-1-

LEYESTATUTARIA1266DEL31DEDICIEMBREDE2008 porlacualsedictanlasdisposicionesgeneralesdelHbeasDatayseregulaelmanejodela informacincontenidaenbasesdedatospersonales,enespeciallafinanciera,crediticia, comercial,deserviciosylaprovenientedetercerospases ysedictanotrasdisposiciones. NOTA:EstaleyfueavaladaporlaCorteConstitucionalbajomuchos entendidosysupuestos.Poreso,sesugiereconsultarlasentenciaC1011del16 deoctubrede2008disponibleenhttp://gecti.uniandes.edu.co/legislacion.html ohttp://www.habeasdata.org.co EltextodeestaleyfuetomadodelasentenciaC1011de2008delaCorte Constitucional. LasnotasfueronrealizadasporNelsonRemolinaAngarita,DirectordelGECTI http://gecti.uniandes.edu.co/index.html,http://www.habeasdata.org.co yrelatortemticodeproteccindedatospersonalesdelaFacultaddeDerecho delaUniversidaddelosAndes http://relatorestematicos.uniandes.edu.co/index.php/protecciondatos personales/relator.html ELCONGRESODELAREPBLICA Decreta Artculo 1. Objeto. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informacionesquesehayanrecogidosobreellasenBancosdeDatos,ylosdems derechos, libertades y garantas constitucionales relacionadas con la recoleccin, tratamiento y circulacin de datos personales a que se refiere el artculo 15 de la Constitucin Poltica, as como el derecho a la informacin establecido en el artculo 20 de la Constitucin Poltica, particularmente en relacin con la

-2-

informacin financiera y crediticia, comercial, de servicios y la proveniente de tercerospases. Artculo2. mbito deaplicacin. La presenteley seaplicaa todos los datos de informacinpersonalregistradosenunBancodeDatos,seanestosadministrados porentidadesdenaturalezapblicaoprivada. Esta ley se aplicar sin perjuicio de normas especiales que disponen la confidencialidadoreservadeciertosdatosoinformacinregistradaenBancosde datosdenaturalezapblica,parafinesestadsticos,deinvestigacinosancinde delitosoparagarantizarelordenpblico. Se exceptan de esta ley las bases de datos que tienen por finalidad producir la Inteligencia de Estado por parte del Departamento Administrativo de Seguridad, DAS, y de la Fuerza Pblica para garantizar la seguridad nacional interna y externa. Los registros pblicos a cargo de las cmaras de comercio se regirn exclusivamenteporlasnormasyprincipiosconsagradosenlasnormasespeciales quelasregulan. Igualmente, quedan excluidos de la aplicacin de la presente ley aquellos datos mantenidos en un mbito exclusivamente personal o domstico y aquellos que circulan internamente, estoes, que no se suministran a otras personas jurdicas o naturales. Artculo3.Definiciones.Paralosefectosdelapresenteley,seentiendepor: NOTA:LaCorteConstitucionalmediantesentenciaC1011de2008resolvilo siguiente: Tercero. Declarar EXEQUIBLE el artculo 3 del Proyecto de Ley objeto de revisin, en el entendido que respecto a lo previsto en el literal c) de este artculo, el operador es responsable a partir de la recepcin del dato suministradoporlafuente,porelincumplimientodelosdeberesdediligencia y cuidadoen relacin con lacalidad dela informacin personal,consagrados en esta Ley Estatutaria. Esta declaratoria de exequibilidad operar salvo la

-3-

expresinascomolainformacinrelativaalasdemsactividadespropiasdelsector financieroosobreelmanejofinancieroolosestadosfinancierosdeltitular,contenida en el literal j) del artculo 3 del Proyecto de Ley Estatutaria, que se declara INEXEQUIBLE a) Titular de la informacin. Es la persona natural o jurdica a quien se refiere la informacinquereposaenunBancodeDatosysujetodelderechodeHbeasData ydemsderechosygarantasaqueserefierelapresenteley; b) Fuente de informacin. Es la persona, entidad u organizacin que recibe o conoce datos personales de los titulares de la informacin, en virtud de una relacin comercial o de servicio o de cualquier otra ndole y que, en razn de autorizacin legal o del titular, suministra esos datos a un operador de informacin, el quea su vezlos entregaral usuariofinal. Si lafuente entregala informacin directamente a los usuarios y no, a travs de un operador, aquella tendr la doble condicin de fuente y operador y asumir los deberes y responsabilidadesdeambos.Lafuentedelainformacinrespondeporlacalidad delosdatossuministradosaloperadorlacual,encuantotieneaccesoysuministra informacin personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstas para garantizar la proteccin de los derechos del titulardelosdatos; c) Operador de informacin. Se denomina operador de informacin ala persona, entidad u organizacin que recibe de la fuente datos personales sobre varios titulares de la informacin, los administra y los pone en conocimiento de los usuarios bajo los parmetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a informacin personal de terceros, se sujeta al cumplimiento de los deberesyresponsabilidadesprevistosparagarantizarlaproteccindelosderechos del titular de los datos. Salvo que el operador sea la misma fuente de la informacin,estenotienerelacincomercialodeservicioconeltitularyporende no es responsable por la calidad de los datos que le sean suministrados por la fuente; d) Usuario. El usuario es la persona natural o jurdica que, en los trminos y circunstanciasprevistos enlapresenteley,puedeaccederainformacinpersonal

-4-

deunoovariostitularesdelainformacinsuministradaporeloperadoroporla fuente,odirectamenteporeltitulardelainformacin.Elusuario,encuantotiene accesoainformacinpersonaldeterceros,sesujetaalcumplimientodelosdeberes y responsabilidades previstos para garantizar la proteccin de los derechos del titulardelosdatos.Enelcasoenqueelusuarioasuvezentreguelainformacin directamenteaunoperador,aquellatendrladoblecondicindeusuarioyfuente, yasumirlosdeberesyresponsabilidadesdeambos; e) Dato personal. Es cualquier pieza de informacin vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural ojurdica.Losdatosimpersonalesno sesujetanalrgimendeproteccin dedatosdelapresenteley.Cuandoenlapresenteleysehagareferenciaaundato, sepresumequesetratadeusopersonal.Losdatospersonalespuedenserpblicos, semiprivadosoprivados; f)Datopblico.Eseldatocalificadocomotalsegnlosmandatosdelaleyodela Constitucin Poltica y todos aquellos que no sean semiprivados o privados, de conformidadconlapresenteley.Sonpblicos,entreotros,losdatoscontenidosen documentospblicos,sentenciasjudicialesdebidamenteejecutoriadasquenoestn sometidosareservaylosrelativosalestadocivildelaspersonas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza ntima, reservada,nipblicaycuyoconocimientoodivulgacinpuedeinteresarnosoloa sutitularsinoaciertosectorogrupodepersonasoalasociedadengeneral,como eldatofinancieroycrediticiodeactividadcomercialodeserviciosaqueserefiere elTtuloIVdelapresenteley. h) Dato privado. Es el dato que por su naturaleza ntima o reservada solo es relevanteparaeltitular; i)AgenciadeInformacinComercial.Estodaempresalegalmenteconstituidaque tenga como actividad principal la recoleccin, validacin y procesamiento de informacin comercial sobre las empresas y comerciantes especficamente solicitadas por sus clientes, entendindose por informacin comercial aquella informacin histrica y actual relativa a la situacin financiera, patrimonial, de mercado, administrativa, operativa, sobre el cumplimiento de obligaciones y dems informacin relevante para analizar la situacin integral de una empresa.

-5-

Para los efectos de la presente ley, las agencias de informacin comercial son operadoresdeinformacinyfuentesdeinformacin. Pargrafo. A las agencias de informacin comercial, as como a sus fuentes o usuarios, segn sea el caso, no se aplicarn las siguientes disposiciones de la presenteley:Numerales2y6delartculo8,artculo12yartculo14; j) Informacin financiera, crediticia, comercial, de servicios y la proveniente de tercerospases. Paratodoslosefectosdelapresenteleyseentenderporinformacinfinanciera, crediticia, comercial, de servicios y la proveniente de terceros pases, aquella referida al nacimiento, ejecucin y extincin de obligaciones dinerarias, independientemente de la naturaleza del contrato que les d origen, as como la informacinrelativaalasdemsactividadespropiasdelsectorfinancieroosobre elmanejofinancieroolosestadosfinancierosdeltitular. Artculo 4. Principios de la administracin de datos. En el desarrollo, interpretacin y aplicacin de la presente ley, se tendrn en cuenta, de manera armnicaeintegral,losprincipiosqueacontinuacinseestablecen: a) Principio de veracidad o calidad de los registros o datos. La informacin contenida en los Bancos de Datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohbe el registro y divulgacin de datos parciales,incompletos,fraccionadosoqueinduzcanaerror; b) Principio de finalidad. La administracin de datos personales debe obedecer a una finalidad legtima de acuerdo con la Constitucin y la ley. La finalidad debe informrsele al titular de la informacin previa o concomitantemente con el otorgamiento de la autorizacin, cuando ella sea necesaria o en general siempre queeltitularsoliciteinformacinalrespecto; c) Principio de circulacin restringida. La administracin de datos personales se sujeta a los lmites que se derivan de la naturaleza de los datos, de las disposicionesdelapresenteleyydelosprincipiosdelaadministracindedatos personalesespecialmentedelosprincipiosdetemporalidaddelainformacinyla finalidaddelBancodeDatos.

-6-

Los datos personales, salvo la informacin pblica, no podrn ser accesibles por Internet o por otros medios de divulgacin o comunicacin masiva, salvo que el accesoseatcnicamentecontrolableparabrindarunconocimientorestringidosolo alostitularesolosusuariosautorizadosconformealapresenteley; d) Principio de temporalidad de la informacin. La informacin del titular no podr ser suministrada a usuarios o terceros cuando deje de servir para la finalidaddelBancodeDatos; e)Principiodeinterpretacinintegraldederechosconstitucionales.Lapresenteley se interpretar en el sentido de que se amparen adecuadamente los derechos constitucionales,comosonelHbeasData,elderechoalbuennombre,elderechoa lahonra,elderechoalaintimidadyelderechoalainformacin.Losderechosde lostitularesseinterpretarnenarmonayenunplanodeequilibrioconelderecho a la informacin previsto en el artculo 20 de la Constitucin y con los dems derechosconstitucionalesaplicables; f)Principiodeseguridad.Lainformacinqueconformalosregistrosindividuales constitutivosdelosBancosdeDatosaqueserefierelaley,ascomolaresultante delasconsultasquedeellahagansususuarios,sedebermanejarconlasmedidas tcnicasqueseannecesariasparagarantizarlaseguridaddelosregistrosevitando suadulteracin,prdida,consultaousonoautorizado; g) Principio de confidencialidad. Todas las personas naturales o jurdicas que intervenganenlaadministracindedatospersonalesquenotenganlanaturaleza de pblicos estn obligadas en todo tiempo a garantizar la reserva de la informacin,inclusivedespusdefinalizadasurelacinconalgunadelaslabores que comprende la administracin de datos, pudiendo solo realizar suministro o comunicacin de datos cuando ello corresponda al desarrollo de las actividades autorizadasenlapresenteleyyenlostrminosdelamisma.

-7-

Artculo5.Circulacindeinformacin. NOTA:LaCorteConstitucionalmediantesentenciaC1011de2008resolvilo siguiente: Cuarto. Declarar EXEQUIBLE el artculo 5 del Proyecto de Ley objeto de revisin, en el entendido que respecto a lo previsto en el literal d) de este artculo, las entidades pblicas del poder ejecutivo, cuando acceden al dato personal,quedansometidasalosdeberesyresponsabilidadesprevistosporla LeyEstatutariaparalosusuariosdelainformacin. La informacin personal recolectada o suministrada de conformidad con lo dispuesto en la ley a los operadores que haga parte del Banco de datos que administra,podrserentregadademaneraverbal,escrita,opuestaadisposicin delassiguientespersonasyenlossiguientestrminos: a) A los titulares, a las personas debidamente autorizadas por estos y a sus causahabientesmedianteelprocedimientodeconsultaprevistoenlapresenteley; b)Alosusuariosdelainformacin,dentrodelosparmetrosdelapresenteley; c)Acualquierautoridadjudicial,previaordenjudicial; d)Alasentidadespblicasdelpoderejecutivo,cuandoelconocimientodedicha informacin corresponda directamente al cumplimiento de alguna de sus funciones; e) A los rganos de control y dems dependencias de investigacin disciplinaria, fiscal,oadministrativa,cuandolainformacinseanecesariaparaeldesarrollode unainvestigacinencurso; f) A otros operadores de datos, cuando se cuente con autorizacin del titular, o cuando sin ser necesaria la autorizacin del titular el Banco de Datos de destino tengalamismafinalidadounafinalidadquecomprendalaquetieneeloperador que entrega los datos. Si el receptor de la informacin fuere un Banco de Datos

-8-

extranjero, la entrega sin autorizacin del titular solo podr realizarse dejando constancia escrita de la entrega de la informacin y previa verificacin por parte del operador de que las leyes del pas respectivo o el receptor otorgan garantas suficientesparalaproteccindelosderechosdeltitular; g)Aotraspersonasautorizadasporlaley. TITULOII DERECHOSDELOSTITULARESDELAINFORMACION Artculo6.Derechosdelostitularesdelainformacin. NOTA:LaCorteConstitucionalmediantesentenciaC1011de2008resolvilo siguiente: Quinto. Declarar EXEQUIBLE el artculo 6 del Proyecto de Ley objetoderevisin,enelentendidoquerespectoaloprevistoenelnumeral2.1. de este artculo, la fuente tiene la obligacin de informar a los titulares los datos que suministra al operador, para los fines previstos en el inciso 2 del artculo12delaLeyEstatutaria. Lostitularestendrnlossiguientesderechos: 1.FrentealosoperadoresdelosBancosdeDatos: 1.1EjercerelderechofundamentalalHbeasDataenlostrminosdelapresente ley, mediante la utilizacin de los procedimientos de consultas o reclamos, sin perjuiciodelosdemsmecanismosconstitucionalesylegales. 1.2 Solicitar el respeto y la proteccin de los dems derechos constitucionales o legales, as como de las dems disposiciones de la presente ley, mediante la utilizacindelprocedimientodereclamosypeticiones. 1.3Solicitarpruebadelacertificacindelaexistenciadelaautorizacinexpedida porlafuenteoporelusuario.

-9-

1.4 Solicitar informacin acerca de los usuarios autorizados para obtener informacin. Pargrafo.Laadministracindeinformacinpblicanorequiereautorizacindel titular de los datos, pero se sujeta al cumplimiento de los principios de la administracindedatospersonalesyalasdemsdisposicionesdelapresenteley. La administracin de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los datos, salvo en el caso del dato financiero, crediticio, comercial, de servicios y el proveniente de terceros pases el cual no requiere autorizacin del titular. En todo caso, la administracin de datos semi privados y privados se sujeta al cumplimiento de los principios de la administracindedatospersonalesyalasdemsdisposicionesdelapresenteley. 2.Frentealasfuentesdelainformacin: 2.1 Ejercer los derechos fundamentales al Hbeas Data y de peticin, cuyo cumplimientosepodrrealizaratravsdelosoperadores,conformeloprevistoen losprocedimientosdeconsultasyreclamosdeestaley,sinperjuiciodelosdems mecanismosconstitucionalesolegales. 2.2 Solicitar informacin o pedir la actualizacin o rectificacin de los datos contenidos en la base de datos, lo cual realizar el operador, con base en la informacin aportada por la fuente, conforme se establece en el procedimiento paraconsultas,reclamosypeticiones. 2.3 Solicitar prueba de la autorizacin, cuando dicha autorizacin sea requerida conformeloprevistoenlapresenteley. 3.Frentealosusuarios: 3.1 Solicitar informacin sobre la utilizacin que el usuario le est dando a la informacin, cuando dicha informacin no hubiere sido suministrada por el operador. 3.2 Solicitar prueba de la autorizacin, cuando ella sea requerida conforme lo previstoenlapresenteley.

- 10 -

Pargrafo. Los titulares de informacin financiera y crediticia tendrn adicionalmentelossiguientesderechos: Podrn acudir ante la autoridad de vigilancia para presentar quejas contra las fuentes, operadores o usuarios por violacin de las normas sobre administracin delainformacinfinancieraycrediticia. As mismo, pueden acudir ante la autoridad de vigilancia para pretender que se ordene a un operador o fuente la correccin o actualizacin de sus datos personales,cuandoelloseaprocedenteconformeloestablecidoenlapresenteley. TITULOIII DEBERESDELOSOPERADORES,LASFUENTES YLOSUSUARIOSDEINFORMACION Artculo7.DeberesdelosoperadoresdelosBancosdeDatos.Sinperjuiciodel cumplimientodelasdemsdisposicionescontenidasenlapresenteleyyotrasque rijansuactividad,losoperadoresdelosBancosdeDatosestnobligadosa: 1. Garantizar, en todo tiempo al titular de la informacin, el pleno y efectivo ejercicio del derecho de Hbeas Data y de peticin, es decir, la posibilidad de conocerlainformacinquesobrelexistaoreposeenelBancodeDatos,ysolicitar laactualizacinocorreccindedatos,todolocualserealizarporconductodelos mecanismosdeconsultasoreclamos,conformeloprevistoenlapresenteley. 2. Garantizar, que en la recoleccin, tratamiento y circulacin de datos, se respetarnlosdemsderechosconsagradosenlaley. 3. Permitir el acceso a la informacin nicamente a las personas que, de conformidadconloprevistoenestaley,puedenteneraccesoaella. 4. Adoptar un manual interno de polticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atencin de consultasyreclamosporpartedelostitulares.

- 11 -

5. Solicitarla certificacin ala fuente de laexistencia de la autorizacin otorgada poreltitular,cuandodichaautorizacinseanecesaria,conformeloprevistoenla presenteley. 6.Conservarconlasdebidasseguridadeslosregistrosalmacenadosparaimpedir sudeterioro,prdida,alteracin,usonoautorizadoofraudulento. 7.Realizarperidicayoportunamentelaactualizacinyrectificacindelosdatos, cadavezquelereportennovedadeslasfuentes,enlostrminosdelapresenteley. 8.Tramitarlaspeticiones,consultasylosreclamosformuladosporlostitularesde lainformacin,enlostrminossealadosenlapresenteley. 9. Indicar en el respectivo registro individual que determinada informacin se encuentra en discusin por parte de su titular, cuando se haya presentado la solicitud de rectificacin o actualizacin de la misma y no haya finalizado dicho trmite,enlaformaenqueseregulaenlapresenteley. 10.Circularlainformacinalosusuariosdentrodelosparmetrosdelapresente ley. 11. Cumplir las instrucciones y requerimientos que la autoridad de vigilancia impartaenrelacinconelcumplimientodelapresenteley. 12.LosdemsquesederivendelaConstitucinodelapresenteley. Artculo 8. Deberes de las fuentes de la informacin. Las fuentes de la informacin debern cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las dems disposiciones previstas en la presente ley y en otras querijansuactividad: 1.GarantizarquelainformacinquesesuministrealosoperadoresdelosBancos deDatosoalosusuariosseaveraz,completa,exacta,actualizadaycomprobable. 2. Reportar, de forma peridica y oportuna al operador, todas las novedades respectodelosdatosquepreviamentelehayasuministradoyadoptarlasdems

- 12 -

medidas necesarias para que la informacin suministrada a este se mantenga actualizada. 3. Rectificar la informacin cuando sea incorrecta e informar lo pertinente a los operadores. 4. Disear e implementar mecanismos eficaces para reportar oportunamente la informacinaloperador. 5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorizacin otorgada por los titulares de la informacin, y asegurarse de no suministrar a los operadores ningn dato cuyo suministro no est previamente autorizado, cuando dicha autorizacin sea necesaria, de conformidad con lo previstoenlapresenteley. 6.Certificar,semestralmentealoperador,quelainformacinsuministradacuenta conlaautorizacindeconformidadconloprevistoenlapresenteley. 7.Resolverlosreclamosypeticionesdeltitularenlaformaenqueseregulaenla presenteley. 8. Informar al operador que determinada informacin se encuentra en discusin por parte de su titular, cuando se haya presentado la solicitud de rectificacin o actualizacin de la misma, con el fin de que el operador incluya en el Banco de Datosunamencinenesesentidohastaquesehayafinalizadodichotrmite. 9. Cumplir con las instrucciones que imparta la autoridad de control en relacin conelcumplimientodelapresenteley. 10.LosdemsquesederivendelaConstitucinodelapresenteley. Artculo 9. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y dems que rijan su actividad, los usuariosdelainformacindebern: 1. Guardar reserva sobre la informacin que les sea suministrada por los operadoresdelosBancosdeDatos,porlasfuentesolostitularesdelainformacin

- 13 -

yutilizarlainformacinnicamenteparalosfinesparalosquelefueentregada,en lostrminosdelapresenteley. 2.Informaralostitulares,asusolicitud,sobrelautilizacinqueleestdandoala informacin. 3.Conservarconlasdebidasseguridadeslainformacinrecibidaparaimpedirsu deterioro,prdida,alteracin,usonoautorizadoofraudulento. 4. Cumplir con las instrucciones que imparta la autoridad de control, en relacin conelcumplimientodelapresenteley. 5.LosdemsquesederivendelaConstitucinodelapresenteley. TITULOIV DELOSBANCOSDEDATOSDEINFORMACIONFINANCIERA, CREDITICIA,COMERCIAL,DESERVICIOSYLAPROVENIENTEDE TERCEROSPAISES Artculo 10. Principio de favorecimiento a una actividad de inters pblico. La actividad de administracin de informacin financiera, crediticia, comercial, de servicios y la proveniente de terceros pases est directamente relacionada y favorece una actividad de inters pblico, como lo es la actividad financiera propiamente, por cuanto ayuda a la democratizacin del crdito, promueve el desarrollo de la actividad de crdito, la proteccin de la confianza pblica en el sistema financiero y la estabilidad del mismo, y genera otros beneficios para la economanacionalyenespecialparalaactividadfinanciera,crediticia,comercialy deserviciosdelpas. Pargrafo1.Laadministracindeinformacinfinanciera,crediticia,comercial,de servicios y la proveniente de terceros pases, por parte de fuentes, usuarios y operadores deber realizarse de forma que permita favorecer los fines de expansinydemocratizacindelcrdito.Losusuariosdeestetipodeinformacin debernvalorarestetipodeinformacinenformaconcurrenteconotrosfactoreso elementosde juicio quetcnicamente inciden en el estudio de riesgo yelanlisis crediticio, y no podrn basarse exclusivamente en la informacin relativa al

- 14 -

incumplimiento de obligaciones suministrada por los operadores para adoptar decisionesfrenteasolicitudesdecrdito. La Superintendencia Financiera de Colombia podr imponer las sanciones previstas en la presente ley a los usuarios de la informacin que nieguen una solicituddecrditobasadosexclusivamenteenelreportedeinformacinnegativa delsolicitante. Pargrafo 2. La consulta de la informacin financiera, crediticia, comercial, de servicios y la proveniente de terceros pases por parte del titular, ser gratuita al menosuna(1)vezcadamescalendario. Artculo11.Requisitosespecialesparalosoperadores.LosoperadoresdeBancos de Datos de informacin financiera, crediticia, comercial, de servicios y la proveniente de terceros pases que funcionen como entes independientes a las fuentesdelainformacin,deberncumplirconlossiguientesrequisitosespeciales defuncionamiento: 1.Debernconstituirsecomosociedadescomerciales,entidadessinnimodelucro, oentidadescooperativas. 2. Debern contar con un rea de servicio al titular de la informacin, para la atencindepeticiones,consultasyreclamos. 3. Debern contar con un sistema de seguridad y con las dems condiciones tcnicas suficientes para garantizar la seguridad y actualizacin de los registros, evitando su adulteracin, prdida, consulta o uso no autorizado conforme lo previstoenlapresenteley. 4. Debern actualizar la informacin reportada por las fuentes con una periodicidadnosuperioradiez(10)dascalendariocontadosapartirdelrecibode lamisma. Artculo 12. Requisitos especiales para fuentes. Las fuentes debern actualizar mensualmente la informacin suministrada al operador, sin perjuicio de lo dispuestoenelTtuloIIIdelapresenteley.

- 15 -

El reporte de informacin negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de informacin a los operadores de BancosdeDatosdeinformacinfinanciera,crediticia,comercial,deserviciosyla provenientedetercerospases,sloprocederpreviacomunicacinaltitulardela informacin, con el fin de que este pueda demostrar o efectuar el pago de la obligacin,ascomocontrovertir aspectostalescomoelmontodelaobligacino cuota y la fecha de exigibilidad.Dicha comunicacin podr incluirse en los extractosperidicosquelasfuentesdeinformacinenvenasusclientes. En todo caso, las fuentes de informacin podrn efectuar el reporte de la informacintranscurridosveinte(20)dascalendariosiguientesalafechadeenvo de la comunicacin en la ltima direccin de domicilio del afectado que se encuentreregistradaenlosarchivosdelafuentedelainformacinysinperjuicio, siesdelcaso,dedarcumplimientoalaobligacindeinformaraloperador,quela informacin se encuentra en discusin por parte de su titular, cuando se haya presentado solicitud de rectificacin o actualizacin y esta an no haya sido resuelta. Artculo13.Permanenciadelainformacin. NOTA:LaCorteConstitucionalmediantesentenciaC1011de2008resolvilo siguiente: Sexto. Declarar EXEQUIBLE el artculo 13 del Proyecto de Ley objetoderevisin,enelentendidoquelacaducidaddeldatofinancieroencaso de mora inferior a dos aos, no podr exceder el doble de la mora, y que el trmino de permanencia de cuatro aos tambin se contar a partir del momentoenqueseextingalaobligacinporcualquiermodo. La informacin de carcter positivo permanecer de manera indefinida en los BancosdeDatosdelosoperadoresdeinformacin. Losdatoscuyocontenidohagareferenciaaltiempodemora,tipodecobro,estado de la cartera, y en general, aquellos datos referentes a una situacin de incumplimiento de obligaciones, se regirn por un trmino mximo de permanencia, vencido el cual deber ser retirada de los Bancos de Datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha

- 16 -

informacin. El trmino de permanencia de esta informacin ser de cuatro (4) aos contados a partir dela fecha en quesean pagadas las cuotas vencidas o sea pagadalaobligacinvencida. Artculo14.Contenidodelainformacin. NOTA:LaCorteConstitucionalmediantesentenciaC1011de2008resolvilo siguiente:Sptimo.DeclararEXEQUIBLEelartculo14delProyectodeLey, enelentendidoquelasexpresionesreportenegativoyreportepositivodelos literales a. y b. hacen referencia exclusivamente al cumplimiento o incumplimiento de la obligacin, y que el reporte deber contener la informacinhistrica,integral,objetivayverazdelcomportamientocrediticio deltitular. El Gobierno Nacional establecer la forma en la cual los Bancos de Datos de informacin financiera, crediticia, comercial, de servicios y la proveniente de tercerospases,debernpresentarlainformacindelostitularesdelainformacin. Para tal efecto, deber sealar un formato que permita identificar, entre otros aspectos,elnombrecompletodeldeudor,lacondicinenqueacta,estoes,como deudor principal, deudor solidario, avalista o fiador, el monto de la obligacin o cuotavencida,eltiempodemoraylafechadelpago,siesdelcaso. El Gobierno Nacional al ejercer la facultad prevista en el inciso anterior deber tenerencuentaqueenelformatodereportedeberestablecerque: a) Se presenta reporte negativo cuando la(s) persona(s) naturales o jurdicas efectivamenteseencuentranenmoraensuscuotasuobligaciones; b)Sepresentareportepositivocuandola(s)persona(s)naturalesyjurdicasestnal daensusobligaciones. Elincumplimientodelaobligacinaquprevistadarlugaralaimposicindelas mximassancionesprevistasenlapresenteley. Pargrafo1.Paralosefectosdelapresenteleyseentiendequeunaobligacinha sido voluntariamente pagada, cuando su pago se ha producido sin que medie sentenciajudicialqueasloordene.

- 17 -

Pargrafo 2. Las consecuencias previstas en el presente artculo para el pago voluntariodelasobligacionesvencidas,serpredicableparacualquierotromodo deextincindelasobligaciones,quenosearesultadodeunasentenciajudicial. Pargrafo 3. Cuando un usuario consulte el estado de un titular en las bases de datosdeinformacinfinanciera,crediticia,comercial,deserviciosylaproveniente detercerospases,estastendrnquedarinformacinexactasobresuestadoactual, esdecir,darunreportepositivodelosusuariosqueenelmomentodelaconsulta estn al da en sus obligaciones y uno negativo de los que al momento de la consultaseencuentrenenmoraenunacuotauobligaciones. Elrestodelainformacincontenidaenlasbasesdedatosfinancieros,crediticios, comercial,deserviciosylaprovenientedetercerospasesharnpartedelhistorial crediticiodecadausuario,elcualpodrserconsultadoporelusuario,siemprey cuandohubieresidoinformadosobreelestadoactual. Pargrafo 4. Se prohbe la administracin de datos personales con informacin exclusivamentedesfavorable. Artculo 15. Acceso a la informacin por parte de los usuarios. La informacin contenida en Bancos de Datos de informacin financiera, crediticia, comercial, de servicios y la proveniente de terceros pases podr ser accedida por los usuarios nicamenteconlassiguientesfinalidades: Como elemento de anlisis para establecer y mantener una relacin contractual, cualquiera que sea su naturaleza, as como para la evaluacin de los riesgos derivadosdeunarelacincontractualvigente. Como elemento de anlisis para hacer estudios de mercado o investigaciones comercialesoestadsticas. Para el adelantamiento de cualquier trmite ante una autoridad pblica o una personaprivada,respectodelcualdichainformacinresultepertinente.

- 18 -

Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en formageneraloparacadacasoparticularsehayaobtenidoautorizacinporparte deltitulardelainformacin. TITULOV PETICIONESDECONSULTASYRECLAMOS Artculo16.Peticiones,consultasyreclamos. I. Trmite de consultas. Los titulares de la informacin o sus causahabientes podrn consultar la informacin personal del titular, que repose en cualquier Banco de Datos, sea este del sector pblico o privado. El operador deber suministraraestos,debidamenteidentificados,todalainformacincontenidaenel registroindividualoqueestvinculadaconlaidentificacindeltitular. Lapeticin,consultadeinformacinseformularverbalmente,porescrito,opor cualquier canal de comunicacin, siempre y cuando se mantenga evidencia de la consultapormediostcnicos. La peticin o consulta ser atendida en un trmino mximo de diez (10) das hbiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la peticin o consulta dentro de dicho trmino, se informar al interesado, expresando los motivos de la demora y sealando la fecha en que se atendersupeticin,lacualenningncasopodrsuperarloscinco(5)dashbiles siguientesalvencimientodelprimertrmino. Pargrafo. La peticin o consulta se deber atender de fondo, suministrando integralmentetodalainformacinsolicitada. II. Trmite de reclamos. Los titulares de la informacin o sus causahabientes que considerenquelainformacincontenidaensuregistroindividualenunBancode Datos debe ser objeto de correccin o actualizacin podrn presentar un reclamo anteeloperador,elcualsertramitadobajolassiguientesreglas: 1. La peticin o reclamo se formular mediante escrito dirigido al operador del BancodeDatos,conlaidentificacindeltitular,ladescripcindeloshechos que danlugaralreclamo,ladireccin,ysifuereelcaso,acompaandolosdocumentos

- 19 -

desoportequesequieranhacervaler.Encasodequeelescritoresulteincompleto, se deber oficiar al interesado para que subsane las fallas. Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la informacin requerida,seentenderquehadesistidodelareclamacinopeticin. 2. Una vez recibido la peticin o reclamo completo el operador incluir en el registroindividualenuntrminonomayorados(2)dashbilesunaleyendaque diga reclamo en trmite y la naturaleza del mismo. Dicha informacin deber mantenersehastaqueelreclamoseadecididoydeberincluirseenlainformacin quesesuministraalosusuarios. 3.Eltrminomximoparaatenderlapeticinoreclamo serdequince (15)das hbilescontadosapartirdeldasiguientealafechadesurecibo.Cuandonofuere posible atender la peticin dentro de dicho trmino, se informar al interesado, expresandolosmotivosdelademoraysealandolafechaenqueseatendersu peticin,lacualenningncasopodrsuperarlosocho(8)dashbilessiguientes alvencimientodelprimertrmino. 4. En los casos en que exista una fuente de informacin independiente del operador, este ltimo deber dar traslado del reclamo a la fuente en un trmino mximodedos(2)dashbiles,lacualdeberresolvereinformarlarespuestaal operadorenunplazomximodediez(10)dashbiles.Entodocaso,larespuesta deber darse al titular por el operador en el trmino mximo de quince (15) das hbiles contados a partir del da siguiente a la fecha de presentacin de la reclamacin, prorrogables por ocho (8) das hbiles ms, segn lo indicado en el numeral anterior. Si el reclamo es presentado ante la fuente, esta proceder a resolver directamente el reclamo, pero deber informar al operador sobre la recepcindelreclamodentrodelosdos(2)dashbilessiguientesasurecibo,de forma que se pueda dar cumplimiento a la obligacin de incluir la leyenda que digareclamoentrmiteylanaturalezadelmismodentrodelregistroindividual, lo cual deber hacer el operador dentro de los dos (2) das hbiles siguientes a haberrecibidolainformacindelafuente. 5.Paradarrespuestaalapeticinoreclamo,eloperadorolafuente,segnseael caso, deber realizar una verificacin completa de las observaciones o planteamientosdeltitular,asegurndosederevisartodalainformacinpertinente parapoderdarunarespuestacompletaaltitular.

- 20 -

6. Sin perjuicio del ejercicio de la accin de tutela para amparar el derecho fundamentaldelHbeasData,encasoqueeltitularnoseencuentresatisfechocon larespuestaalapeticin,podrrecurriralprocesojudicialcorrespondientedentro de los trminos legales pertinentes para debatir lo relacionado con la obligacin reportada como incumplida. La demanda deber ser interpuesta contra la fuente delainformacinlacual,unaveznotificadadelamisma,procederainformaral operadordentrodelosdos(2)dashbilessiguientes,deformaquesepuedadar cumplimiento a la obligacin de incluir la leyenda que diga informacin en discusin judicial y la naturaleza de la misma dentro del registro individual, lo cualdeberhacereloperadordentrodelosdos(2)dashbilessiguientesahaber recibidolainformacindelafuenteyportodoeltiempoquetomeobtenerunfallo en firme. Igual procedimiento deber seguirse en caso que la fuente inicie un proceso judicial contra el titular de la informacin, referente a la obligacin reportadacomoincumplida,yestepropongaexcepcionesdemrito. TITULOVI VIGILANCIADELOSDESTINATARIOSDELALEY Artculo17.Funcindevigilancia. NOTA:LaCorteConstitucionalmediantesentenciaC1011de2008resolvilo siguiente: Octavo. Declarar EXEQUIBLE el artculo 17 del Proyecto de Ley objeto de revisin, en el entendido que las Superintendencias, en todo caso, debenactuarconindependenciayautonomaensufuncindevigilancia. La Superintendenciade Industria y Comercio ejercer la funcin de vigilancia de los operadores, las fuentes y los usuarios de informacin financiera, crediticia, comercial,deserviciosylaprovenientedetercerospases,encuantoserefiereala actividaddeadministracindedatospersonalesqueseregulaenlapresenteley. Enloscasosenquelafuente,usuariouoperadordeinformacinseaunaentidad vigiladaporlaSuperintendenciaFinancieradeColombia,estaejercerlavigilancia eimpondrlassancionescorrespondientes,deconformidadconlasfacultadesque

- 21 -

lesonpropias,segnloestablecidoenelEstatutoOrgnicodelSistemaFinanciero ylasdemsnormaspertinentesylasestablecidasenlapresenteley. Paraelejerciciodelafuncindevigilanciaaqueserefiereelpresenteartculo,la Superintendencia de Industria y Comercio y la Superintendencia Financiera de Colombia,segnelcaso,tendrnenadicinalaspropiaslassiguientesfacultades: 1. Impartir instrucciones y rdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administracin de la informacin financiera, crediticia, comercial, de servicios y la proveniente de terceros pases fijar los criterios que faciliten su cumplimiento y sealar procedimientosparasucabalaplicacin. 2.Velarporelcumplimientodelasdisposicionesdelapresenteley,delasnormas que la reglamenten y de las instrucciones impartidas por la respectiva Superintendencia. 3. Velar porque los operadores y fuentes cuenten con un sistema de seguridad y con las dems condiciones tcnicas suficientes para garantizar la seguridad y actualizacindelosregistros,evitandosuadulteracin,prdida,consultaousono autorizadoconformeloprevistoenlapresenteley. 4. Ordenar a cargo del operador, la fuente o usuario la realizacin de auditoras externas de sistemas para verificar el cumplimiento de las disposiciones de la presenteley. 5. Ordenar de oficio o a peticin de parte la correccin, actualizacin o retiro de datos personales cuando ello sea procedente, conforme con lo establecido en la presente ley. Cuando sea a peticin de parte, se deber acreditar ante la Superintendencia que se surti el trmite de un reclamo por los mismos hechos ante el operador o la fuente, y que el mismo no fue atendido o fue atendido desfavorablemente. 6.Iniciardeoficiooapeticindeparteinvestigacionesadministrativascontralos operadores,fuentesyusuariosdeinformacinfinanciera,crediticia,comercial,de servicios y la proveniente de terceros pases, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones

- 22 -

delapresenteleyodelasrdenesoinstruccionesimpartidasporelorganismode vigilanciarespectivo,ysiesdelcasoimponersancionesuordenarlasmedidasque resultenpertinentes. Artculo 18. Sanciones. La Superintendencia de Industria y Comercio y la SuperintendenciaFinancierapodrnimponeralosoperadores,fuentesousuarios de informacin financiera, crediticia, comercial, de servicios y la proveniente de tercerospasespreviasexplicacionesdeacuerdoconelprocedimientoaplicable,las siguientessanciones: Multas de carcter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mnimos mensuales legales vigentes al momento de la imposicin de la sancin, por violacin a la presente ley, normas que la reglamenten, as como por la inobservancia de las rdenes e instrucciones impartidas por dicha Superintendencia.Las multas aqu previstas podrn ser sucesivasmientrassubsistaelincumplimientoquelasorigin. SuspensindelasactividadesdelBancodeDatos,hastaporuntrminodeseis(6) meses,cuandoseestuvierellevandoacabolaadministracindelainformacinen violacin grave de las condiciones y requisitos previstos en la presente ley, as como por la inobservancia de las rdenes e instrucciones impartidas por las Superintendenciasmencionadasparacorregirtalesviolaciones. CierreoclausuradeoperacionesdelBancodeDatoscuando,unaveztranscurrido eltrminodesuspensin,nohubiereadecuadosuoperacintcnicaylogstica,y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuestoenlaresolucinqueordenlasuspensin. CierreinmediatoydefinitivodelaoperacindeBancosdeDatosqueadministren datosprohibidos. Artculo19.Criteriosparagraduarlassanciones.Lassancionesporinfraccionesa queserefiereelartculoanteriorsegraduarnatendiendolossiguientescriterios, encuantoresultenaplicables: a) La dimensin del dao o peligro a los intereses jurdicos tutelados por la presenteley;

- 23 -

b)Elbeneficioeconmicoquesehubiereobtenidoparaelinfractoroparaterceros, porlacomisindelainfraccin,oeldaoquetalinfraccinhubierepodidocausar; c)Lareincidenciaenlacomisindelainfraccin; d)Laresistencia,negativauobstruccinalaaccininvestigadoraodevigilancia delaSuperintendenciadeIndustriayComercio; e) La renuencia o desacato a cumplir, con las rdenes impartidas por la SuperintendenciadeIndustriayComercio; f) El reconocimiento o aceptacin expresos que haga el investigado sobre la comisindelainfraccinantesdelaimposicindelasancinaquehubierelugar. Artculo 20. Rgimen de transicin para las Entidades de Control. La Superintendencia de Industria y Comercio y la Superintendencia Financiera asumirn,seis(6)mesesdespusdelaentradaenvigenciadelapresenteley,las funcionesaquestablecidas.Paratalesefectos,dentrodedichotrminoelGobierno Nacional adoptar las medidas necesarias para adecuar la estructura de la Superintendencia de Industria, Comercio y Financiera dotndola de la capacidad presupuestalytcnicanecesariaparacumplircondichasfunciones. TITULOVII DELASDISPOSICIONESFINALES Artculo 21. Rgimen de transicin. Para el cumplimiento de las disposiciones contenidasenlapresenteley,laspersonasque,alafechadesuentradaenvigencia ejerzanalgunadelasactividadesaqureguladas,tendrnunplazodehastaseis(6) mesesparaadecuarsufuncionamientoalasdisposicionesdelapresenteley. Lostitularesdelainformacinquealaentradaenvigenciadeestaleyestuvieren aldaensusobligacionesobjetodereporte,ycuyainformacinnegativahubiere permanecido en los Bancos de Datos por lo menos un ao contado a partir de la cancelacindelasobligaciones,sernbeneficiariosdelacaducidadinmediatadela informacinnegativa.

- 24 -

A su vez, los titulares de la informacin que se encuentren al da en sus obligaciones objeto de reporte, pero cuya informacin negativa no hubiere permanecido en los Bancos de Datos al menos un ao despus de canceladas las obligaciones,permanecerncondichainformacinnegativaporeltiempoqueles hiciere falta para cumplir el ao, contado a partir de la cancelacin de las obligaciones. Los titulares de la informacin que cancelen sus obligaciones objeto de reporte dentrodelosseis(6)mesessiguientesalaentradaenvigenciadelapresenteley, permanecern con dicha informacin negativa en los Bancos de Datos por el trmino de un (1) ao, contado a partir de la fecha de cancelacin de tales obligaciones. Cumplido este plazo de un (1) ao, el dato negativo deber ser retiradoautomticamentedelosBancosdeDatos. El beneficio previsto en este artculo se perder en caso que el titular de la informacin incurra nuevamente en mora, evento en el cual su reporte reflejar nuevamentelatotalidaddelosincumplimientospasados,enlostrminosprevistos enelartculo13deestaley. Artculo 22. Vigencia y derogatorias. Esta ley rige a partir de la fecha de publicacinyderogalasdisposicionesqueleseancontrarias.