas data. La acción de habeas data se erige sobre la base de tres
premisas: 1) el derecho de cada persona a no ser perturbado en su privacidad, 2) el derecho de toda persona
a acceder a información sobre sí misma en bases de datos públicos y privados para modificar, anular o
rectificar información sobre su persona por tratarse de datos sensibles, falsos, tendenciosos o
discriminatorios y 3) el derecho de las personas a utilizar la acción de habeas data como mecanismo de
fiscalización. Este derecho de acceso y control de datos personales constituye un derecho fundamental en
muchos ámbitos de la vida, pues la falta de mecanismos judiciales que permitan la rectificación,
actualización o anulación de datos afectaría directamente el derecho a la privacidad, el honor, a la identidad
personal, a la propiedad y la fiscalización sobre la recopilación de datos obtenidos.
Esta acción adquiere una importancia aún mayor con el avance de nuevas tecnologías. Con la expansión en
el uso de la computación e Internet, tanto el Estado como el sector privado tienen a su disposición en forma
rápida una gran cantidad de información sobre las personas. Por lo tanto, es necesario garantizar la
existencia de canales concretos de acceso rápido a la información para modificar información incorrecta o
desactualizada contenida en las bases de datos electrónicas. Asimismo la acción de habeas data impone
ciertas obligaciones a las entidades que procesan información: el usar los datos para los objetivos
específicos y explícitos establecidos; y garantizar la seguridad de los datos contra el acceso accidental, no
autorizado o la manipulación. En los casos en que entes del Estado o del sector privado hubieran obtenido
datos en forma irregular y/o ilegalmente, el peticionario debe tener acceso a dicha información, inclusive
cuando ésta sea de carácter clasificada.
En cuanto al carácter fiscalizador de la acción de habeas data, es importante destacar que en algunos países
del hemisferio, dicha acción constituye un importante mecanismo de control de la actividad de las agencias
de seguridad e inteligencia del Estado. El acceso a los datos personales permite verificar la legalidad
utilizada por parte de estas agencias del Estado en la recopilación de datos de las personas. El acceso a
dicha información, por otra parte, habilita al peticionario a conocer la identidad de los involucrados en la
recopilación ilegal de datos, habilitando la sanción legal para sus responsables.
Para que la acción de habeas data sea llevada a cabo con eficiencia, se deben eliminar las trabas
administrativas que obstaculizan la obtención de la información y deben implementarse sistemas de solicitud
de información de fácil acceso, simples y de bajo costo para el solicitante. De lo contrario, se consagraría
formalmente una acción que en la práctica no contribuye a facilitar el acceso a la información.
Asimismo, es necesario que para el ejercicio de dicha acción, no se requiera revelar las causas por las cuales
se requiere la información. La mera existencia de datos personales en registros públicos o privados es razón
suficiente para el ejercicio de este derecho.”. Cfr. Relatoría para la Libertad de Expresión. Informe Anual
CIDH, 2000, volumen 3. Página 1. Párrafos 12-15.

[111]

Acerca de la contradicción con la Carta Política de decisiones del sistema financiero que, de forma
injustificada, excluyen a los individuos de la posibilidad de acceso al crédito y a los demás productos de
intermediación, Cfr. Corte Constitucional, sentencias |SU-15|7, SU-166 y |SU-16|7, todas de 1999.
[112]
Es importante anotar que las consideraciones de esta sentencia son idénticas a las del fallo SU-089/95.
[113]
Como se indicara en la sentencia T-049/04, “En efecto, el artículo 20 C.P. garantiza la libertad de
expresar y difundir el pensamiento y opiniones y la de informar y recibir información veraz e imparcial,
facultades que entran en tensión con el ejercicio del derecho a la intimidad y a la autodeterminación
informativa[113], puesto que, de un lado, la Carta protege el derecho a que la información personal sea
protegida de la indebida intervención y conocimiento por parte de terceros y, del otro, otorga al
conglomerado la posibilidad de recibir información veraz e imparcial, dentro de la cual están incluidos, por
supuesto, datos relativos a sujetos individualmente considerados. Entonces, se está ante la necesidad de fijar
límites en el ejercicio de cada derecho, para que, sin vaciar el contenido de su núcleo esencial, puedan
materializarse de forma coetánea. Esta tensión entre derechos fundamentales se hace patente al analizar el
alcance y las consecuencias de la recolección de datos destinada al cálculo del riesgo crediticio. Al respecto,
debe advertirse cómo la labor que llevan a cabo las centrales de información financiera (i) está enmarcada
en el ejercicio del derecho a informar antes descrito, (ii)versa principalmente sobre datos relacionados con el
comportamiento comercial de personas naturales y jurídicas, (iii) tiene una relación inescindible con el
correcto funcionamiento del servicio de intermediación financiera, que es de interés público según lo
dispuesto el artículo 335 C.P., y (iv) es un presupuesto para el mantenimiento de la confianza en el sistema de
ahorro y crédito por parte de sus usuarios. [113] Por ende, concurren suficientes argumentos para concluir que
la actividad realizada por las centrales de información crediticia, en especial la creación de registros sobre
comportamiento financiero, pretende la satisfacción de un fin constitucionalmente legítimo.”
[114]
En el mismo sentido la sentencia T-096A/95, la cual consideró que “De acuerdo con lo prescrito en los
artículos 20, 333 y 335 superiores, toda persona-y en especial las entidades financieras, al tener el derecho
fundamental de informar y recibir información, puede recolectar datos pertenecientes a los usuarios de los
productos ofrecidos por las compañías otorgadoras de crédito (previa autorización expresa de los
interesados), con el fin de evitar operaciones riesgosas en una actividad que la misma Carta ha catalogado
como de interés público, en la medida en que está de por medio el aprovechamiento y la inversión de dineros
captados de los asociados. Por ello, tal como lo reconoció la Corte en las sentencias T-557/92 y T-110/93,
entre otras, la determinación de las entidades financieras de establecer en los contratos con los usuarios las
consecuencias derivadas de su incumplimiento crediticio-entre las cuales se encuentra la inclusión de sus
datos en las redes informáticas-resulta legítima. (…) No obstante lo expuesto, en aquellos eventos en que el
dato recolectado en una de las centrales informáticas no consulte la realidad de la situación crediticia del
interesado, es decir, que se trate de una información que no es veraz, ni imparcial, ni ha sido actualizada, el
afectado tendrá el derecho de exigir la rectificación de dicha información. Así, según las voces del artículo
15 constitucional, todas las personas gozan del derecho fundamental a conocer, a actualizar y a rectificar las
informaciones que sobre ellas se hubiesen recogido en bancos de datos o en archivos de entidades públicas o
privadas. Se trata, como ya lo ha dicho la Corte, de un derecho cuya protección se puede lograr en forma
independiente o autónoma o en conexidad con otros derechos consagrados en la Constitución, como es el
caso del derecho al buen nombre (art. 15 C.P.), a la honra (art. 21 C.P.) y a recibir información veraz e
imparcial (art. 20 C.P.), entre otros.”
[115]
Sobre este aspecto particular Cfr. Corte Constitucional, sentencia T-592/03. Fundamento jurídico 3.3. c).
[116]
Ibídem.
[117]
Sobre esta materia Cfr. Corte Constitucional, sentencia C-872/03.
[118]
Señala la Opinión Consultiva: “El artículo 13 señala que la libertad de pensamiento y expresión
"comprende la libertad de buscar, recibir y difundir informaciones e ideas de toda índole..." Esos términos
establecen literalmente que quienes están bajo la protección de la Convención tienen no sólo el derecho y la
libertad de expresar su propio pensamiento, sino también el derecho y la libertad de buscar, recibir y
difundir informaciones e ideas de toda índole. Por tanto, cuando se restringe ilegalmente la libertad de
expresión de un individuo, no sólo es el derecho de ese individuo el que está siendo violado, sino también el
derecho de todos a "recibir" informaciones e ideas, de donde resulta que el derecho protegido por el artículo
13 tiene un alcance y un carácter especiales. Se ponen así de manifiesto las dos dimensiones de la libertad de
expresión. En efecto, ésta requiere, por un lado, que nadie sea arbitrariamente menoscabado o impedido de
manifestar su propio pensamiento y representa, por tanto, un derecho de cada individuo; pero implica
también, por otro lado, un derecho colectivo a recibir cualquier información y a conocer la expresión del

pensamiento ajeno”. Cfr. Corte Interamericana de Derechos Humanos, dictamen consultivo del 13 de
noviembre de 1985, OC-5 de 1985, Serie A, párr. 69.
[119]
Cfr. Corte Constitucional, sentencia C-872/03. Fundamento jurídico 3.
[120]
Ibídem.
[121]
Cfr. Corte Constitucional, sentencia T-066/98 y T-928/04.
[122]
[123]
Ibídem.
[124]
Ley 1150/07, artículo 6º.
[125]
Un ejemplo de esta doctrina se encuentra en al sentencia SU-1193/00. En este caso la Corte señaló:
“Hay derechos de las personas jurídicas, que ellas pueden reclamar dentro del Estado Social de Derecho y
que las autoridades se obligan a respetar y a hacer que les sean respetados. Y, claro está, entre la inmensa
gama de derechos que les corresponden, los hay también fundamentales, en cuanto estrechamente ligados a
su existencia misma, a su actividad, al núcleo de las garantías que el orden jurídico les ofrece y, por
supuesto, al ejercicio de derechos de las personas naturales afectadas de manera transitiva cuando son
vulnerados o desconocidos los de aquellos entes en que tienen interés directo o indirecto.
La naturaleza propia de las mismas personas jurídicas, la función específica que cumplen y los contenidos de
los derechos constitucionales conducen necesariamente a que no todos los que se enuncian o se derivan de la
Carta en favor de la persona humana les resulten aplicables.
Pero, de los que sí lo son y deben ser garantizados escrupulosamente por el sistema jurídico en cuanto de una
u otra forma se reflejan en las personas naturales que integran la población, la Corte Constitucional ha
destacado derechos fundamentales como el debido proceso, la igualdad, la inviolabilidad de domicilio y de
correspondencia, la libertad de asociación, la inviolabilidad de los documentos y papeles privados, el acceso
a la administración de justicia, el derecho a la información, el habeas data y el derecho al buen nombre,
entre otros.
En conexidad con ese reconocimiento, ha de señalar la Corte que las personas jurídicas tienen todas, sin
excepción, los enunciados derechos y que están cobijadas por las garantías constitucionales que aseguran su
ejercicio, así como por los mecanismos de defensa que el orden jurídico consagra. De allí que la Corte
Constitucional haya sostenido desde sus primeras sentencias que son titulares no solamente de los derechos
fundamentales en sí mismos sino de la acción de tutela para obtener su efectividad cuando les sean
conculcados o estén amenazados por la acción u omisión de una autoridad pública o de un particular (Art.
86 C.P.).” (Negrillas originales).
[126]
La adscripción de responsabilidad a los operadores de información en la calidad de la información
concernida ha sido un aspecto sostenido por la jurisprudencia constitucional. Así, en la sentencia T-199/95, la
Corte consideró inadmisible la exoneración de responsabilidad de una central de información crediticia,
basada en el hecho que la información defectuosa había sido remitida de tal modo por la fuente. En dicho fallo
se indicó que “La Sala considera, además, que "COMPUTEC S.A.-División DATACREDITO-" no obró con
el cuidado y diligencia que impone la responsabilidad propia de sus actividades, toda vez que admitió y
registró el dato suministrado por un particular respecto de otro sin verificar si había sido judicialmente
definido el conflicto entre las partes, haciéndose responsable también por el daño al buen nombre de la
compañía afectada. Admitir como válida la conducta que en el asunto examinado observó la central de datos
implicaría extender hacia el futuro y sin ninguna clase de control las posibilidades de que cualquiera pudiese
suministrar a esta clase de empresas, con su beneplácito, datos sin confirmar, tergiversados, manipulados o
sencillamente falsos, con el fin de presionar pagos, configurándose así formas extorsivas de cobranza que
desconocerían las competencias de los jueces y que, por tanto, de ninguna manera podrían entenderse como
sano ejercicio del derecho a la información.”.

[127]

Aquí debe insistirse en que los derechos fundamentales a la intimidad, el buen nombre y al hábeas data
tienen naturaleza independiente y cada uno de ellos ofrece un grupo de garantías específicas. Aunque en una
etapa temprana de la jurisprudencia constitucional, el contenido de estos derechos era confundido,
especialmente en la vertiente de considerar al hábeas data como una garantía propia del derecho a la
intimidad, esta confusión está actualmente superada, de manera tal que al derecho al hábeas data se le confiere
carácter autónomo y con espectro amplio, que ampara todos los procesos de administración de datos
personales. Al respecto, la sentencia T-729/02 señaló: “Tanto la consagración constitucional del derecho
al habeas data, como sus desarrollos jurisprudenciales, encuentran justificación histórica en el surgimiento

del denominado poder informático y la posibilidad del manejo indiscriminado de los llamados datos
personales. Durante la vigencia de la actual Constitución, el habeas data pasó de ser una garantía con
alcances muy limitados, a convertirse en un derecho de amplio espectro. Es así como bajo la égida del
derecho general de libertad (artículo 16) y la cláusula específica de libertad en el manejo de los datos
(artículo 15 primer inciso), la jurisprudencia ha reconocido la existencia-validez del llamado derecho a la
autodeterminación informática. En este sentido, derecho a la autodeterminación informática y derecho
al habeas data, son nociones jurídicas equivalentes que comparten un mismo referente. En la actualidad y a
partir de los enunciados normativos del artículo 15 de la Constitución, la Corte Constitucional ha afirmado
la existencia-validez de tres derechos fundamentales constitucionales autónomos: el derecho a la intimidad,
el derecho al buen nombre y el derecho al habeas data. Sin embargo, el estado actual de cosas no fue siempre
el mismo. El camino de la delimitación empieza en el año de 1994, con la sentencia T-229 de 1994, en la cual
la Corte estableció una clara diferencia entre el derecho a la intimidad y el derecho al buen nombre. Más
adelante, en el año de 1997, con la sentencia T-557 de 1997 la Corte precisó las diferencias entre el derecho
a la intimidad y el habeas data, después de que la relación entre ambos se había manejado como de género a
especie desde el año de 1992. Para la Sala, la diferenciación y delimitación de los derechos consagrados en
el artículo 15 de la Constitución, cobra especial importancia por tres razones: (i) por la posibilidad de
obtener su protección judicial por vía de tutela de manera independiente; (ii) por la delimitación de los
contextos materiales que comprenden sus ámbitos jurídicos de protección; y (iii) por las particularidades del
régimen jurídico aplicable y las diferentes reglas para resolver la eventual colisión con el derecho a la
información.”
[128]
Sobre el particular, en la sentencia SU-082/95, se señaló lo siguiente:
“La primera pregunta que surge al intentar el análisis de este asunto, es ésta: ¿la conducta de una persona
en lo tocante al cumplimiento de sus obligaciones con los establecimientos de crédito y con el comercio, es
asunto que sólo pertenece a su fuero íntimo, desprovisto, por lo mismo, de implicaciones sociales? ¿O, por el
contrario, es algo que forma parte de su comportamiento social, sobre lo cual los demás miembros de la
comunidad, especialmente los dedicados a la concesión de créditos, tengan eventualmente el derecho a
recibir información?
Cuando el artículo 15 de la Constitución consagra el derecho a la intimidad personal y familiar, es evidente
que ampara, en primer lugar, aquello que atañe solamente al individuo, como su salud, sus hábitos o
inclinaciones sexuales, su origen familiar o racial, sus convicciones políticas y religiosas. Ampara, además,
la esfera familiar, lo que acontece en el seno de la familia, que no rebasa el ámbito doméstico. Nadie extraño
tiene, en principio, por qué conocer cómo discurre la vida familiar. Sólo en circunstancias anormales, y
precisamente para volver a la normalidad, el Estado, por ejemplo, interviene, y temporalmente el derecho a
la intimidad familiar debe ceder frente a otro superior.
(…)
Entendidas así la intimidad personal y familiar, es claro que resulta exagerado colocar en su mismo plano el
comportamiento de una persona en materia crediticia. Ello, por varias razones.
La primera, que el ser buen o mal pagador es algo que necesariamente no sólo interesa al deudor, sino a éste
y a quienes son sus acreedores actuales o potenciales.
La segunda, que lo relativo al crédito tiene un contenido económico, que no puede equipararse con lo que
pertenece a planos superiores, como la vida, la libertad y la dignidad del hombre.
Dicho en los términos más sencillos, quien obtiene un crédito de una entidad dedicada a esta actividad y
abierta al público, no puede pretender que todo lo relacionado exclusivamente con el crédito, y en especial la
forma como él cumpla sus obligaciones, quede amparado por el secreto como si se tratara de algo
perteneciente a su intimidad.”
[129]
Cfr. Corte Constitucional, sentencia C-517/98, concepto reiterado en la sentencia C-692/03.
[130]
Cfr. Corte Constitucional, sentencia C-981/05. En esta decisión se indicó: “En efecto, el artículo 15 de la
Constitución consagra los elementos esenciales del derecho fundamental del habeas data, como son el
derecho de toda persona a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre
ellas en los bancos de datos y en archivos de entidades públicas y privadas. Así como, en virtud de la libertad
y demás garantías, las personas tienen derecho a autorizar su circulación en manos de particulares.
Igualmente corresponde al contenido conceptual básico del derecho al hábeas data los límites de caducidad
de los datos negativos de las personas En materia tributaria y de conformidad con la Constitución, la Corte
ha avalado el que la administración pueda exigir a los contribuyentes y no contribuyentes documentos
privados, y por lo tanto pueda tratar y recolectar ciertos datos de las personas, siempre y cuando sean los
estrictamente necesarios para los efectos financiero y fiscal, a fin de determinar las obligaciones tributarias y

mantener su control, sin que ello implique necesariamente su regulación a través de una ley
estatutaria. Adicionalmente, debe distinguirse cuando el dato se pone en circulación al interior del Estado,
entre las entidades encargadas de recaudar los impuestos a fin de controlar la respectiva carga impositiva, lo
cual no contraría la Constitución, siempre y cuando se respete el derecho de las personas de conocer,
actualizar y rectificar tales datos, pero sin que deba mediar su autorización para ello pues se trata de la
colaboración armónica que debe mediar entre los diferentes órganos del Estado con el fin de proteger el
patrimonio público. Datos de las personas recolectados y procesados para fines tributarios, que por lo tanto
no pueden circular por fuera del Estado con fines diferentes, es decir, la administración no puede ponerlos en
circulación colocándolos en manos de particulares, so pena de contrariarse la Constitución.” (Subrayas
fuera de texto).
[131]
En lo relativo a los límites constitucionalmente admisibles a las facultades de cobro extraprocesal, esta
Corporación ha indicado que “En primer lugar, tales mecanismos no son una alternativa de la que el
acreedor pueda valerse a discreción y de manera ilimitada, como sucedáneo de las vías judiciales dispuestas
para obtener el cumplimiento de las obligaciones. Estas últimas constituyen un escenario institucionalizado,
dotado de garantías para ambas partes, en el que cada una de ellas debe satisfacer una serie de cargas si
quiere ver satisfecha su pretensión, existen términos que acotan temporalmente la discusión e impiden
prolongar los litigios de manera indefinida. Por el contrario, las medidas extraprocesales de cobro, debido a
su informalidad, constituyen un escenario privilegiado para el ejercicio de poderes privados, en el que existe
el riesgo de que el acreedor, especialmente en contextos de relaciones de poder asimétricas, abuse de su
posición dominante para ejercer presiones indebidas sobre el deudor; por el cual pueden colarse formas mas
o menos sutiles de sanción y venganza privadas que, en lugar de un avance y complemento, supongan un
retroceso en relación con la garantía de civilidad que, aun a pesar de sus innegables costes, representa el
proceso judicial. De ahí que el empleo de estas formas de cobro sólo es válida en tanto se oriente a procurar
formas privadas y pacíficas de solución de litigios que resulten menos gravosas para ambas partes, y en
cambio, deje de serlo cuando su ejercicio constituya una fuente adicional de conflictos o claramente se
proponga como una estrategia para eludir el cumplimiento de los requisitos, cargas, términos de
prescripción y demás garantías de imparcialidad que asegura el proceso. En segundo lugar, constituyen
formas indebidas de cobro, por ser violatorias del derecho a la intimidad, todas aquellas que busquen
presionar el pago poniendo en conocimiento de terceros que no son parte en la relación crediticia, y a las
que no asiste un interés respaldado en razones legales o de orden público, la condición de deudor de una
persona. A tal conclusión se llega del examen jurisprudencial precedente, en particular de las razones
expuestas en las sentencias T-412/1992, donde se estableció la prohibición de cobro a través de chepitos; T340/1993, T-411/1995 y T-494/2002, donde se establece la prohibición de fijar avisos en zonas comunes de
un conjunto residencial o en diarios de amplia circulación donde se informe de manera indiscriminada de la
condición de deudor de una persona, así como de enviar comunicaciones injuriosas a terceros que tengan
relaciones comerciales con el deudor. Asimismo, tal conclusión se refuerza, a contrario, con los precedentes
formulados en las sentencias T-228/1994, donde se admite la publicación de listados de residentes morosos
en las zonas comunes de un conjunto residencial, en tanto los demás copropietarios tienen un interés legítimo
en conocer la situación financiera de la copropiedad y tienen un vínculo jurídico con los deudores
morosos; T-814/2003, en la que se considera permitida la difusión de un mensaje en el que se informa de la
suspensión de una línea telefónica, en razón a que en él mismo no se especifica que la suspensión obedece a
la falta de pago; SU-082/1995 y demás sentencias relativas a las bases de datos crediticias, donde se sostiene
que la divulgación de la condición de deudor de una persona a través de tales sistemas de información se
justifica por el claro interés general en disminuir los riesgos asociados al manejo y colocación de los
recursos captados del público, y sólo en tanto la circulación de dicha información sea restringida y se
circunscriba al cumplimiento de dichos fines.”. Cfr. Corte Constitucional, sentencia T-798/07.
[132]
Cfr. Corte Constitucional, sentencia C-1026/01. En esta decisión se definió el principio de interpretación
conforme como aquel “según el cual todos los mandatos del ordenamiento jurídico se deben interpretar de
forma tal que su sentido guarde coherencia con las disposiciones constitucionales. Ello implica varias cosas:
primero, que toda interpretación que no sea conforme a la Constitución, debe ser descartada; segundo, que
ante dos interpretaciones posibles de una norma, el juez se debe inclinar por aquella que, en forma
manifiesta, resulte más adecuada a los mandatos superiores; tercero, que en caso de dos o más
interpretaciones que sean, en principio, igualmente constitucionales, el juez, en ejercicio de su autonomía
funcional, deberá escoger en forma razonada aquella que considere mejor satisface los dictados del
constituyente en el caso concreto.”

[133]

Cfr. Corte Constitucional, sentencia T-798/07. En esta decisión, que estudió precisamente el caso de la
actualización de la información financiera y crediticia de una persona fallecida, se indicó: “Pero, ¿qué ocurre
con la información negativa que sobre una persona permanece reportada en una base de datos crediticia
luego de su fallecimiento, o que es divulgada con posterioridad a su muerte? De acuerdo a la regla general
de legitimación en materia de Hábeas Data, a nadie asistiría el derecho a conocer, actualizar y rectificar
dicha información, por cuanto el titular de un tal derecho ya no existiría. A la luz de este criterio, las
entidades autorizadas para reportar y administrar la información crediticia tendrían un poder omnímodo en
relación con los datos de personas fallecidas.(…) Una situación análoga se presenta en aquellos casos en los
que, tras la muerte de una persona, su mal comportamiento financiero del pasado continúa siendo divulgado
de manera indefinida a través de una base de datos o, por alguna eventualidad, se ingresa un reporte
negativo sobre ella con posterioridad a su fallecimiento. La difusión de este tipo de información afecta el
buen nombre y la memoria de quien aparece reportado como deudor incumplido después de su fallecimiento,
pero igualmente lesiona la intimidad y la buena reputación de su familia, ya no sólo por ver expuesta de
manera indefinida una información negativa sobre uno de sus miembros, que ya no está ahí para defenderse
de ella, sino en la medida en que tales datos puedan llegar a ser utilizados para elaborar el perfil de riesgo
crediticio de los herederos de la persona que permanece o es reportada tras su muerte como deudora. Ello en
tanto la información que se tenga sobre las deudas insolutas de una persona fallecida, puede influir en el
juicio que se haga acerca de la solvencia económica y la capacidad de pago de quienes están llamados a
sucederla en sus derechos y obligaciones.”
[134]

Sentencia C-597 de 1996, M.P. Alejandro Martínez Caballero.
Ibídem.
[136]
Sentencia C-214 de 1994, M.P. Antonio Barrera Carbonell.
[137]
Cfr. Corte Constitucional, Sentencia C-827/01.
[138]
Sobre el particular, la sentencia C-827/01, indicó: “En la doctrina se postula, así mismo, sin discusión que
la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y
que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente
aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales. Así,
a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener
fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las
infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las
sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y
otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en
marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador,
como los de culpabilidad o responsabilidad según el caso-régimen disciplinario o régimen de sanciones
administrativas no disciplinarias-(juicio personal de reprochabilidad dirigido al autor de un delito o falta),
de proporcionalidad o el denominado non bis in ídem. Así mismo dentro del ámbito sancionador
administrativo cabe destacar la aceptación de la interdicción de las sanciones privativas de la libertad, la
instauración de la multa como sanción prototípica y la necesaria observancia de un procedimiento
legalmente establecido.” (Subrayas originales).
[135]

[139]

En las sentencias T-412 de 1992 y T-486 de 1992, se puede consultar la propiedad del dato económico,
como integrante de la identidad personal-en la primera oportunidad fueron tutelados los derechos a la
igualdad, intimidad, y al buen nombre de una persona a quien una empresa de cobranza amenazó con acudir a
su lugar de trabajo, con el traje propio de los sujetos llamados “chepitos” a fin de presionar el pago de una
obligación; en la segunda de las decisiones en cita fueron amparados los derechos al buen nombre, e intimidad
de quien, no obstante haber obtenido mediante sentencia ejecutoriada la declaración de prescripción de una
acción, se mantenía reportado en las bases de datos de la Asociación Bancaria como deudor de la misma
obligación-.
[140]
Sobre el proceso informático, sujetos y principios se puede consultar la sentencia T-729 de 2002, ya
citada.
[141]
El secreto bancario se puede consultar en la sentencia C-397 de 1998 M.P. Fabio Morón Díaz-Revisión de
constitucionalidad de la Ley 412 de 1997, ya citada.
[142]
Consultar entre otras las sentencias SU-082 y 089 de 1995, varias veces citadas. Respecto del aspecto
aditivo del derecho a la autodeterminación informática se puede consultar, además, entre otras decisiones, la

sentencia T-578 de 2001 M.P. Rodrigo Escobar Gil-en esta oportunidad se consideró inadmisible “que una
entidad financiera tenga a un usuario reportado siete (7) meses, ante los centros de información crediticia y
no haya actualizado su información del pago voluntario que estos hicieron por medio de la dación en pago-.
[143]
Sobre la libertad de elegir en el ámbito de las relaciones interpersonales se pueden consultar, entre otras,
las sentencias C-280 de 1996 control constitucional de varias disposiciones de la Ley 200 de 1995-y C-488 de
2002-control constitucional del artículo 86 de la Ley 675 de 2001-.
[144]
Cfr. Corte Constitucional, sentencia T-729/02. Debe también tenerse en cuenta que la inclusión del
consentimiento del titular como parte del contenido del derecho fundamental al hábeas data no es un aspecto
exclusivo de la tradición jurídica colombiana, sino que también ha sido previsto, de forma expresa, por otros
tribunales constitucionales. Al respecto, en la sentencia STC 292/2000, el Tribunal Constitucional español, al
delinear los aspectos centrales del derecho a la protección de datos personales, indicó: “son elementos
característicos de la definición constitucional del derecho fundamental a la protección de datos
personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de
los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser
informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y
uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo
del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos
registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso,
requerirle para que los rectifique o los cancele”. (Subrayas fuera de texto).
[145]
Es el caso analizado en la sentencia T-310/03. En esta oportunidad la Corte puso de presente que los
registros de órdenes de captura son verdaderas bases de datos, respecto de los cuales eran predicables las
garantías propias del derecho al hábeas data, en especial los principios de la administración de datos
personales que han sido estudiados en esta sentencia. Sin embargo, esta aplicación resultaba restringida para
el caso de la obligación de consentimiento del titular en la incorporación del dato personal. Sobre este tópico,
el fallo señaló: “De otra parte, observa la Sala que el principio de libertad no es aplicable, toda vez que el
mencionado registro se debe efectuar de manera obligatoria cuando una autoridad judicial expide la orden
de captura, información que puede y debe ser divulgada a solicitud de autoridad competente, luego para su
registro y divulgación no media el consentimiento libre, previo y expreso de la persona sobre la cual recae la
orden de captura.”
[146]
Al respecto se pronunció la sentencia C-981/05. En este caso la Sala concluyó que la circulación entre
bases de datos de distintas entidades recaudadores de impuestos no requería la autorización del titular, amén
que la circulación de datos en este caso respondía a una finalidad relacionada con la protección del patrimonio
público y además, el mismo artículo 15 C.P. permitía el acceso a los documentos privados para efectos
tributarios.
[147]

Sobre este particular, el artículo 2º del Decreto 4327/05 establece que la Superintendencia Financiera de
Colombia, es un organismo técnico adscrito al Ministerio de Hacienda y Crédito Público, con personería
jurídica, autonomía administrativa y financiera y patrimonio propio. Del mismo modo, el artículo 1º del
Decreto 2153/92 define a la Superintendencia de Industria y Comercio como un organismo de carácter técnico
adscrito al Ministerio de Desarrollo Económico, que goza de autonomía administrativa, financiera y
presupuestal.
[148]
Cfr. Corte Constitucional, sentencia T-528/93 y T-094/95.
[149]
Cfr. Corte Constitucional, sentencia T-444/92
[150]
Cfr. Corte Constitucional, sentencia T-1085/01.
[151]
Acerca de las reglas sobre la determinación del riesgo crediticio, Cfr. Superintendencia Financiera de
Colombia. Circular 100 de 1995-Básica Contable y Financiera. Capítulo II, sección 1.3.2.3.1., literal c.
[152]
El demandante interpuso una petición ante el Departamento Administrativo de Seguridad mediante el cual
solicitó información sobre sus antecedentes judiciales y la entidad por medio del oficio DGOP-SIES-GIDEARRAJ-77411 le respondió textualmente: “El certificado de antecedentes judiciales y de policía es el único
documento que puede expedir el Departamento Administrativo de Seguridad como certificación o constancia
de asuntos judiciales (…) para cuyo trámite es necesario que lo adquiera (…)” Fl. 79 y ss.
[153]
Sentencia T-543 de 2002.
[154]
Ver sentencia T-227 de 2003.
[155]
Cfr. Relatoría para la Libertad de Expresión, Informe Anual CIDH, 2000, volumen 3, página 1.
[156]
Una explicación más ampliada de los requisitos constitucionales predicables de las tasas en tanto ingresos
tributarios, se encuentra en la sentencia C-536/06, antes citada. Allí, a propósito del balance sobre la

jurisprudencia constitucional que ha estudiado ese tópico, se indicó: “Recapitulando, se tiene entonces que
algunos de los criterios fijados por la jurisprudencia constitucional en materia de tasas son los siguientes: El
Estado puede trasladar a los ciudadanos el costo de la prestación de determinados servicios mediante la
imposición de tasas en virtud de los artículos 95.9 y 338 constitucionales. No obstante, resulta
inconstitucional fijar tasas como contraprestación a la renovación de ciertos documentos, como la cédula de
ciudadanía, que resultan indispensables para acreditar la condición de ciudadano y ejercer derechos
políticos. No se ajustan a la Constitución, por establecer un tratamiento discriminatorio, tasas uniformes
establecidas para la expedición de documentos que permiten el acceso a ciertos beneficios y servicios
estatales, las cuales condicionan la expedición del documento a una suma fija que no consulta la capacidad
económica de los potenciales usuarios de los servicios. El “sistema” y el “método” señalados en la ley, las
ordenanzas y los acuerdos, cuando los órganos de representación popular deciden delegar en las autoridades
administrativas la facultad de fijar la tarifa de una tasa, en virtud del inciso segundo del artículo 338
constitucional, deben ser lo suficientemente claros y precisos, sin embargo, no tienen que hacer una
descripción detallada o rigurosa de cada uno de los elementos y procedimientos a tener en cuenta para fijar
la tarifa, pues en tal caso se privaría de contenido la facultad constitucional de las autoridades
administrativas. Estos criterios jurisprudenciales constituyen precedentes sentados en anteriores decisiones
de esta Corporación, y en esa medida el juez constitucional debe ser consistente con tales decisiones previas
que han señalado, en ejercicio del control de constitucionalidad, el alcance de distintos preceptos
constitucionales, tales como los artículos 40, 95.9, 338 y 363 de la Constitución Política, pues de esta manera
se aseguran importantes pilares del ordenamiento jurídico, como la seguridad jurídica, el principio de
igualdad y la confianza legítima.”
[157]
Palazzi, Pablo A. “ El habeas data y el Derecho al Olvido “ . Artículo publicado en Jurisprudencia
Argentina , 1997-I-33. Documento ubicado en el sitio Web: www.ulpiano.compablopalazzi_olvido.htm
[158]
Artículo 2536 Modificado por la ley 791 de 2002 artículo 8.
[159]
En el mismo sentido, pueden consultarse las sentencias T-676/05 y T-212/05.
[160]
Sobre la equiparación entre secuestrados y desaparecidos forzadamente, respecto al reconocimiento de
protección especial y tratamiento diferenciado frente al cumplimiento de sus obligaciones, la sentencia T676/05, señaló: “Como ha reconocido la jurisprudencia constitucional las personas secuestradas y
desaparecidas se hallan en un estado de debilidad manifiesta , de dicha circunstancia puede derivarse que
sus derechos fundamentales sean afectados por la conducta de terceros, ajenos a los hechos que originaron
tal situación. En tales casos adquiere relevancia la figura jurídica de los deberes constitucionales entre los
cuales se cuenta el deber de solidaridad respecto de las personas secuestradas, pues si el tercero que se
encuentra en posibilidad fáctica y jurídica de cumplir los deberes de esta naturaleza, decide no hacerlo
estaría vulnerando, prima facie, los derechos fundamentales de la persona en situación de debilidad, incluso
cuando el incumplimiento de su deber corresponda al ejercicio de un derecho o de una libertad protegida
por el ordenamiento jurídico. Si bien por regla general la jurisprudencia constitucional ha condicionado la
justiciabilidad de los deberes fundamentales a la existencia de previsiones legales que delimiten su alcance y
contenido , excepcionalmente ha admitido su exigibilidad por vía de tutela , aun cuando no hayan sido
previamente definidos por el legislador, como ha sido precisamente el caso de las personas
secuestradas. Entre los deberes de solidaridad que vinculan a terceros respecto de las personas
secuestradas la jurisprudencia constitucional ha señalado específicamente dos cuales son: el deber a cargo
de los patronos-trátese de entidades estatales o de particulares-de continuar pagando el salario de las
personas secuestradas o desaparecidas para la protección de su núcleo familiar , y el deber-predicable de
sus acreedores especialmente cuando se trate de entidades bancarias-de no exigir las cuotas de la deuda
durante el secuestro ni durante la fase de readaptación de la persona demandada . Deberes que
adicionalmente ya han sido ampliamente recogidos por el ordenamiento jurídico vigente, especialmente por
la Ley 589 de 2000. A juicio de esta Corporación el cumplimiento de tales deberes guarda estrecha relación
con derechos fundamentales de las personas secuestradas, desaparecidas, y de su núcleo familiar, tales como
el derecho al mínimo vital, el derecho al libre desarrollo de la personalidad, el derecho general de libertad o
la dignidad humana, razón por la cual pueden ser exigibles por medio de la acción de tutela. En todo caso la
exigibilidad de tales deberes por medio de la acción de tutela dependerá de las circunstancias fácticas que
caractericen la situación en que se encuentra el secuestrado o desaparecido y su núcleo familiar y de la
efectiva demostración de la vulneración de derechos fundamentales. En efecto, carecería de sentido, desde la
perspectiva de protección de los derechos fundamentales, exigir el cumplimiento del deber de pago del
salario si no se comprueba una afectación del mínimo vital del núcleo familiar o de las personas que
dependían económicamente del plagiado. Igualmente no sería razonable impedir que las entidades bancarias

acreedoras satisficieran los créditos de los cuales son titulares cuando el secuestrado o desaparecido cuente
con un patrimonio suficiente para responder por las obligaciones a su cargo y haya sido designado un
curador responsable de sus bienes.”
[161]
Cfr. Corte Constitucional, sentencia T-049/04.
[162]
La reserva de ley estatutaria para esta materia es un asunto reiterado en la jurisprudencia
constitucional. Para una síntesis comprehensiva de esta doctrina, Cfr. Corte Constitucional, Sentencia C687/02.
[163]
[164]
Ibídem.
[165]
Ibídem.
[166]
La doctrina comparada se ha ocupado de identificar las controversias que se generan cuando el reporte de
riesgo crediticio es analizado de forma tradicional, esto es como un grupo de datos objetivos y moralmente
neutros. Estas críticas apuntan a señalar que el cálculo del riesgo, ejercido de manera indiscriminada, esto es,
que se sustentan en la cuantificación simple del incumplimiento y no en un análisis cualitativo de los hábitos
de pago del deudor, lleva inexorablemente a la afectación de la igualdad de oportunidades, que en las
sociedades contemporáneas se concreta con el acceso al mercado de crédito. Sobre el
particular, Vid. GALVES, Fred. The discriminatory impact of Traditional Lending Criteria: An economic
and moral critique. 29 Seton Hall Law Review. 1467-1487 (1998-1999).
[167]
La distinción entre “listas de riesgo” y “listas negras”, ha sido identificada por la jurisprudencia
constitucional, con el fin de identificar qué actividades de administración de datos personales son legítimas, a
fin de distinguirlas de expresiones abusivas de la administración de información personal. Al respecto, la
Corte sostiene que “son dos cosas distintas la elaboración de las denominadas “listas negras” y la de las
“listas de riesgo”. En las primeras, en forma contraria a derecho quien las elabora incluye en ellas nombres
de personas jurídicas o naturales cuya consecuencia es la existencia, en la práctica, de un cierre de la
oportunidad de crédito en cualquier establecimiento de carácter comercial y financiero. En las segundas, lo
que se hace es incluir el comportamiento histórico del deudor para que la entidad crediticia a quien se le
envía evalué si frente a ese comportamiento otorga, y en qué condiciones el crédito respectivo o si, se
abstiene de ello. Pero es claro que, en este caso no podrá la entidad financiera incurrir en un abuso del
derecho dada la función social que en la economía se cumple por quienes tienen a su cargo la actividad
crediticia.”. Cfr. Corte Constitucional, Sentencia T-1322/01.
[168]

Cfr. Corte Constitucional, sentencia C-985/02, antes citada.
Ibídem.
[170]
Ibídem.
[171]
Cfr. Corte Constitucional, Sentencias C-710/01 y C-474/03.
[172]
Una síntesis de la doctrina sobre los límites de la potestad reglamentaria está en la sentencia C-474/03.
[173]
Cfr. Corte Constitucional, Sentencia C-265/02.
[174]
Contrario a como sucede en la normatividad estatutaria, en el derecho comparado se estipulan reglas
particulares para el flujo transfronterizo de datos personales. Para el caso del derecho comunitario europeo, el
capítulo IV de la Directiva de Protección de Datos Personales establece las condiciones para la transferencia a
países terceros, para lo cual determina los principios de transferencia y las excepciones que pueden oponer los
Estados miembros para permitir la transferencia a terceros países que no otorguen un nivel de protección
adecuado, con arreglo a lo previsto en la Directiva. Reglas similares son planteadas para el caso de la
legislación española, contenida en la Ley Orgánica de Protección de Datos de Carácter Personal. El título V
de esa normatividad regula el movimiento internacional de datos y dispone que el flujo transfronterizo será
permitido sólo cuando el país de destino otorgue un nivel de protección equiparable al fijado por la norma
orgánica, condición sujeta a la determinación de la Agencia de Protección de Datos. De igual modo, indica
un listado de excepciones a la regla general, enfocadas a permitir la circulación en eventos específicos,
relacionados con la protección de intereses públicos, al igual que en los eventos en que existe una
autorización inequívoca del titular para el flujo transfronterizo de la información.
[169]

[175]

El numeral 5 del artículo 16 precisa este requerimiento señalando que “Para dar respuesta a la petición o
reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las
observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para
poder dar una respuesta al titular”.

[176]

Dentro de los dos días hábiles siguientes a la notificación.
La norma establece igualmente un término de dos días para que el operador inserte la información.
[178]
Cfr. Corte Constitucional, sentencia T-1160A/01.
[179]
Ibídem.
[180]
Cfr. Corte Constitucional, Sentencias T-911/01, T-381/02 | y T-425/02.
[181]
Así, lo estableció esta Corporación en Sentencia T-1160A de 2001: “c) la respuesta debe cumplir con
estos requisitos: 1. Oportunidad. “. Debe resolverse de fondo, clara, precisa y de manera congruente con lo
solicitado. 3. Ser puesta en conocimiento del peticionario. Si no se cumple con estos requisitos se incurre en
una vulneración del derecho constitucional fundamental de petición”. En idéntico sentido, esta Corporación
precisó que: “..el derecho de petición comprende no sólo la manifestación de la administración sobre el
objeto de la solicitud, sino también el hecho de que dicha manifestación constituya una solución
pronta del caso planteado. El derecho fundamental a la efectividad de los derechos (C.P. Arts. 2º y 86)
se une en este punto con el principio constitucional de la eficacia administrativa (art.209) (...) Por lo
menos tres exigencias integran esta obligación. En primer lugar, la manifestación de la administración
debe ser adecuada a la solicitud planteada....en segundo lugar, la respuesta debe ser efectiva para la
solución del caso que se plantea...y finalmente, la comunicación debe ser oportuna...” (Sentencia T-220
de 1994).
[182]
Cfr. Corte Constitucional, Sentencias T-1160A/01, y T-158/05.
[183]
Sentencia T-1160A de 2001.
[184]
Máximo diez (10) días hábiles para resolver la petición o la consulta, prorrogable por hasta cinco (5) días
más, previa justificación de la prórroga. Máximo quince (15) días hábiles para resolver el reclamo
prorrogable por un término que no podrá superar los ocho (8) días, previa información motivada al
peticionario. Este último término igualmente opera para el evento en que la solicitud es directamente
formulada a la fuente.
[185]
Cfr. Corte Constitucional, Sentencias C-074 de 1994, reiterada en C-860 de 2006.
[186]
Cfr. Corte Constitucional, sentencia SU-157/99.
[187]
Ibídem.
[188]
[189]
Cfr. Corte Constitucional, sentencia C-660/96
[190]
El artículo 2º del Decreto 4327/05 establece que la Superintendencia Financiera de Colombia, es un
organismo técnico adscrito al Ministerio de Hacienda y Crédito Público, con personería jurídica, autonomía
administrativa y financiera y patrimonio propio. Igualmente, el artículo 1º del Decreto 2153/92 define a la
Superintendencia de Industria y Comercio como un organismo de carácter técnico adscrito al Ministerio de
Desarrollo Económico, que goza de autonomía administrativa, financiera y presupuestal.
[177]

[191]

Sentencia C-690 de 2003, reiterada en C-343 de 2006.
Cfr. Corte Constitucional, Sentencia C-343 de 2006.
[193]
Sobre este tema ver Sentencia C-710 de 2001. en relación con los elementos que constituyen el principio
de legalidad en materia penal.
[194]
Cfr. Corte Constitucional, Sentencia C-343 de 2006.
[195]
Sentencias C-406 de 2004, y C-853 de 2005.
[196]
Exige que la conducta y la sanción antecedan en el tiempo a la comisión de la infracción, es decir que
estén previamente señaladas.
[197]
En materia de ius puniendi significa que los aspectos esenciales de la conducta y de la sanción estén
contenidos en la ley.
[198]
Alude a que tanto la conducta como la sanción deben ser determinadas de tal forma que no hayan
ambigüedades.
[199]
Sentencias T-145 de 1993; C-214 de 1994 ; C-597 de 1996; C-690 de 1996; C-160 de 1998 , y C-853 de
2005; C-343 de 2006, entre otras.
[200]
Sobre el particular, la Corte señaló en sentencia, que: “el legislador debe describir de manera clara y
precisa los elementos que demarcan tanto la conducta punible que da lugar a la sanción, como la sanción
misma. Sobre esta última, el particular debe conocer de antemano todos sus aspectos que la configuran: la
clase de sanción, el término dentro del cual puede imponerse, la cuantía, la autoridad competente para
imponerla y el procedimiento aplicable. Los anteriores factores, se insiste, deben estar consagrados en una
ley preexistente al respectivo proceso judicial o procedimiento administrativo, con lo cual se garantiza no
[192]

sólo el debido proceso de la persona conminada al pago de una multa, sino la seguridad jurídica que debe
irradiar el ordenamiento jurídico, especialmente en materia sancionatoria”. (C-390 de 2002).
[201]
Cfr. Corte Constitucional, Sentencias C-406 de 2004 y C-475 de 2004.
[202]
Cfr. Corte Constitucional, Sentencia 564 de 2000.
[203]
Sentencia C-406 de 2004.
[204]
Sentencia C-406 de 2004, reiterada en sentencia C-343 de 2006.
[205]
Sentencias C-827 de 2001 y C-343 de 2006.
[206]
Sentencia C-343 de 2006.
[207]
Sobre éste punto en particular, la Corte ha afirmado que “debido a que el derecho administrativo
sancionador tiene adicionalmente más controles para evitar la mera liberalidad de quien impone la sanción,
como por ejemplo las acciones contencioso administrativas, y dado que la sanción prevista no afecta la
libertad personal de los procesados, la Corte ha aceptado que en el derecho administrativo sancionatorio, y
dada la flexibilidad admitida respecto del principio de legalidad, la forma típica pueda tener un carácter
determinable. Posibilidad que no significa la concesión de una facultad omnímoda al operador jurídico, para
que en cada situación establezca las hipótesis fácticas del caso particular. Por ello, la Corte ha sido
cuidadosa en precisar, que si bien es posible la existencia de una forma típica determinable, es
imprescindible que la legislación o el mismo ordenamiento jurídico, establezcan criterios objetivos que
permitan razonablemente concretar la hipótesis normativa, como ha sido reiterado con insistencia” (Subraya
por fuera del texto original). Sentencia C-406 de 2004. M.P.: Clara Inés Vargas Hernández, A.V.: Álvaro
Tafur Galvis, A.V.: Manuel José Cepeda Espinosa, S.P.V.: Jaime Araújo Rentería.
[208]
Sentencias C-921 de 2001, C-099 de 2003, C-406 de 2004 y C-343 de 2006.
[209]
Artículo 7°. Deberes de los operadores de los bancos de datos. Sin perjuicio del cumplimiento de las
demás disposiciones contenidas en la presente ley y otras que rijan su actividad, los operadores de los bancos
de datos están obligados a: 1. Garantizar, en todo tiempo al titular de la información, el pleno y efectivo
ejercicio del derecho de Hábeas Data y de petición, es decir, la posibilidad de conocer la información que
sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se
realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley. 2.
Garantizar, que en la recolección, tratamiento y circulación de datos, se respetarán los demás derechos
consagrados en la ley. 3. Permitir el acceso a la información únicamente a las personas que, de conformidad
con lo previsto en esta ley, pueden tener acceso a ella. 4. Adoptar un manual interno de políticas y
procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de
consultas y reclamos por parte de los titulares. 5. Solicitar la certificación a la fuente de la existencia de la
autorización otorgada por el titular, cuando dicha autorización sea necesaria, conforme lo previsto en la
presente ley. 6. Conservar con las debidas seguridades los registros almacenados para impedir su deterioro,
pérdida, alteración, uso no autorizado o fraudulento. 7. Realizar periódica y oportunamente la actualización y
rectificación de los datos, cada vez que le reporten novedades las fuentes, en los términos de la presente ley.
8. Tramitar las peticiones, consultas y los reclamos formulados por los titulares de la información, en los
términos señalados en la presente ley. 9. Indicar en el respectivo registro individual que determinada
información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de
rectificación o actualización de la misma y no haya finalizado dicho trámite, en la forma en que se regula en
la presente ley. 10. Circular la información a los usuarios dentro de los parámetros de la presente ley. 11.
Cumplir las instrucciones y requerimientos que la autoridad de vigilancia imparta en relación con el
cumplimiento de la presente ley. 12. Los demás que se deriven de la Constitución o de la presente ley.
[210]
Artículo 8°. Deberes de las fuentes de la información. Las fuentes de la información deberán cumplir
las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente
ley y en otras que rijan su actividad: 1. Garantizar que la información que se suministre a los operadores de
los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable. 2. Reportar, de
forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya
suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga
actualizada. 3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores. 4.
Diseñar e implementar mecanismos eficaces para reportar oportunamente la información al operador. 5.
Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los
titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no
esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la
presente ley. 6. Certificar, semestralmente al operador, que la información suministrada cuenta con la
autorización de conformidad con lo previsto en la presente ley. 7. Resolver los reclamos y peticiones del

titular en la forma en que se regula en la presente ley. 8. Informar al operador que determinada información se
encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o
actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese
sentido hasta que se haya finalizado dicho trámite. 9. Cumplir con las instrucciones que imparta la autoridad
de control en relación con el cumplimiento de la presente ley. 10. Los demás que se deriven de la
Constitución o de la presente ley.
[211]
Artículo 9°. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en
la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1. Guardar reserva
sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los
titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en
los términos de la presente ley. 2. Informar a los titulares, a su solicitud, sobre la utilización que le está dando
a la información. 3. Conservar con las debidas seguridades la información recibida para impedir su deterioro,
pérdida, alteración, uso no autorizado o fraudulento. 4. Cumplir con las instrucciones que imparta la autoridad
de control, en relación con el cumplimiento de la presente ley. 5. Los demás que se deriven de la Constitución
o de la presente ley.
[212]
En tal sentido, la Corte ha considerado en la sentencia C-860 de 2006 que “La reserva de ley, que opera
de manera estricta en materia penal, resulta ser más flexible en el ámbito de las sanciones administrativas,
especialmente en materia bancaria y bursátil, debido a los rasgos distintivos de dicho sector económico, sin
que en todo caso quepa considerar que desaparece la vinculación positiva al principio de legalidad en el
ejercicio de la potestad sancionatoria y por medio de reglamentos puedan configurarse de manera autónoma
conductas sancionables. Así, mientras que en el primer caso la ley legitimadora por regla general ha de
contemplar tanto la previsión de la pena como de la descripción de la conducta ilícita (tipicidad), sin
posibilidad de completar esa descripción por un reglamento de aplicación o desarrollo, salvo el caso
excepcional y restrictivo de los tipos penales en blanco; en el segundo evento, es decir cuando se trata del
derecho administrativo sancionador, el principio de legalidad de las sanciones administrativas sólo exige
que una norma con fuerza material de ley contemple una descripción genérica de las conductas
sancionables, las clases y cuantía de las sanciones, pero con posibilidad de remitir a los actos
administrativos la descripción pormenorizada de las conductas reprochables, sin que pueda decirse en este
caso que las normas de carácter reglamentario complementan los enunciados legales, pues se trata de una
remisión normativa contemplada específicamente por la disposición legal de carácter sancionador”. Con
base en estos argumentos, la Corte declaró la exequibilidad de algunas expresiones del artículo 209 del
Estatuto Orgánico del Sistema Financiero, modificado por la Ley 795 de 2003. La disposición parcialmente
acusada autoriza a la Superintendencia Bancaria para imponer las sanciones previstas en el estatuto a los
directores, administradores, representantes legales, revisores fiscales u otros funcionarios o empleados de una
institución sujeta a su vigilancia cuando:
“(…)
d) Autoricen o no eviten debiendo hacerlo, actos que resulten violatorios de la ley, de los reglamentos
expedidos por el Gobierno Nacional de acuerdo con la Constitución y la ley en desarrollo de sus facultades
de intervención, de los estatutos sociales, o de normas o instrucciones que expida la Superintendencia
Bancaria en el ejercicio de sus atribuciones.”
[213]

El Decreto 2153 de 1992, fue expedido por el Presidente de la República en ejercicio de facultades
constitucionales especiales conferidas en el artículo 20 transitorio de la Constitución, En su artículo 52 regula
el procedimiento sancionatorio. “PROCEDIMIENTO. Para determinar si existe una infracción a las normas
de promoción a la competencia y prácticas comerciales restrictivas a que se refiere este Decreto, la
superintendencia de Industria y Comercio deberá iniciar actuación de oficio o por su solicitud de un tercero y
adelantar una averiguación preliminar, cuyo resultado determinará la necesidad de realizar una investigación.
Cuando se ordene abrir una investigación, se notificará personalmente al investigado para que solicite o
aporte las pruebas que pretenda hacer valer. Durante la investigación se practicarán las pruebas solicitadas y
las que el funcionario competente considere procedentes. Instruida la investigación se presentará al
Superintendente un informe motivado respecto de si ha habido una infracción. De dicho informe se correrá
traslado al investigado. Durante el curso de la investigación, el Superintendente de Industria y Comercio
podrá ordenar la clausura de la investigación cuando a su juicio el presunto infractor brinde garantías
suficientes de que suspenderá o modificará la conducta por la cual se le investiga. En lo no previsto en este
artículo se aplicará el Código Contencioso Administrativo”.

[214]

El procedimiento previsto en el artículo 208 contempla en su numeral 4 el “Procedimiento administrativo
sancionador” en el que se prevén etapas y principios, así: inicio de la investigación (a), actuación
administrativa (b), divisibilidad (c), notificaciones (d,e,f), formulación de cargos (g), traslado de la
formulación de cargos (h), período probatorio (i), recursos contra el acto de prueba (j), valoración probatoria
(k), recurso de la vía gubernativa contra la resolución sancionatoria (l), suspensión de términos (m), renuencia
a suministrar información (n, ñ), prescripción de la acción de cobro (o), devolución de multas (p), remisión
de obligaciones (q).
[215]
Cfr. Gaceta del Congreso 136 de 2007. Páginas 20-21.
[216]
La norma declarada inexequible era la siguiente:
“Ley 510 de 1999
“Artículo 110. Las entidades financieras velarán porque las personas encargadas de la conservación, el uso
y la divulgación informática de la información de los usuarios del sistema financiero, se mantenga
permanentemente actualizada, siguiendo para el efecto, en el reporte histórico de la misma, las siguientes
reglas:
“a) Todo usuario cuyo monto adeudado al sistema financiero no supere cien (100) salarios mínimos legales
mensuales vigentes, que realice voluntariamente el pago del saldo de su deuda en mora dentro de los seis (6)
meses contados a partir del primer día en que incurrió en el retardo, tendrá derecho a solicitar a la
respectiva entidad financiera el inmediato reporte a las centrales de información de la recalificación de su
deuda en la categoría correspondiente a los créditos adecuadamente atendidos;
“b) Si el usuario de que trata el literal anterior reincide en la mora de sus obligaciones dentro de los seis (6)
meses siguientes a la fecha de recalificación, no podrá efectuar nuevamente la solicitud de que trata el literal
anterior y deberá estar calificado en la categoría respectiva, durante un término no inferior al doble del
plazo en mora cuando ésta no supere un (1) año o por un término de dos (2) años cuando la misma supere el
mencionado plazo;
“c) Si el usuario presenta una deuda con monto superior a los cien (100) salarios mínimos legales mensuales
vigentes o si su deuda es inferior a dicho monto pero paga después de los seis (6) meses previstos en el literal
a) del presente artículo, se sujetará a los términos previstos en el literal b) para efectos de la permanencia de
su calificación en el reporte;
“d) Cuando el usuario incurra en mora de su obligación, cualquiera que sea su monto y se inicia proceso
judicial para la recuperación de la misma, la respectiva entidad financiera podrá mantener el último reporte
efectuado a las centrales de información por un término máximo no superior de cinco (5) años contados
desde la fecha de la sentencia que condene al deudor. No obstante, si el deudor paga el monto adeudado con
la notificación de mandamiento de pago en proceso ejecutivo, el término del reporte será de dos (2) años
contados desde la fecha del pago;
“e) En el evento en que el usuario demandado no resulte condenado en el proceso judicial iniciado por la
entidad financiera, el reporte efectuado debe eliminarse con la sentencia de primera instancia debidamente
notificada, por solicitud del usuario demandado. Esta regla no se aplicará si el fundamento de la sentencia es
la prescripción de la obligación, caso en el cual, sin perjuicio de la exoneración del pago de la deuda, el
reporte de esta circunstancia deberá realizarse por la entidad financiera correspondiente por dos (2) años
contados desde la sentencia.
“Parágrafo. El límite adeudado previsto en el literal a) del presente artículo, será de doscientos cincuenta
(250) salarios mínimos legales mensuales vigentes, para el caso de las pequeñas y medianas empresas
definidas como tales por la Ley 78 de 1988.”
[217]

La norma declarada inexequible era del siguiente tenor:
“Ley 716/01
"Artículo 19. Las personas que dentro del año siguiente a la vigencia de la presente ley se pongan al día en
obligaciones por cuya causa hubieren sido reportadas a los bancos de datos de que trata este artículo
tendrán un alivio consistente en la caducidad inmediata de la información negativa histórica, sin importar el
monto de la obligación e independientemente de si el pago se produce judicial o extrajudicialmente.
La defensoría del pueblo velará por el cumplimiento de esta norma.”
[218]

Sobre estos requisitos, Cfr. Corte Constitucional, sentencias C-130/04, C-615/02, C-692/07 y C-697/08.

Sentencia C 1011 de 2008

Más contenido relacionado

La actualidad más candente (20)

Destacado (6)

Similar a Sentencia C 1011 de 2008 (20)

Más de D_Informatico (20)

Sentencia C 1011 de 2008