73001233300020220048601 — Consejo de Estado

Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 1 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente. Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador CONSEJO DE ESTADO SALA DE LO CONTENCIOSO ADMINISTRATIVO SECCIÓN CUARTA CONSEJERO PONENTE: MILTON CHAVES GARCÍA Bogotá D.C., dos (2) de marzo de dos mil veintitrés (2023) Referencia: ACCIÓN DE TUTELA Radicado: 73001-23-33-000-2022-00486-01 Demandante: DIEGO FERNANDO CHACUA CORTÉS Demandado: NACIÓN – PROCURADURÍA GENERAL DE LA NACIÓN Y OTROS Temas: Habeas data.

Corrección información sistema información centrales de riesgo. SENTENCIA SEGUNDA INSTANCIA La Sala decide la impugnación presentada por el actor contra la providencia del 13 de enero de 2023 dictada por el Tribunal Administrativo del Tolima que negó la solicitud de amparo. I.

ANTECEDENTES 1. Pretensiones El señor Diego Fernando Chacua Cortés, en nombre propio, interpuso acción de tutela contra la Procuraduría General de la Nación, la Red Institucional de Transparencia y Anticorrupción (RITA), la Superintendencia de Industria y Comercio, la Superintendencia Financiera, Data crédito Experian, Transunion Cifin, Sistecrédito, Credivalores Crediservicios S.A., AECSA S.A., BBVA Colombia, Banco de Bogotá, Banco Popular y Claro Soluciones Móviles, por estimar vulnerados los derechos fundamentales de habeas data, a la honra, al buen nombre, a la dignidad humana, a la igualdad y al debido proceso.

En consecuencia, formuló las siguientes pretensiones: “Con fundamento en los hechos narrados y en las consideraciones legales anteriormente expuestas, respetuosamente le solicito al Señor Juez:

PRIMERO: TUTELAR, mis derechos AL HABEAS DATA, DERECHO A LA HONRA, AL BUEN NOMBRE, A LA DIGNIDAD HUMANA Y LA IGUALDAD, en vista de que se agotó el principio de procedibilidad tal como lo dice la ley de habeas data.

SEGUNDO: ORDENAR al representante legal de las centrales de riesgo DATACREDITO Y CIFIN y de las entidades accionadas, a que gestionen lo pertinente, para que en el menor tiempo posible, MODIFIQUEN Y ACTUALICEN los datos negativos que aparecen en sus bases de datos y principalmente SE ME RETIRE DE LOS REPORTES NEGATIVOS, teniendo en cuenta que nunca contaron con una debida autorización para hacer los reportes y a la fecha de hoy no tengo ninguna obligación con tales entidades y esto me causa un perjuicio irremediable.

TERCERO: Señor juez de manera que se aplique, las sanciones que estipula el Artículo 18 de la sentencia 282 de 2021. Sanciones. Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 2 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó.

CUARTO: Se les solicita señor juez la copia auténtica a las entidades PROCURADURIA GENERAL DE LA NACION, RED INSTITUCIONAL DE TRANSPARENCIA Y ANTICORRUPCION (RITA), SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, SUPERINTENDENCIA FINANCIERA,DATACREDITO EXPERIAN, TRANSUNION CIFIN, SISTECREDITO,CREDIVALORES CREDISERVICIOS S.A.,AECSA S.A. BBVA COLOMBIA,BANCO DE BOGOTA,BANCO DE BOGOTA,BANCO POPULAR,CLARO SOLUCIONES MOVILES, como no van a tener la copia tal como lo dice la norma se le ordene a la superintendencia financiera y de industria y comercio, ejercer las funciones y sanciones para las cuales fueron creadas y se siente un precedente para que estas entidades no vuelvan a violarle los derechos fundamentales a ningún ciudadano.

QUINTO: Solicito señor juez que se vincule al ministerio público para que este sea garante de mis derechos fundamentales.” 2. Hechos De la lectura del expediente, se advierten como hechos relevantes los siguientes: El actor manifestó que el 18 de noviembre de 2022 radicó peticiones ante las diferentes entidades demandadas con la finalidad de que fueran eliminados los reportes negativos que aparecen a su nombre, dado que, afirma, no contaban con la autorización para la realización de dichos reportes.

Indicó, además, que en la misma fecha también radicó petición ante la Superintendencia de Industria y Comercio, con la finalidad de que, conforme con sus competencias impusiera sanción de 2000 SMLMV, a las entidades demandadas, por el uso indebido de sus datos personales, el cual constituye abuso tal y como lo establece el numeral 5 del artículo 8 de la Ley 1266 de 2008. 3.

Argumentos de la acción de tutela La parte actora, de manera general, afirmó que los derechos fundamentales invocados se encuentran vulnerados por las distintas entidades demandadas porque, a la fecha de interposición de la presente solicitud, no ha recibido respuesta a las peticiones. Además, señaló que tampoco se han tramitado las solicitudes de eliminación de los reportes negativos a su nombre, lo que afecta los derechos fundamentales invocados. 4.

Oposición La Procuraduría General de la Nación informó que el señor Diego Fernando Chacua Cortés presentó solicitud con la finalidad de que: “( )se investigue penal y disciplinariamente a la Superintendencia de Industria y Comercio por no cumplir las funciones para la cual fue creada ( )”; señaló que una vez analizados los escritos y conforme a lo dispuesto en el artículo 25 de la Ley 262 de 2000, la competencia para investigar disciplinariamente a las entidades del orden nacional como la Superintendencia está en cabeza de las Procuradurías Delegadas de instrucción. Que, por tal razón, la solicitud del actor fue remitida a la Procuraduría Segunda Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 3 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador Distrital, bajo el radicado núm. IUS: E-2022-673146 y E-2022-714943, y dicho traslado se puso en conocimiento del quejoso. El Ministerio de Relaciones Exteriores indicó que una vez consultó el sistema interno de la entidad y encontró que, a la fecha, el actor no ha presentado petición alguna ante esa cartera ministerial, por lo tanto, la supuesta violación de los derechos fundamentales invocados no es atribuible a esa entidad, además, el objeto de la petición referida en el escrito inicial no es de su competencia y, por tal razón, solicitó negar la acción de tutela.

La Superintendencia de Industria y Comercio informó que el 21 de noviembre de 2022, el actor presentó reclamación por la presunta vulneración del derecho fundamental al habeas data financiero en contra de CLARO SOLUCIONES MOVILES, SISTECREDITO, ORI BBVA ACR AECSA, CREDIVALORES CREDISERVICIOS S.A., AECSA S.A. Que, como consecuencia de lo anterior, la Dirección de Protección de Datos Personales de esa entidad requirió a la sociedad SISTECREDITO S.A.S. a Experian Colombia S.A. (Data crédito) y a Cifin S.A.S. para que informaran sobre los hechos materia de la reclamación y está a la espera de respuesta.

Expresó que dicha entidad no vulneró los derechos invocados por el demandante, pues en el escrito que radicó no elevó una consulta ante esa entidad en los términos señalados en la Ley 1755 de 2015, por el contrario, tiene como finalidad corregir la información financiera contenida en su registro individual en un banco de datos, situación que da inicio a una actuación y comprende agotar diferentes etapas administrativas establecidas al interior de la entidad, situación que fue informada al actor.

La Superintendencia Financiera de Colombia remitió oficios mediante los cuales los bancos Popular y de Bogotá́, dieron respuesta a la petición del actor. La sociedad CIFIN S.A.S. (TransUnion) precisó que la solicitud del actor fue radicada, al parecer, en un canal no autorizado para atender PQR, toda vez que, según el escrito de tutela, se dirigió́ al correo electrónico: cifin_tutelas@transunion.com, por lo que el operador no ha recibido ninguna solicitud por parte del actor, razón por la que manifestó que no existe vulneración alguna.

De otra parte, señaló que en la base de datos de ese operador el actor no tiene registrados reportes negativos relacionados con CREDIVALORES CREDISERVICIOS S.A., BBVA COLOMBIA, BANCO DE BOGOTÁ, BANCO POPULAR y CLARO SOLUCIONES MÓVILES, pero tiene información reportada por las Entidades AECSA S.A. y SISTECREDITO S.A.S., que evidencia que la obligación se encuentra en mora y aún no han transcurrido 8 años desde la fecha en que la misma entró en mora para que opere la caducidad del dato negativo, por lo tanto, manifestó estar impedida para eliminar dicho reporte, como quiera que no está́ cumplido el requisito de ley.

Aclaró que no es responsable de los datos que le reportan y, por lo tanto, no puede verificar la veracidad y calidad de los datos que le reportan, puesto que, al no tener Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 4 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador una relación directa con el actor, tiene la imposibilidad fáctica de conocer el detalle de la relación de crédito. La sociedad DATACREDITO- EXPERIAN COLOMBIA S.A. manifestó que el señor Chacua Cortés no registra ningún dato negativo con Credivalores Crediservicios S.A. (Credivalores Crediuno), Banco de Bogotá́, Banco Popular (banco popular libranza) y Comcel S.A (Claro /claro servicio MOVIL).

Asimismo, indicó que las obligaciones identificadas con los números 37-001653 y 37-002013, adquiridas por el actor con SISTECREDITO, se encuentran reportadas por esa entidad en estado vigente y en mora. Aclaró que la información registrada en la base de datos corresponde a la proporcionada por SISTECREDITO, por lo tanto, en caso de que exista alguna imprecisión en el estado de la obligación es dicha entidad quien deberá informarla para realizar la actualización. Advirtió que esa sociedad no puede modificar autónomamente los datos que se controvierten, pues fueron registrados con el lleno de requisitos previstos en la ley.

Informó que la prescripción de la obligación, para el presente caso, no aplica porque según lo reportado por SISTECREDITO, no registra mora con continuidad, pues ha reportado las obligaciones en cuestión sin contar con moras ininterrumpidas como lo ordena la Ley 2157 de 2021, por lo que no es aplicable a la parte accionante la eliminación del dato por caducidad.

Adicional a lo expuesto, informó que el pasado 21 de noviembre de 2022, respondió la solicitud del actor y le indicó que no era posible responderla de fondo porque la misma no cumplía con los requisitos establecidos por la entidad para poder verificar plenamente la identidad del solicitante y la legitimidad de su solicitud, razón por la que se precisó en qué sentido debería corregirla.

La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. indicó que el actor radicó petición el 18 de noviembre de 2022, el cual fue contestado de fondo y en debida forma el 5 de diciembre de 2022, mediante correo certificado a la dirección de notificación electrónica suministrada por este. Asimismo, señaló́ que en el sistema de información se registran a nombre del actor tres obligaciones, las cuales no presentan mora, por lo tanto, actualmente no cuenta con ningún reporte negativo ante centrales de riesgo por parte de dicha entidad.

El Banco Popular solicitó que se declare improcedente la acción de tutela de la referencia porque mediante oficios del 21 de noviembre y 9 de diciembre de 2022, se respondió al actor lo solicitado en relación con la eliminación de reportes ante las Centrales de Información sobre el crédito obtenido con el Banco Popular. 5. Sentencia de primera instancia El Tribunal Administrativo del Tolima, en sentencia del 13 de enero de 2023, negó el amparo solicitado, con fundamento en que, contrario a lo señalado por el actor y conforme a lo expuesto en el trámite de tutela, las empresas CREDIVALORES, CREDISERVICIOS S.A., BBVA COLOMBIA, BANCO DE BOGOTÁ, BANCO Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 5 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador POPULAR y CLARO SOLUCIONES MÓVILES, no han realizado reporte negativo de sus obligaciones a las centrales de riesgo. Sin embargo, señaló que el actor tiene unas obligaciones contraídas con las entidades AECSA S.A. y SISTECREDITO S.A.S., que actualmente presentan mora, y no han transcurrido más de 8 años desde la fecha en que las mismas entraron en incumplimiento para que opere la caducidad del dato negativo y proceda la eliminación del reporte como lo pretende el actor, razón por la que no es posible acceder a lo pretendido. 6.

Impugnación El actor impugnó la decisión de primera instancia, reiteró los argumentos del escrito inicial e indicó que, en el caso objeto de estudio, es necesario declarar la nulidad de todo lo actuado porque las entidades demandadas tenían que contar con su autorización para realizar cualquier tipo de reporte ante las centrales de riesgo y a las que llevan 12 años en el sistema se les debe aplicar la ley de borrón y cuenta nueva.

Indicó que pueda que exista una relación comercial que desconoce, pero nunca ha autorizado la divulgación de sus datos personales que es lo que cuestiona en la acción de tutela y, por lo tanto, lo procedente es ejecutar la presunta demora en sus obligaciones, pero no “secuestrar su información” conforme la sentencia 282 de 2021. II. CONSIDERACIONES DE LA SALA La acción de tutela está consagrada en el artículo 86 de la Constitución Política, reglamentado por el Decreto 2591 de 1991, que en el artículo 1 establece: «Toda persona tendrá acción de tutela para reclamar ante los jueces, en todo momento y lugar, mediante un procedimiento preferente y sumario, por sí misma o por quien actúe en su nombre, la protección inmediata de sus derechos constitucionales fundamentales, cuando quiera que estos resulten vulnerados o amenazados por la acción o la omisión de cualquier autoridad pública o de los particulares en los casos que señala este decreto».

Esta acción procede cuando el afectado no disponga de otro medio de defensa judicial, salvo que se utilice como mecanismo transitorio para evitar un perjuicio irremediable. Problema jurídico En los términos de la impugnación, a la Sala le corresponde determinar si procede confirmar el fallo de tutela impugnado o si, por el contrario, se encuentra acreditada la vulneración del derecho al habeas data del señor Chacua Cortés, por parte de las centrales de riesgo, por mantener registradas en el sistema de información los datos negativos en los que se evidencia el actor tiene obligaciones que actualmente registran mora, porque, según afirma, tal actuación vulnera el derecho fundamental invocado.

Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 6 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente. Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador Para resolver, la Sala precisa que, si bien el demandante alegó la presunta vulneración de distintos derechos fundamentales tales como a la honra, el buen nombre, a la dignidad humana, a la igualdad y al debido proceso, el estudio de la discusión planteada se centrará en la posible vulneración del derecho fundamental de habeas data conforme lo pretendido por el actor, toda vez que la reclamación va dirigida a la eliminación de un reporte negativo en las centrales de riesgo.

Del derecho al habeas data El artículo 15 de la Constitución Política dispone el derecho al habeas data como aquel que tienen todas las personas para conocer, actualizar y rectificar las informaciones que existan sobre ellas en los bancos de datos y en los archivos de las entidades públicas y privadas. La Corte Constitucional en sentencia T – 729 de 2020 definió el derecho al hábeas data como la facultad que tiene el titular de información personal de exigir a las administradoras de bases de datos el acceso, la inclusión, la exclusión, la corrección, la adición, la actualización, la certificación de la información y la posibilidad de limitar su divulgación, publicación o cesión. La Corte Constitucional estableció que el ámbito de aplicación del derecho fundamental al hábeas data depende del entorno en el cual se desarrollan los procesos de administración de bases de datos personales.

En consecuencia, el contexto material de dicho derecho está integrado por “el objeto o la actividad de las entidades administradoras de bases de datos, las regulaciones internas, los mecanismos técnicos para la recopilación, procesamiento, almacenamiento, seguridad y divulgación de los datos personales y la reglamentación sobre usuarios de los servicios de las administradoras de las bases de datos”.

En desarrollo del mandato constitucional, el Congreso de la República expidió la Ley Estatutaria 1266 de 2008, la cual, según lo precisó la Corte Constitucional en sentencia C – 1011 de 2008, es una norma dirigida a la regulación de la administración de datos personales de contenido comercial, financiero y crediticio, en el que se estableció que las actividades de recolección, procesamiento y circulación de datos personales contenidos en bases de datos de carácter financiero, deben regirse por los siguientes principios: veracidad, temporalidad, integridad, seguridad, confidencialidad, circulación restringida y finalidad.

Posteriormente, se expidió la Ley Estatutaria 1581 de 2012, respecto de la cual, en sentencia C – 748 de 2011, la Corte Constitucional señaló que se trata de una ley general que establece los principios a los que está sujeto cualquier tipo de tratamiento de datos en Colombia, en los mismos términos que la Ley 1266 de 2008. Las Leyes Estatutarias 1266 de 2008 y 1581 de 2012 prevén diferentes tipos de información con el fin de regular las limitaciones del derecho fundamental de acceso a la información: (i) la información personal y la impersonal, de conformidad con el literal c) del artículo 3º de la Ley 1581 de 2012, el dato personal es “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” y, (ii) la información pública o de dominio público; semiprivada; privada y, reservada o secreta.

Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 7 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente. Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador La Ley Estatutaria 1266 de 20081, artículo 16, establece varias alternativas para que los titulares de la información puedan efectuar consultas o reclamaciones sobre la información que reposa en las bases de datos, entre las cuales se destacan las siguientes: «i) Formular derechos de petición al operador de la información o a la entidad fuente de la misma, a fin de acceder a los datos que han sido consignados o de solicitar que ellos sean corregidos o actualizados (artículo 16);

(ii) Presentar reclamaciones a la Superintendencia de Industria y Comercio o a la Superintendencia Financiera –según la naturaleza de la entidad vigilada–, para que se ordene la corrección, actualización o retiro de datos personales, o para que se inicie una investigación administrativa por el incumplimiento de las disposiciones contenidas en la Ley 1266 de 2008 (artículo 17); y, (iii) Acudir a los mecanismos judiciales que el ordenamiento jurídico establece para efectos de debatir lo concerniente a la obligación reportada como incumplida, sin perjuicio de que pueda ejercerse la acción de tutela para solicitar el amparo del derecho fundamental al habeas data, en los términos del artículo 16 de la ley en cuestión: 6.

Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida.

La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme.

Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito»2. Adicionalmente, mediante la Ley 2157 de 2021 3 se modificó la Ley 1266 de 2008 y se dictaron disposiciones generales del habeas data con relación a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países. 1 “Por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones” 2 Sentencia T-883 del 3 de diciembre de 2013.

Magistrado Ponente Luis Guillermo Guerrero Pérez. 3 “ARTÍCULO 13. Permanencia de la información. La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información. Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera y, en general, aquellos datos referentes a una situación de incumplimiento de obligaciones se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será el doble del tiempo de la mora, máximo cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea extinguida la obligación.

PARÁGRAFO 1. El dato negativo y los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera y, en general aquellos datos referentes a una situación de incumplimiento de las obligaciones caducarán una vez cumplido el término de ocho (8) años, contados a partir del momento en que entre en mora la obligación; cumplido este término deberán ser eliminados de la base de datos.

PARÁGRAFO 2. En las obligaciones inferiores o iguales al (15 %) ce un (1) salario mínimo legal mensual vigente, el dato negativo por obligaciones que se han constituido en mora solo será reportado después de Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 8 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador En dicha norma se estableció que la información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información. Los datos cuyo contenido hagan referencia al tiempo de mora, tipo de cobro, estado de la cartera y, en general, aquellos datos referentes a una situación de incumplimiento de obligaciones se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será el doble del tiempo de la mora, máximo cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea extinguida la obligación. No obstante, respecto al reporte de datos negativos y los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera y, en general, aquellos datos referentes a una situación de incumplimiento de las obligaciones se estipuló que las mismas caducarán una vez cumplido el término de ocho (8) años, contados a partir del momento en que entre en mora la obligación; cumplido este término deberán ser eliminados de la base de datos.

Caso concreto En lo que aquí interesa, se observa que, a juicio del a quo no se encontró vulnerado el derecho de hábeas data porque de los documentos que reposan en el expediente se determinó que, si bien el actor actualmente cuenta con un reporte negativo, el mismo se soporta en el hecho de que tiene una obligación en mora. Entonces, le corresponde a la Sala establecer si, en efecto, se encuentra vulnerado el derecho fundamental invocado por el actor por el reporte negativo en centrales de riesgo porque, como lo afirma el demandante, las empresas no cuentan con la autorización para el manejo de datos personales y porque cumple los requisitos establecidos en la Ley 2157 de 2021 para ser excluido o si, por el contrario, como lo precisó el a quo, no se acredita la alegada vulneración. De la lectura del expediente, se observa que el actor acudió a las entidades demandadas con la finalidad de que le informaran la razón por la que lo reportaron en centrales de riesgo y para que procedieran a eliminar dicho reporte negativo con fundamento, en que, afirma, no cuentan con la autorización para hacerlo.

Frente a dichas peticiones, encuentra la Sala que, contrario a lo señalado por el señor Chacua Cortés, las empresas CREDIVALORES, CREDISERVICIOS S.A., BBVA COLOMBIA, BANCO DE BOGOTÁ, BANCO POPULAR y CLARO SOLUCIONES MÓVILES, consideradas con las fuentes de información, no han hecho reportes negativos de sus obligaciones en las centrales de riesgo por encontrarse al día en los pagos.

De esa determinación, las empresas le informaron al actor en las respuestas ofrecidas a las diferentes peticiones. cumplirse con al menos dos comunicaciones, ambas en días diferentes. Y debe mediar entre la última comunicación y reporte, 20 días calendario.

PARÁGRAFO 3. Toda información negativa o desfavorable que se encuentre en bases de datos y se relacione con calificaciones, récord (scorings-score), o cualquier tipo de medición financiera, comercial o crediticia, deberá ser actualizada de manera simultánea con el retiro del dato negativo o con la cesación del hecho que generó la disminución de la medición.” Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 9 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador No obstante, conforme a la respuesta brindada por la sociedad DATACRÉDITO, el actor está reportado con datos negativos dado que tiene dos obligaciones diferentes contraídas con las entidades AECSA S.A. la cual reporta 730 días de mora y con SISTECREDITO S.A.S. la cual tiene como fecha inicial de mora del 21 de agosto de 2019.

Es decir, el reporte en centrales de riesgo obedece a la mora en las obligaciones, sin embargo, el actor alega que no autorizó el tratamiento de sus datos personales y que cumple los requisitos estipulados en la Ley 2157 de 2021 conocida como la Ley “borrón y cuenta nueva”. Frente a lo anterior, la Sala encuentra que la presunta vulneración que el actor alega proviene del acuerdo contractual que suscribió con las empresas con las que tiene vínculos comerciales.

Al respecto, afirma que no autorizó el tratamiento de datos personales ni la facultad de reportar a centrales de riesgo obligaciones en mora, sin embargo, no aporta ninguna prueba en ese sentido. Por el contrario, como se precisará más adelante, las empresas demandadas aportaron documento que dan cuenta de que sí están autorizadas, por ende, la Sala no encuentra acreditada la supuesta vulneración. Adicionalmente, la permanencia de los reportes en las centrales de riesgo se encuentra regulada en el parágrafo 1 del artículo 13 de la Ley 2157 de 2021 que establece: “ARTÍCULO 13.

Permanencia de la información. La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información. Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera y, en general, aquellos datos referentes a una situación de incumplimiento de obligaciones se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será el doble del tiempo de la mora, máximo cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea extinguida la obligación.

PARÁGRAFO 2. En las obligaciones inferiores o iguales al (15 %) ce un (1) salario mínimo legal mensual vigente, el dato negativo por obligaciones que se han constituido en mora solo será reportado después de cumplirse con al menos dos comunicaciones, ambas en días diferentes. Y debe mediar entre la última comunicación y reporte, 20 días calendario.

De acuerdo con lo anterior, el reporte de las anotaciones negativas caducará después de haber transcurrido 8 años desde el inicio del periodo de mora y solo luego de esto será posible que proceda la eliminación de dicho reporte en las centrales de riesgo. Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 10 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador En tal sentido, no es posible ordenar, como lo pretende el actor, que se retire el reporte negativo en centrales de riesgo de las obligaciones vigentes porque, como quedó demostrado, las mismas se encuentran aún en mora y no han transcurrido más de 8 años desde la fecha en que la misma inició, pues la obligación adquirida con AECSA S.A. reporta 2 años de mora y con SISTECREDITO S.A.S 3 años y 6 meses.

Por ende, ninguna de las dos cumple los requisitos de caducidad de la obligación y, en consecuencia, la eliminación de dicha información del sistema conforme al parágrafo 1 del artículo 13 de la Ley 2157 de 2021 es improcedente. Si bien el actor alega que no hay lugar a mantener el reporte, lo cierto es que en el expediente no obra prueba que acredite que el actor ya pagó la totalidad de las obligaciones o que exista alguna inconsistencia sobre estas.

Adicional a lo anterior, la sociedad CIFIN S.A.S. (TransUnion) como administradora de información, aportó certificaciones semestrales de las distintas entidades demandadas entre las que se encuentran las de AECSA S.A. y SISTECREDITO S.A.S. quienes manifestaron que cuentan con la autorización del titular para el tratamiento y administración de datos personales, de conformidad con el artículo 8 de la Ley 1266 de 2008 4.

En tal sentido, la información que tiene CIFIN en las bases de datos se registró luego de que las empresas AECSA S.A. y SISTECREDITO S.A.S. certificaran que contaban con la autorización del actor, documentos que fueron aportados por esa central de riesgo en primera instancia sin que el demandante las refutara. Ahora, el demandante alega que el reporte de información desconoce lo establecido por la Corte Constitucional en sentencia 282 de 2021. 4 ARTÍCULO 8°.

Deberes de las fuentes de la información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable. 2.

Reportar, de forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada. 3. Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores. 4.

Diseñar e implementar mecanismos eficaces para reportar oportunamente la información al operador. 5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley. 6.

Certificar, semestralmente al operador, que la información suministrada cuenta con la autorización de conformidad con lo previsto en la presente ley. 7. Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley. 8. Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite. 9.

Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley. 10. Los demás que se deriven de la Constitución o de la presente ley. 11. Reportar la información negativa de los titulares, máximo (18) meses después de la constitución en mora del titular.” (Numeral 11, Adicionado por el Art. 4 de la Ley 2157 de 2021) Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 11 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador Al respecto, se precisa que la Corte Constitucional en la sentencia C-282-21 llevó a cabo el control de constitucionalidad del «Proyecto de Ley Estatutaria No. 062 de 2019 – Senado, y 314 de 2019 – Cámara “Por medio de la cual se modifica y adiciona la Ley Estatutaria 1266 de 2008, y se dictan disposiciones generales de hábeas data con relación a la información financiera, crediticia, comercial de servicios y la proveniente de terceros países, y se dictan otras disposiciones”», hoy Ley 2157 de 2021.

En dicha sentencia, en lo que interesa al presente asunto, al analizar el artículo sexto, la Corte Constitucional determinó que «Las consecuencias jurídicas previstas ante el incumplimiento del deber de remitir la comunicación previa al titular de la información, encuentra pleno sustento y garantiza los principios de finalidad, veracidad y calidad.

Teniendo presente, también que, ante todo, el titular de la información debe dar una autorización previa y libre (principio de libertad y autodeterminación informativa), la cual le da la validez a la fuente para que pueda compartir la información con el operador.» En tal sentido, la Corte puso de presente que el reporte que se haga en centrales de riesgo siempre debe contar con la autorización previa y libre del titular de la información para considerarla válida, no obstante, en el presente asunto, como se precisó previamente, se allegaron documentos que certificaban sobre la autorización del señor Chacua Cortés para el reporte de la información que no fueron cuestionados por el actor y, por ende, se descarta el desconocimiento de dicha sentencia. Por lo expuesto, queda descartada la presunta vulneración del derecho de habeas data invocada por el señor Diego Fernando Chacua Cortés, tal como se indicó en la providencia impugnada y, en consecuencia, se impone confirmar la decisión de primera instancia. Finalmente, sin perjuicio de lo anterior y conforme con lo previsto en el artículo 16.6 de la Ley 1266 de 20085, el actor tiene a su alcance la demanda ordinaria para, si lo considera, debatir lo relacionado con la obligación reportada como incumplida.

En mérito de lo expuesto, el Consejo de Estado, por medio de la Sección Cuarta – Sala de lo Contencioso Administrativo, administrando justicia en nombre de la República de Colombia y por autoridad de la ley, 5 Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado.

El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular. (…) Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida.

La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme.

Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito. Radicado: 73001-23-33-000-2022-00486-01 Demandante: Diego Fernando Chacua Cortés 12 Calle 12 No. 7-65 – Tel: (57) 601-350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Señor ciudadano este documento fue firmado electrónicamente.

Para comprobar su validez e integridad lo puede hacer a través de la siguiente dirección electrónica: http://relatoria.consejodeestado.gov.co:8081/Vistas/documentos/evalidador FALLA 1. Confirmar la sentencia del 13 de enero de 2023, proferida por el Tribunal Administrativo del Tolima. 2. Enviar a la Corte Constitucional para su eventual revisión. 3.

Notificar a las partes por el medio más expedito posible. 4. Publicar la presente providencia en la página web del Consejo de Estado. Notifíquese y cúmplase. La anterior providencia fue considerada y aprobada en la sesión de la fecha. (Firmado electrónicamente) MYRIAM STELLA GUTIÉRREZ ARGÜELLO Presidenta (Firmado electrónicamente) STELLA JEANNETTE CARVAJAL BASTO (Firmado electrónicamente) MILTON CHAVES GARCÍA (Firmado electrónicamente) WILSON RAMOS GIRÓN