¿Qué son las centrales de riesgo y para qué sirven?

Tener buena historia crediticia es tan importante como tener buenas referencias en la hoja de
vida. Datacrédito y Cifin, se encargan de dar el visto bueno, o no, a su comportamiento de pago.

¿Qué son las centrales de riesgo y para qué sirven?

En Colombia dos instituciones manejan la información crediticia de las personas y funcionan como
una base de datos para el sistema financiero: Datacrédito y Cifin. Foto: Archivo Particular

Recursos Relacionados

Respire tranquilo cuando le hablen de Datacrédito

¿Cómo limpiar su historial en las centrales de riesgo?

Así como antes se expedía el pasado judicial, ahora las entidades bancarias, las empresas de
telefonía, televisión por suscripción y muchos almacenes revisan la calificación que tenemos en las
centrales de riesgo para estudiar la aprobación de algún crédito que estemos solicitando.

Y es que las centrales de riesgo son las que almacenan, procesan y suministran la información
sobre la forma como las personas y las compañías han cumplido con sus obligaciones en entidades
financieras, cooperativas o con almacenes y empresas que venden a crédito, formando así la
historia de crédito de una persona natural o jurídica. Una historia que sirve para que las entidades
en donde se solicita un crédito puedan decidir en conjunto con otros elementos de información si
otorgan crédito o prestan sus servicios.

En Colombia dos instituciones manejan la información crediticia de las personas y funcionan como
una base de datos para el sistema financiero: Datacrédito y Cifin.

Datacrédito recopila información de la forma como las personas y las compañías han cumplido con
sus obligaciones, sobre la situación crediticia general e histórica, positiva y negativa de los clientes
de cada entidad, y que se pone a su servicio, previa autorización escrita y voluntaria del usuario.

Esta central de información financiera y crediticia es la base de datos más completa del país con
información de identificación, localización demográfica, hábito de pago y nivel de endeudamiento
de personas naturales y jurídicas.
Dentro de sus servicios está ofrecer a las personas que lo requieran su historia de crédito para que
puedan conocer el estado de sus obligaciones y detectar el uso fraudulento de su nombre. Una
información que se puede encontrar en el sitio web de la entidad.

Por su parte Cifin, la segunda central de riesgo del país, es una empresa que fue creada en 1981
como una Central de Información Financiera de la Asociación Bancaria y de Entidades Financieras
de Colombia más conocida como Asobancaria. Se creó con el objetivo de recolectar, almacenar,
administrar, suministrar y procesar información de los clientes y usuarios del sector financiero,
solidario y asegurador.

No obstante, a partir de este año se tomó la decisión de convertirla en una empresa

independiente de Asobancaria, con autonomía propia.

Es así como Cifin se convierte en un servicio privado de información, conformado por bases de
datos de diverso carácter, a través de las cuales se muestra el comportamiento comercial y
financiero de las personas que son reportadas a ellas.

Cabe aclarar que las centrales de riesgo no son las que otorgan o niegan préstamos, sólo
suministran la información para que las entidades de crédito, la utilicen como herramientas de
análisis para tomar decisiones, aunque no es el único factor tenido en cuenta, pues también lo
determina la capacidad de pago del solicitante, por lo que una solicitud puede ser aprobada por
una entidad y negada por otra.

¿Pero, cómo obtienen su información?

Para que la información del hábito de pago de una obligación en particular se incorpore a su
historia de crédito se requiere la autorización del titular de la información y le será solicitada
cuando por primera vez abre una cuenta bancaria, solicita un crédito, recibe una tarjeta de
crédito, compra un celular en postpago o hace cualquier compra a crédito. Desde ese momento
empieza a construir mes a mes la historia crediticia.

El historial de crédito refleja la información de todas las obligaciones, sin importar el monto. La
puntualidad en los pagos, queda registrada y a disposición de las empresas que la consulten. Se
estima que dentro de las historias de crédito más de 80% de la información es positiva.

Sobre Datacrédito Y Cifin existe la creencia en algunas personas que el manejo de esta información
por parte de ellas es ilegal, sin embargo la Corte Constitucional ha establecido que el derecho a la
intimidad ampara aquello que atañe exclusivamente al individuo, como su salud, sus hábitos o
inclinaciones sexuales, su filiación política o su religión.

La información crediticia, nace a partir de una relación contractual y no del ámbito íntimo de las
personas, y es por eso que es de interés más amplio como en el caso de las entidades financieras,
que quieren conocer el cumplimiento de posibles clientes para efectos establecer los riesgos de
iniciar una relación comercial o de crédito.

¿Qué tiempo evalúan las centrales de riesgo?

El historial muestra toda actividad crediticia de los últimos 24 meses de cada una de las
obligaciones. Si ha tenido retraso en sus pagos estos se verán reflejados, así como los pagos ya
hechos. Los retrasos de pagos permanecerán la historia crediticia durante 24 meses contados a
partir de la fecha de pago. La información positiva permanecerá indefinidamente en la base de
datos. Esa información puede ser consultada tanto por la persona misma como por las entidades
que el ciudadano autorice.

¿Y si el historial se equivoca?

Si usted no está de acuerdo con la información registrada en la historia de crédito se puede ante la
entidad respectiva, y se debe dar respuesta en un plazo máximo de 15 días hábiles. El reclamo
queda incluido en el historial. Usted también tiene derechos que la ley protege, toda el manejo de
la información está debidamente regulado.

Las centrales de riesgo tienen una razón de existir y es que las entidades necesitan saber a quién le
prestan y con quién se relacionan. No se asuste si su información entra a esas bases de datos
porque si es cumplido eso lo favorecerá ya que tendrá una buena reputación en el sistema
financiero, lo que le abrirá muchas puertas para las futuras relaciones comerciales. Además sin
historial crediticio no podrá acceder a préstamos ni algunos servicios financieros similares.

CIFIN?

TransUnion es una compañía global de información que hace posible la confianza entre las
empresas y los consumidores, asegurando que cada consumidor pueda ser representado de
manera confiable y segura en el mercado. Hacemos esto al obtener un visión precisa y
multidimensional de cada persona. Esta visión está basada en nuestros fundamentos como una
agencia de información crediticia, lo cual nos permite acceder tanto a información crediticia como
a registros públicos de información; nuestra metodología de fusión de datos de diversas fuentes
nos ayuda a integrar, enlazar y apalancar el increíble poder combinado de estos datos; y un equipo
de expertos apasionados, quienes protegen la información mediante conocimiento experto y en
concordancia con la legislación en todo el mundo. Como resultado de nuestro trabajo, las
organizaciones pueden entender mejor a los consumidores para tomar decisiones más
informadas, y ganar su confianza a través de mejores experiencias, y la extensión proactiva de las
oportunidades, herramientas y ofertas adecuadas. A su vez, los consumidores pueden estar
seguros de que su propia identidad basada en su información les generará las oportunidades que
se merecen. Hacemos posible la confianza, para que las empresas y los consumidores puedan
realizar transacciones confiables y lograr sus objetivos. Llamamos a eso Información para el Bien:
es nuestro propósito y lo que nos impulsa todos los días.

LEY ESTATUTARIA 1581 DE 2012

(Octubre 17)

Reglamentada parcialmente por el Decreto Nacional 1377 de 2013.

Por la cual se dictan disposiciones generales para la protección de datos personales

EL CONGRESO DE COLOMBIA

DECRETA:

TÍTULO I

OBJETO, ÁMBITO DE APLICACIÓN Y DEFINICIONES

Artículo 1°. Objeto. La presente ley tiene por objeto desarrollar el derecho constitucional que
tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido
sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías
constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la
información consagrado en el artículo 20 de la misma.
Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley
serán aplicables a los datos personales registrados en cualquier base de datos que los haga
susceptibles de tratamiento por entidades de naturaleza pública o privada.

La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o

cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio
nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

El régimen de protección de datos personales que se establece en la presente ley no será de

aplicación:

a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico.

Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera
previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados
de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente
ley;

b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así
como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del
terrorismo;

c) A las Bases de datos que tengan como fin y contengan información de inteligencia y
contrainteligencia;

d) A las bases de datos y archivos de información periodística y otros contenidos editoriales;

e) A las bases de datos y archivos regulados por la Ley 1266 de 2008;

f) A las bases de datos y archivos regulados por la Ley 79 de 1993.

Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos,
incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin
reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento
que la normatividad especial que regule las bases de datos exceptuadas prevea principios que
tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera
concurrente a los previstos en la presente ley.

Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el
Tratamiento de datos personales;

b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento;

c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas
naturales determinadas o determinables;

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en
asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del
Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o
en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento;

g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales

como la recolección, almacenamiento, uso, circulación o supresión.

TÍTULO II

PRINCIPIOS RECTORES
Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y
aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

a) Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la

presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás
disposiciones que la desarrollen;

b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la
Constitución y la Ley, la cual debe ser informada al Titular;

c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo,

expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin
previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa,
exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales,
incompletos, fraccionados o que induzcan a error;

e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener

del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin
restricciones, información acerca de la existencia de datos que le conciernan;

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan
de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución.
En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por
las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros
medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable
para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la
presente ley;

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento

o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas
técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros
evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos
personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la
información, inclusive después de finalizada su relación con alguna de las labores que comprende
el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello
corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la
misma.

TÍTULO III

CATEGORÍAS ESPECIALES DE DATOS

Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles
aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación,
tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones
religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos
o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías
de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos
biométricos.

Artículo 6°. Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto
cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley
no sea requerido el otorgamiento de dicha autorización;

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre
física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar
su autorización;

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías
por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya
finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus
miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos
eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;
d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o
defensa de un derecho en un proceso judicial;

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán
adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

Artículo 7°. Derechos de los niños, niñas y adolescentes. En el Tratamiento se asegurará el respeto
a los derechos prevalentes de los niños, niñas y adolescentes.

Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos
datos que sean de naturaleza pública.

Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los
representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños,
niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de
conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus
datos personales, su derecho a la privacidad y protección de su información personal y la de los
demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la
promulgación de esta ley.

TÍTULO IV

DERECHOS Y CONDICIONES DE LEGALIDAD PARA EL TRATAMIENTO DE DATOS

Artículo 8°. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes
derechos:

a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o
Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales,
inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté
expresamente prohibido o no haya sido autorizado;
b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando
expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en
el artículo 10 de la presente ley;

c) Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa
solicitud, respecto del uso que le ha dado a sus datos personales;

d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo

dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen;

e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se

respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o
supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que
en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a
la Constitución;

f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el
Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida
por cualquier medio que pueda ser objeto de consulta posterior.

Artículo 10. Casos en que no es necesaria la autorización. La autorización del Titular no será
necesaria cuando se trate de:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones
legales o por orden judicial;

b) Datos de naturaleza pública;

c) Casos de urgencia médica o sanitaria;

d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso
cumplir con las disposiciones contenidas en la presente ley.

Artículo 11. Suministro de la información. La información solicitada podrá ser suministrada por
cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La información deberá
ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo
a aquella que repose en la base de datos.

El Gobierno Nacional establecerá la forma en la cual los Responsables del Tratamiento y

Encargados del Tratamiento deberán suministrar la información del Titular, atendiendo a la
naturaleza del dato personal, Esta reglamentación deberá darse a más tardar dentro del año
siguiente a la promulgación de la presente ley.

Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar
al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen
sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;

c) Los derechos que le asisten como Titular;

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo

previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.

Artículo 13. Personas a quienes se les puede suministrar la información. La información que reúna
las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:
a) A los Titulares, sus causahabientes o sus representantes legales;

b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden
judicial;

c) A los terceros autorizados por el Titular o por la ley.

TÍTULO V

PROCEDIMIENTOS

Artículo 14. Consultas. Los Titulares o sus causahabientes podrán consultar la información
personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado.
El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la
información contenida en el registro individual o que esté vinculada con la identificación del
Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado
del Tratamiento, siempre y cuando se pueda mantener prueba de esta.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la
fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho
término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en
que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles
siguientes al vencimiento del primer término.

Parágrafo. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el
Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato
personal.

Artículo 15. Reclamos. El Titular o sus causahabientes que consideren que la información
contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o
cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley,
podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento
el cual será tramitado bajo las siguientes reglas:

1. El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al

Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan
lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el
reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la
recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del
requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha
desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien
corresponda en un término máximo de dos (2) días hábiles e informará de la situación al
interesado.

2. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga
"reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha
leyenda deberá mantenerse hasta que el reclamo sea decidido.

3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir
del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de
dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá
su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al
vencimiento del primer término.

Artículo 16. Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la
Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo
ante el Responsable del Tratamiento o Encargado del Tratamiento.

TÍTULO VI

DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO Y ENCARGADOS DEL TRATAMIENTO

Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento
deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la
presente ley y en otras que rijan su actividad:
a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva

autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten
por virtud de la autorización otorgada;

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su

adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz,
completa, exacta, actualizada, comprobable y comprensible;

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas

las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás
medidas necesarias para que la información suministrada a este se mantenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del

Tratamiento;

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento
esté previamente autorizado de conformidad con lo previsto en la presente ley;

i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad
y privacidad de la información del Titular;

j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado

cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;
l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en
discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el
trámite respectivo;

m) Informar a solicitud del Titular sobre el uso dado a sus datos;

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de

seguridad y existan riesgos en la administración de la información de los Titulares.

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y

Comercio.

Artículo 18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán
cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley
y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su

adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos

de la presente ley;

d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco
(5) días hábiles contados a partir de su recibo;

e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en
la presente ley;
f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado
cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte
de los Titulares;

g) Registrar en la base de datos las leyenda "reclamo en trámite" en la forma en que se regula en
la presente ley;

h) Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado
por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del
dato personal;

i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo
haya sido ordenado por la Superintendencia de Industria y Comercio;

j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;

k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los

códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y

Comercio.

Parágrafo. En el evento en que concurran las calidades de Responsable del Tratamiento y

Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes
previstos para cada uno.

TÍTULO VII

DE LOS MECANISMOS DE VIGILANCIA Y SANCIÓN

CAPÍTULO I
De la autoridad de protección de datos

Artículo 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a

través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para
garantizar que en el Tratamiento de datos personales se respeten los principios, derechos,
garantías y procedimientos previstos en la presente ley.

Parágrafo 1°. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de
entrada en vigencia de la presente ley incorporará dentro de la estructura de la Superintendencia
de Industria y Comercio un despacho de Superintendente Delegado para ejercer las funciones de
Autoridad de Protección de Datos.

Parágrafo 2°. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de
2008 se sujetará a lo previsto en dicha norma.

Artículo 20. Recursos para el ejercicio de sus funciones. La Superintendencia de Industria y

Comercio contará con los siguientes recursos para ejercer las funciones que le son atribuidas por
la presente ley:

a) Los recursos que le sean destinados en el Presupuesto General de la Nación.

Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes

funciones:

a) Velar por el cumplimiento de la legislación en materia de protección de datos personales;

b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas,
ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el
efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y
suministro de los datos, la rectificación, actualización o supresión de los mismos;

c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas
por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y
dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva;
d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos
personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos
acerca del ejercicio y garantía del derecho fundamental a la protección de datos;

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las
operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones
previstas en la presente ley;

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que
sea necesaria para el ejercicio efectivo de sus funciones.

g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos;

h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos
necesarios para su administración y funcionamiento;

i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten

acordes con la evolución tecnológica, informática o comunicacional;

j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los

derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la
recolección internacional de datos personajes;

k) Las demás que le sean asignadas por ley.

CAPÍTULO II

Procedimiento y sanciones

Artículo 22. Trámite. La Superintendencia de Industria y Comercio, una vez establecido el

incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento
o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas
pertinentes del Código Contencioso Administrativo.

Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los

Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:

a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios
mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán
ser sucesivas mientras subsista el incumplimiento que las originó;

b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6)
meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar;

c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el
término de suspensión sin que se hubieren adoptado los correctivos ordenados por la
Superintendencia de Industria y Comercio;

d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de
naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta
un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley,
remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación
respectiva.

Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se
refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten
aplicables:

a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;

b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la

infracción;
c) La reincidencia en la comisión de la infracción;

d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la

Superintendencia de Industria y Comercio;

e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y

Comercio;

f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la

infracción antes de la imposición de la sanción a que hubiere lugar.

CAPÍTULO III

Del Registro Nacional de Bases de Datos

Artículo 25. Definición. Reglamentado por el Decreto Nacional 886 de 2014 El Registro Nacional de
Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en
el país.

El registro será administrado por la Superintendencia de Industria y Comercio y será de libre

consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia
de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los
responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones
correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes
contenidos en la presente ley.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la

presente ley, la información mínima que debe contener el Registro, y los términos y condiciones
bajo los cuales se deben inscribir en este los Responsables del Tratamiento.
TÍTULO VIII

TRANSFERENCIA DE DATOS A TERCEROS PAÍSES

Artículo 26. Prohibición. Se prohíbe la transferencia de datos personales de cualquier tipo a países
que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un
nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la
Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser
inferiores a los que la presente ley exige a sus destinatarios.

Esta prohibición no regirá cuando se trate de:

a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca

para la transferencia;

b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por
razones de salud o higiene pública;

c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable;

d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de

Colombia sea parte, con fundamento en el principio de reciprocidad;

e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del

Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la
autorización del Titular;

f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el

reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

Parágrafo 1°. En los casos no contemplados como excepción en el presente artículo,

corresponderá a la Superintendencia de Industria y Comercio, proferir la declaración de
conformidad relativa a la transferencia internacional de datos personales. Para el efecto, el
Superintendente queda facultado para requerir información y adelantar las diligencias tendientes
a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación.

Parágrafo 2°. Las disposiciones contenidas en el presente artículo serán aplicables para todos los
datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008.

TÍTULO IX

OTRAS DISPOSICIONES

Artículo 27. Normas Corporativas Vinculantes. El Gobierno Nacional expedirá la reglamentación

correspondiente sobre Normas Corporativas Vinculantes para la certificación de buenas prácticas
en protección de datos, personales y su transferencia a terceros países.

Artículo 28. Régimen de transición. Las personas que a la fecha de entrada en vigencia de la
presente ley ejerzan alguna de las actividades acá reguladas tendrán un plazo de hasta seis (6)
meses para adecuarse a las disposiciones contempladas en esta ley.

Artículo 29. Derogatorias. La presente ley deroga todas las disposiciones que le sean contrarias a
excepción de aquellas contempladas en el artículo 2°.

Artículo 30. Vigencia. La presente ley rige a partir de su promulgación.

El Presidente del honorable Senado de la República,

ROY LEONARDO BARRERAS MONTEALEGRE.

El Secretario General del honorable Senado de la República,

GREGORIO ELJACH PACHECO.

El Presidente de la honorable Cámara de Representantes,

AUGUSTO POSADA SÁNCHEZ.

La Secretaria General (E.) de la honorable Cámara de Representantes,

FLOR MARINA DAZA RAMÍREZ.

REPÚBLICA DE COLOMBIA – GOBIERNO NACIONAL

PUBLÍQUESE Y CÚMPLASE.

En cumplimiento de lo dispuesto en la Sentencia C-748 de 2011 proferida por la Corte

Constitucional, se procede a la sanción del proyecto de ley, la cual ordena la remisión del
expediente al Congreso de la República, para continuar el trámite de rigor y posterior envío al
Presidente de la República.

Dada en Bogotá, D. C., a 17 días del mes de octubre de 2012.

JUAN MANUEL SANTOS CALDERÓN

La Ministra de Justicia y del Derecho,

RUTH STELLA CORREA PALACIO.

El Ministro de Hacienda y Crédito Público,

MAURICIO CÁRDENAS SANTA MARÍA.

El Ministro de Comercio, Industria y Turismo,

SERGIO DIAZ-GRANADOS GUIDA.

El Ministro de Tecnologías, de la Información y las Comunicaciones,

DIEGO MOLANO VEGA.

NOTA: Publicada en el Diario Oficial 48587 de octubre 18 de 2012.

Reporte de datos a las Centrales de Riesgo

Las bases de datos o centrales de información (Central de Información de la Asociación Bancaria y

de Entidades Financieras de Colombia -CIFIN-, Datacrédito, Covinoc, Computec, Credicheque,
Fenalcheque, etc.) son sociedades o agremiaciones de carácter privado en las cuales se registra el
comportamiento crediticio, financiero y comercial de las personas que celebran operaciones con
entidades financieras, cooperativas y empresas de sector real. De acuerdo con lo dispuesto por el
artículo 17 de la Ley 1266 de 2008 las centrales de información, como las mencionadas
anteriormente, están sujetas a la inspección y vigilancia de la Superintendencia de Industria y
Comercio.

Ahora bien, las Instituciones financieras, (estas si vigiladas por la Superintendencia Financiera)
tienen el deber de actualizar y rectificar permanentemente la información reportada a las bases de
datos, para que siempre sea verdadera y completa. De igual forma, la información que reposa en
las centrales de riesgo no debe ser el único elemento de juicio que las entidades vigiladas por la
Superintendencia Financiera de Colombia (instituciones financieras) consideren al momento de
tomar decisiones sobre el otorgamiento de crédito. Debe precisarse que las Instituciones
Financieras tiene autonomía para aprobar o negar un crédito dependiendo de sus políticas
internas (Circular Externa 023 de 2004 de la Superintendencia Bancaria, hoy vigente).

Tiempo de Permanencia de la Información Contenida en las Bases de Datos de las Centrales de

Riesgo. Ley 1266 de 2008.
Las centrales de riesgo están legalmente facultadas para conservar en sus archivos toda la
información histórica de una persona, esto es, tanto los datos positivos como los negativos En
relación el aspecto relacionado con la permanencia de la información en las bases de datos el
artículo 13 de la Ley 1266 de 2008 dispone que la información de carácter positivo permanecerá
indefinidamente en los bancos de datos de los operadores de información.

Ahora bien, los datos negativos, esto es, los que hagan referencia al tiempo de mora, tipo de
cobro, estado de la cartera y en general aquellos referidos a una situación de incumplimiento de
obligaciones tienen un monto máximo de permanencia de cuatro (4) años contados a partir de la
fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida. Sin embargo en
el caso de que la mora haya sido inferior a dos (2) años el tiempo de permanencia de este reporte
negativo no podrá exceder el doble de la mora, tal como lo dispuso la Corte Constitucional en la
Sentencia C-1011 DE 2008 la cual declaró CONDICIONALMENTE EXEQUIBLE este artículo. Esto
significa que si el atraso es de seis (6) meses el dato negativo permanecerá por un (1) año, si es de
un año (1) permanecerá por dos (2) años, siempre y cuando, como se anoto el tiempo de mora no
haya sido mayor a dos años.