15001-33-33-0013-2021-00113-01 · Administrative Court of Boyacá

DERECHO FUNDAMENTAL AL HABEAS DATA / Dato personal / Cualidades. En sentencia T-729 de 2002, la Corte indicó que el concepto “dato personal” presenta las siguientes cualidades: i) se refiere a aspectos exclusivos y propios de una persona natural, ii) permite identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento -captación, administración y divulgación- está sometido a determinados principios.

DERECHO FUNDAMENTAL AL HABEAS DATA / Alcance. Es necesario destacar que el ámbito de protección del derecho en comento no se reduce a las posibilidades de “conocer, actualizar y rectificar”. A partir del mandado del artículo 15 superior y su desarrollo jurisprudencial, la Corte también ha establecido una dimensión subjetiva del derecho al habeas data, la cual consiste en las alternativas de “autorizar, incluir, suprimir y certificar”.

DERECHO FUNDAMENTAL AL HABEAS DATA / Deberes a cargo de las administradoras de datos. La Corte también ha identificado y definido los deberes correlativos al derecho al habeas data. Al respecto, ha resaltado que las administradoras de datos que almacenan información personal tienen el deber constitucional general “de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”.

Además, tales sujetos tienen deberes constitucionales concretos tales como dar “información acerca de la existencia del dato a su titular”, “ponerla a disposición de sus titulares, actualizarla y rectificarla, cuando consideren que razonablemente deben hacerlo”, “ajustarla tan pronto tienen conocimiento de cualquier novedad”, entre otros.

DATOS PERSONALES / Fuente de información / Debe contar con autorización del titular para suministrar el dato. Es importante resaltar que la fuente de información puede suministrar el dato personal, siempre y cuando cuente con autorización previa legal o del titular, al operador de la información y deberá responder por la calidad de los datos que entrega.

DATOS PERSONALES / Operador de la información / Debe verificar veracidad y univocidad del dato. Por su parte, el operador de la información está en la obligación de verificar que el dato personal que le envía la fuente es veraz y unívoco. Además, teniendo en cuenta que el operador es quien administra la base de datos tienen la responsabilidad junto a la fuente de garantizar que la información sea completa, es decir, está prohibido el suministro de información incompleta, parcial o fraccionada.

REPORTE NEGATIVO ANTE CENTRALES DE RIESGO / Requisitos de procedencia. existen dos requisitos que deben observarse para que proceda el reporte negativo, éstos son: “(i) la veracidad y la certeza de la información; y, (ii) la necesidad de autorización expresa para el reporte del dato financiero negativo”. Frente al principio de veracidad y certeza de la información es pertinente recordar que el operador de los datos está en la obligación de verificar que la información que le suministra la fuente es cierta, actualizada, comprobable y comprensible, para proceder a emitir la novedad negativa, es decir, no puede reportar datos falsos, incompletos, parciales o fraccionados.

En desarrollo del principio de libertad, y a la necesidad de que la información haya sido recabada de forma legal, la jurisprudencia constitucional ha establecido que es necesario que el titular de la información haya autorizado expresamente a la entidad fuente para reportar estos datos a la central de riesgos, autorización que debe ser previa, libre, expresa, constar por escrito y provenir del titular de la información. Ella, según lo ha dicho esta Corte, “constituye el fundamento y el punto de equilibrio que le permite, a las entidades solicitar o reportar el incumplimiento de las obligaciones por parte de algún usuario del sistema financiero a las centrales de riesgo.

En esta medida, cuando el titular encuentre que no ha dado su autorización para el reporte estaría facultado, debido al incumplimiento de este requisito, para reclamar la exclusión del dato”. REPORTE NEGATIVO ANTE CENTRALES DE RIESGO / Comunicación previa exigida por la Ley / Partes pueden pactar diversos mecanismos. Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, “los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente”.

REPORTE NEGATIVO ANTE CENTRALES DE RIESGO / Autorización previa del titular / Finalidad. Debe existir autorización expresa, previa, clara, escrita, concreta y libremente otorgada por el titular del dato, esto con el fin de permitirle ejercer efectivamente su garantía al habeas data, la cual se traduce en la posibilidad de conocer, actualizar y rectificar las informaciones que se hayan recopilado sobre él en las centrales de riesgo.

De lo contrario, se vulneraría su derecho a la autodeterminación informática porque no tendría control sobre la información personal, financiera y crediticia que circularía respecto de él en las bases de datos públicas y privadas. DATO FINANCIERO NEGATIVO / Caducidad. De acuerdo con la jurisprudencia constitucional, el principio de caducidad “estipula que la información desfavorable del titular debe ser retirada de las bases de datos, de forma definitiva, con base en criterios de razonabilidad y oportunidad.

En consecuencia, se prohíbe la conservación indefinida de datos personales, después que hayan desaparecido las causas que justificaron su acopio y administración”. La Corte Constitucional ha construido una sólida línea jurisprudencial en relación con el tema de la caducidad del dato negativo, partiendo de la identificación de una premisa básica, cual es, la de que no es posible que las personas queden indefinidamente atadas a informaciones negativas sobre su comportamiento crediticio y comercial.

DATO FINANCIERO NEGATIVO / Reglas de permanencia. Con base en el artículo 13 de la Ley Estatutaria 1266 de 2008, la Corte estableció las siguientes reglas de permanencia de los datos negativos en las centrales de riesgo: (i) la caducidad del dato financiero, en caso de que la mora haya ocurrido en un lapso inferior a dos años, no podrá exceder el duplo de la mora, (ii) si el titular de la obligación cancela las cuotas o el total de la obligación vencida en un lapso que supera los dos años de mora, el término de caducidad será de cuatro años contados a partir de la fecha en que éste cumple con el pago de su obligación y, (iii) tratándose de obligaciones insolutas, el término de caducidad del reporte negativo también será de cuatro años, contado a partir de que la obligación se extinga por cualquier modo.

REPORTE NEGATIVO ANTE CENTRALES DE RIESGO / Cumplimiento de los requisitos en caso concreto. la Sala no advierte que se haya vulnerado los derechos fundamentales al debido proceso y al habeas data del accionante por supuestamente reportar información negativa a DATACREDITO y a la CIFIN S.A, sin contar con su autorización previa, de que trata el artículo 12 de la Ley 1266 de 2008, ya que está plenamente probado que el ICETEX previo a hacer el reporte a los operadores demandados, le envió dos comunicaciones al accionante con el fin de que se pusiera al día en su obligación, advirtiendo en ambas, que el reporte se haría veinte (20) días calendario siguientes a la fecha de su envío, es decir, a partir del 15 de septiembre 2017 y del 20 de diciembre de 2018.

REPORTE NEGATIVO ANTE CENTRALES DE RIESGO / Obligación del operador de actualizar y rectificar información directamente / No es necesario reporte previo de la fuente. La Corte Constitucional en la sentencia C- 1011 de 2008, MP.: Jaime Córdoba Triviño, concluyó que luego de la recepción del dato transmitido por la fuente, el operador adquiere deberes específicos respecto a la protección del derecho al hábeas data del sujeto concernido, lo que incorpora obligaciones concretas en cuanto a la calidad de los datos, luego de la transmisión. Por las razones expuestas, y contrario a lo expuesto por DATACRÉDITO, la Sala estima que le compete actualizar y rectificar la información que tenga de los titulares de la información en sus bases de datos directamente, sin necesidad de que haya un reporte previo de novedad de la fuente de información, que en el presente caso, es el ICETEX, en caso de que el actor así lo solicite y sea permitente, ya que, a partir de que recibe la información que le remite la fuente de información es responsable del contenido de la misma.

REPORTE NEGATIVO ANTE CENTRALES DE RIESGO / Término máximo de permanencia / Habeas data no se vulnera cuando término del reporte es inferior al máximo dispuesto en la Ley. El artículo 13 de la Ley 1266 de 2008 consagra que los datos cuyo contenido haga referencia a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. Además, la Corte Constitucional en la sentencia C- 1011 de 2008 también consideró que “la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora”.

Por lo anterior, el código de seguridad del mismo no corresponde al de la providencia original. Para validar la integridad del documento los interesados pueden consultarlo a través de la plataforma SAMAI. REPÚBLICA DE COLOMBIA TRIBUNAL ADMINISTRATIVO DE BOYACÁ SALA DE DECISIÓN No. 2 Tunja, 15 de septiembre de 2021 Magistrado Ponente: Luis Ernesto Arciniegas Triana Decide la Sala las impugnaciones interpuestas por el actor y las entidades demandadas en contra de la sentencia proferida por el Juzgado Trece Administrativo Oral de Tunja, mediante la cual accedió parcialmente a las pretensiones de la demanda.

ANTECEDENTES Edwin Rolando Tiria Tiria instauró acción de tutela en contra del Instituto de Crédito Educativo- ICETEX por la presunta vulneración de los derechos fundamentales al habeas data, al buen nombre, al trabajo y al debido proceso. En consecuencia, solicita que se ordene al ICETEX expedir carta de eliminación de los reportes negativos que hay en su contra, en las bases de datos de la CIFIN-ASOBANCARIA (TRASUNION) y DATACREDITO (EXPERIAN) y adicionalmente, se sirvan actualizar y rectificar su historial crediticio, indicando con claridad, que no tiene obligaciones pendientes, ni está en mora en sus obligaciones.

II. TRÁMITE DE LA ACCIÓN EN PRIMERA INSTANCIA Por medio de auto del 9 de julio de 2021 el Juzgado Trece Administrativo Oral del Circuito de Tunja resolvió admitir la acción de tutela en contra del ICETEX y vincular a la Central de Información Financiera- CIFIN S.A.S., a la Asociación Bancaria de Entidades Financieras de Colombia- ASOBANCARIA, a DATACREDITO y a la Superintendencia Financiera, concediéndoles un término de dos (2) días para que ejercieran su derecho de defensa y contradicción. Término en el cual las entidades accionadas se pronunciaron.

III. FALLO IMPUGNADO El Juzgado Trece Administrativo Oral del Circuito de Tunja mediante sentencia del 22 de julio del 2021, declaró la carencia actual de objeto por hecho superado en relación con la vulneración del derecho de petición por parte del ICETEX. Por otro lado, amparó el derecho fundamental de petición y de habeas data del señor Edwin Rolando Tiria Tiria, vulnerado por la CIFIN S.A.S. (TransUnion®) y Experian Colombia S.A Datacredito.

En consecuencia, ordenó en el ordinal 3º de la sentencia impugnada, a la CIFIN S.A.S. (TransUnion®) y a Experian Colombia S.A Datacredito, que dentro del término máximo de dos (2) días siguientes a la notificación del fallo, que “actualicen y rectifiquen la información de sus bases de datos en relación con los periodos sobre los cuáles se aplicó el reporte negativo en las centrales y la fecha en que este reporte será retirado de la base de datos”.

También ordenó que dentro del mismo término “debían realizar un pronunciamiento de fondo dirigido a Edwin Rolando Tiria en el que indiquen, con toda la claridad del caso, los periodos sobre los cuáles se aplicó el reporte negativo en las centrales y la fecha en que este reporte será retirado de la base de datos, notificando personalmente al accionante”.

A dicha conclusión llegó el a quo al considerar respecto a la eliminación del reporte negativo, que el accionante está registrado como deudor de la obligación nº 0171037086-5, adquirida mediante la línea de financiación denominada Tradicionales- Pregrado MP. Señala que las centrales CIFIN y DATACRÉDITO coinciden respecto de la fecha de pago de la obligación que dio lugar a los reportes negativos, esto es, marzo de 2020.

Sin embargo, el a quo encontró inconsistencias en la fecha de caducidad del reporte negativo, en virtud de la mora en el pago de la obligación adquirida por el accionante con el ICETEX, que canceló en marzo de 2020. De un lado DATACREDITO manifies ta que la caducidad del dato negativo será hasta septiembre de 2022 y la CIFIN indica que será hasta el 23 de marzo de 2022.

Argumenta conforme con lo establecido en la sentencia C-1011 de 2008 que “el tiempo de permanencia del reporte negativo en las centrales de riesgo depende del periodo en que se incurrió en mora”. Así pues, si la mora es inferior a dos años, el reporte permanecerá por el doble de tiempo de la mora, contados a partir del momento en que se cumplan las cuotas vencidas, o que se extinga la obligación por cualquier otro modo.

Entonces, concluye que el accionante incurrió en mora 15 meses, cancelando la obligación en marzo de 2020. Lo que quiere decir que el vencimiento del reporte negativo se contabilizó por el doble del periodo de mora que corresponde a 30 meses. Por tanto, el reporte presuntamente deberá desaparecer en septiembre de 2022, tal y como lo indicó DATACREDITO.

Sin embargo, expresa que no son claras las razones por las cuales la CIFIN estableció que el vencimiento del reporte operaría en de marzo de 2022. Por lo anterior, advierte que es clara la imprecisión de la información que tiene la CIFIN y DATACREDITO, pues el accionante no tiene certeza de la fecha en que se eliminará el reporte negativo, lo cual vulnera el derecho fundamental de Habeas Data.

También manifiesta que no es dable acceder a la eliminación del reporte negativo, con el argumento de que se canceló la obligación, en atención a que, la normatividad exige unos términos para el vencimiento del reporte negativo, que deben cumplirse. Sostiene que si bien hay una imprecisión respecto a la fecha de caducidad del reporte negativo ello no da lugar a que se ordene la eliminación del mismo, “máxime si se comprobó que unos de los periodos de mora que certificó el ICETEX era efectivamente de 15 meses”.

Sin embargo, infiere que, ante la falta de claridad en la información, las entidades demandadas han desconocido el habeas data, “en el entendido que el accionante tiene derecho a conocer de la información contenida en las bases de datos y en caso de existir imprecisiones o errores, a que dicha información sea actualizada y rectificada”. En relación con el envío de la comunicación al accionante previo al registro del reporte negativo, cuenta que el ICETEX indicó que remitió comunicación previa a la dirección residencial del beneficiario- deudor solidario, registrada para ese momento en su sistema, informándole el estado de la mora y el reporte negativo que se generaría (archivo 013).

Para ello, adjuntó dichos comunicados, esto es, allegó oficio VOT-GAC-5030-20170723813 de agosto de 2017 dirigido a Edwin Rolando Tiria Tiria con “Asunto: Notificación Mora, obligación No: 0171037086-5” y oficio VOT-GAC-5030-20180911477 de 14 de diciembre de 2018 dirigido a Edwin Rolando Tiria Tiria con “Asunto: Notificación Mora, Obligación No: 0171037086-5”.

Frente al primero oficio, señala que allegó envío entregado el 15 de septiembre de 2017 y respecto del segundo allegó certificación de envío al correo 13edwin844@gmail.com de 20 de diciembre de 2018 (archivo 013), “documentos que permiten determinar que fue enviada la comunicación al afectado y que se le garantizó el debido proceso al informarle previamente del registro negativo que se realizaría en el sistema”.

Finalmente, en cuanto a la autorización previa para efectuar reportes ante los operadores de información crediticia, observa que esta fue otorgada por el beneficiario y deudor solidario, mediante la firma del pagaré de la obligación, que se encuentra en el archivo copia de las garantías. Expresa en relación con el contenido de la cláusula 5a, que se avaló con la firma del accionante y del deudor solidario, otorgando con ello la autorización previa y expresa para generar reportes ante las centrales de riesgo.

Por tanto, no encontró una vulneración al debido proceso. V. IMPUGNACIÓN Inconforme con la decisión de primera instancia EXPERIAN COLOMBIA S.A.- DATACREDITO, CIFIN S.A.S. y el accionante Edwin Rolando Tiria Tiria impugnaron en los siguientes términos: -EXPERIAN COLOMBIA S.A.- DATACRÉDITO Solicita que se revoque el fallo de primera instancia y que se les desvincule, por cuanto, la omisión de la eliminación del reporte negativo le corresponde es a la entidad con la cual el titular adquirió la obligación, o en su lugar, se modifique el numeral segundo de la decisión, en ese sentido se exhorte a EXPERIAN COLOMBIA S.A.- DATACREDITO para que rectifique los datos del accionante, una vez la fuente allegue la respectiva novedad.

En consecuencia, argumenta que los operadores no tienen un deber inmediato de actualización de la información, sino que ésta se surte, una vez la fuente así lo comunica. Con la finalidad de explicar lo anterior, trae a colación la Ley 1266 del 2008 y la sentencia C-1011 de 2008, en las que se establece la estructura para la administración de los datos personales, partiendo de dos sujetos diferentes, el operador y la fuente.

Así pues, cita el artículo 3-b de la Ley 1266 de 2008 que señala que la fuente de información “…es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final”.

Por otro lado, indica con fundamento en el artículo 3-C ejusdem, que el operador de la información es “la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley”. Señala que las fuentes de información tienen una relación comercial o de servicio o de cualquier otra índole con el titular de la información, mientras que los operadores son ajenos a esta relación contractual.

Lo que implica que sea la fuente la que allegue al operador la información de la relación contractual con el titular y no al contrario. Por último, dice que a los operadores les corresponde actualizar y rectificar la información de los datos, cada vez que las fuentes reporten las respectivas novedades, pues la información que manejan es suministrada por la fuente de información. -CIFIN S.A.S. (TransUnion@) Sostienen que el a-quo incurrió en una indebida valoración probatoria, por cuanto, condenó a la empresa respecto a una solicitud que no fue radicada en sus dependencias, como sí se acredito que se hizo ante el ICETEX y DATACREDITO.

Por tanto, solicita que se revoque la sentencia de primera instancia, en lo que concierne a la orden de contestar la citada petición. No obstante, señala que se procedió a emitir respuesta al accionante, señalándole las fechas de pago y permanencia de los datos negativos de la obligación reportada por ICETEX, y en especial, se le explicaron las razones de la variación de las fechas de permanecía en esa entidad respecto a otros operadores de datos.

En segundo lugar, endilga una indebida valoración normativa del artículo 13 de la Ley 1266 de 2008. Al respecto, señala que, si bien hay un límite máximo de permanencia del dato negativo, no significa que la misma “tenga por fuerza que ser siempre el máximo legal”. Luego, estima que “…una interpretación o metodología de cómputo que respete el límite máximo, pero no tenga que ir hasta dicho límite, es legal, y… más benéfica al titular de la información”.

Afirma que el computo de permanencia de las obligaciones en la entidad, puede variar frente al de otros operadores, insistiendo en que se respeten los términos legales máximos. Explica que “el tiempo o la edad de mora se reporta en vectores de comportamiento para estandarizar y mejorar el análisis de la información, lo cual incluso es más benéfico a los titulares de la información”.

En virtud de lo anterior, informa que la fuente (ICETEX) les reportó un vector 12 de comportamiento, que significa “una altura de mora entre 360 a 539 días de mora, lo cual es coherente con los 15 meses de mora (450 días de mora) que indica el ICETEX ante otro operador, pues tales meses de mora están comprendidos dentro de dicho vector 12”.

Insiste en que lo anterior es más benéfico para el accionante (titular de la información), porque “cuando en nuestra entidad se computa el término de permanencia de los datos negativos, se toman en cuenta los días cercanos al inicio del vector reportado y no su final, ni una fase intermedia”. Por ende, indica que en el presente caso, el dato negativo permanecerá menos tiempo, esto es, hasta el 21 de marzo de 2022, y no hasta septiembre del mismo año, como en otros operadores de datos, resaltando que tal cómputo respeta el término máximo de permanencia del dato negativo, que es el máximo del doble de la mora, “que en nuestro caso se computa con el inicio del vector 12 que parte de los 360 días de mora, por ende, su duplo nos dará alrededor de 720 días, de ahí la explicación de por qué ante nosotros la permanencia va del 31/03/2020 al 21/03/2022 y no hasta septiembre de 2022”.

Por último, consideran que al ser más benéfico para el accionante que el dato negativo sea visible hasta el 21/03/2022, “estaría mal de nuestra parte aumentar la permanencia hasta septiembre de 2022, es decir aumentarle la permanencia en alrededor de 6 meses”. -Edwin Rolan Tiria Tiria (accionante) Solicita que se revoque la decisión de primera instancia y se ordene al ICETEX la eliminación definitiva de los reportes negativos en las bases de DATACREDITO y de la CIFIN S.A. Manifiesta que el a quo al analizar las pruebas que obran en el expediente de tutela, hizo una valoración defectuosa de la documentación que daba cuenta del incumplimiento de los requisitos de cara al reporte de información negativo por el incumplimiento de obligaciones, así como la vulneración por parte de la entidad del derecho de petición. Sostiene que se omitió por completo lo argumentado y demostrado en los hechos quinto, sexto, y séptimo de la demanda, relacionados con la necesidad de que la información haya sido recolectada y aportada de forma legal, y la existencia de la comunicación previa, antes de generar el reporte negativo en las centrales de información. Expresa que la tutela procede para la protección del habeas data, cuando se suministra y divulga en una base de datos información sobre un peticionario que no haya dado su autorización para el efecto, de manera libre, previa, expresa y escrita, y cuando tal autorización es empleada para difundir información con finalidades distintas a las informadas previamente al usuario del sistema, por la entidad financiera correspondiente.

En relación con la solicitud de la prueba del envío de la comunicación previa, en cumplimiento de la Ley 1266 de 2008, el Decreto 2555 del 2010, el artículo 2.2.2.28.2 del Decreto 1074 de 2015 y la Resolución 76434 de 2012, expresa que debía hacerlo el ICETEX. Que lo allegado por dicha entidad, no puede otorgársele ningún valor probatorio para validar el cumplimiento de dicho deber, esto con ocasión a que si bien, se aportó una certificación de envíos por correo electrónico, no se allega el documento que acredite que se pactó con la entidad que dicho medio podría usarse para dar cumplimiento a las mencionadas normas.

Expone que dicho decreto expresamente demanda la necesidad de que exista un pacto especial para que las comunicaciones electrónicas puedan utilizarse con miras a dar cumplimiento al artículo 12 de la Ley 1266 de 2008. Manifiesta que no hay evidencia de que como titular de la información, haya autorizado que la comunicación de que trata el artículo 12 de la ley 1266 del 2008, pudiera efectuarse a través de la dirección de correo electrónico, que manifiesta el ICETEX haber remitido la comunicación. Expresa que no hay prueba del día exacto en el que se hizo el reporte negativo a los operadores de información, a pesar del requerimiento hecho para que se aclarara ese punto, de modo que no se desvirtuó la obligación de dejar transcurrir el término legal (20 días calendario) entre el requerimiento y el reporte de la información negativa, previsto en el artículo 12 de la Ley 1266 de 2008.

Que pese a que el operador de información CIFIN – TransUnion@ allegó información del estado de la obligación, en cumplimiento de lo ordenado en el fallo de primera instancia, la información referente al día en que se generó el reporte negativo, es parcializada e incompleta. Insiste en que la comunicación previa de que trata el artículo 12 de la ley 1266 de 2008 es un requisito imprescindible para poder realizar el reporte de información negativa.

Si se omite dicho requerimiento, automáticamente se vulnera el derecho al debido proceso. De esta manera, reitera que en caso de incumplimiento de las obligaciones adquiridas por parte del titular, las fuentes podrán reportar la información negativa a los operadores, únicamente cuando se haya enviado una comunicación al titular, con el fin de que este puede ejercer el derecho de contradicción, antes de que se genere el reporte negativo que afecta el derecho al habeas data, al buen nombre, y a la honra.

VI. TRÁMITE DE LA ACCIÓN EN SEGUNDA INSTANCIA Por auto del 6 de julio de 2021 el Juzgado Trece Administrativo Oral de Tunja concedió en efecto devolutivo las impugnaciones interpuestas de los contra la sentencia proferida el 22 de julio de 2021. VII. CONSIDERACIONES 1. Lo que se debate 1.1. Tesis del juez de primera instancia Amparó los derechos fundamentales de petición y de habeas data del actor, vulnerados por la CIFIN S.A.S. (TransUnion®) y Experian Colombia S.A Datacredito.

En consecuencia, les ordenó que actualizaran y rectificaran la información de sus bases de datos en relación con los periodos sobre los cuáles se aplicó el reporte negativo en las centrales y la fecha en que ese reporte sería retirado de la base de datos. También les ordenó que debían realizar un pronunciamiento de fondo dirigido al actor, sobre dichos periodos y la fecha en que el mismo sería retirado de la base de datos.

Lo anterior, al evidenciar una imprecisión en la fecha de caducidad del reporte negativo, en virtud de la mora en el pago de la obligación adquirida por el accionante con el ICETEX, ya que, DATACREDITO manifiesta que la caducidad del dato negativo será hasta septiembre de 2022 y la CIFIN que será hasta el 23 de marzo de 2022, lo que en su sentir vulnera el derecho al habeas data, pues el accionante no tiene certeza de la fecha en que se eliminará el reporte negativo.

Concuerda en que el reporte negativo deberá desaparecer en septiembre de 2022, tal y como lo indica DATACREDITO. También estima que no es dable acceder a la eliminación del reporte negativo, con el argumento de que se canceló la obligación, en atención a que, la normatividad exige unos términos para el vencimiento del reporte negativo, que deben cumplirse.

Por último, concluyó que no hay evidencia de que se haya vulnerado al accionante el debido proceso, por cuanto se probó dentro del proceso que el ICETEX obtuvo autorización previa para efectuar reportes ante los operadores de información crediticia, mediante la firma del pagaré de la obligación, que se encuentra en el archivo de copia de las garantías. 1.2.

Tesis de los impugnantes - DATACREDITO Solicita que se revoque o modifique el fallo de primera instancia, argumentando que los operadores les corresponde actualizar y rectificar la información de los datos cada vez que las fuentes reporten las respectivas novedades, pues la información que manejan es suministrada por la fuente de información. - CIFIN (TransUnion) En primer lugar, sostiene que el a-quo incurrió en una indebida valoración probatoria, por cuanto, los condenó respecto a una solicitud que no fue radicada en sus dependencias.

No obstante, indica que se procedió a emitir respuesta al accionante, señalándole las fechas de pago y permanencia de los datos negativos de la obligación reportada por ICETEX, y en especial, se le explicaron las razones de la variación de las fechas de permanecía en esa entidad respecto a otros operadores de datos, alegando que por dicho proceder hay hecho superado.

En segundo lugar, señala que si bien hay un límite máximo de permanencia del dato negativo, defienden la legalidad de una interpretación o metodología de cómputo que respete dicho término de caducidad del reporte, sin tener que mantenerlo hasta dicha frontera, lo que en su sentir es más benéfico al titular de la información. Por ende, indican que en el presente caso, el dato negativo permanecerá hasta el 21 de marzo de 2022, y no hasta septiembre del mismo año, como en otros operadores de datos, resaltando que tal cómputo respeta el término máximo de permanencia del dato negativo, que es el máximo del doble de la mora. - Accionante Solicita que se revoque la decisión de primera instancia y se ordene al ICETEX la eliminación definitiva de los reportes negativos en las bases de DATACREDITO y de la CIFIN S.A, al considerar que: i) El ICETEX vulneró sus derechos fundamentales al habeas data, al buen nombre, a la honra y al debido proceso, al reportar información negativa sin haber agotado la comunicación previa de que trata el artículo 12 de la Ley 1266 de 2008, que permite ejercer el derecho de contradicción; ii) A lo allegado por el ICETEX no puede otorgársele ningún valor probatorio, para validar el cumplimiento de dicho deber, pues si bien, se aportó una certificación de envíos por correo electrónico, no allegó el documento que acredite que pactó con la entidad que dicho medio podría usarse para dar cumplimiento a la Ley 1266 de 2008, el Decreto 2555 del 2010, el artículo 2.2.2.28.2 del Decreto 1074 de 2015 y la Resolución 76434 de 2012. iii) Por otro lado, expresa que no hay prueba del día exacto en el que se hizo el reporte negativo a los operadores de información, a pesar del requerimiento hecho para que se aclarara ese punto, de modo que no se desvirtuó la obligación de dejar transcurrir el término legal (20 días calendario) entre el requerimiento previo y el reporte de la información negativa, previsto en el artículo 12 de la Ley 1266 de 2008. 2.

Planteamiento del problema jurídico y tesis de la sala En virtud de las posturas planteadas corresponde a esta Sala de Decisión resolver los siguientes problemas jurídicos: i) Si se vulneró el derecho fundamental al debido proceso y al habeas data al accionante por supuestamente reportar información negativa, sin haber agotado la comunicación previa de que trata el artículo 12 de la Ley 1266 de 2008, precisando el actor que no se acreditó que se hubiese autorizado hacerlo por correo electrónico; ii) Si se transgredió el derecho al debido proceso del actor, al supuestamente no dejar transcurrir el término legal de 20 días calendario, entre el requerimiento previo y el reporte de la información negativa, previsto en el artículo 12 de la Ley 1266 de 2008, ya que, el actor aduce que no hay prueba del día exacto en el que se hizo el reporte negativo a los operadores de información; iii) Si a DATACREDITO le compete actualizar y rectificar la información de sus bases de datos directamente, o si como lo alegan, debe existir un reporte previo de novedad por parte de la fuente de información que en el presente caso es el ICETEX; iv) Determinar si la CIFIN vulneró el derecho fundamental de petición del actor, y si así fue, si se configuró la carencia actual de objeto por hecho superado; y v) Si la CIFIN vulneró el derecho fundamental al habeas data al accionante, al establecer de acuerdo a su metodología, un término de caducidad del reporte negativo inferior al máximo consagrado en la ley, esto es, hasta marzo de 2022, y no hasta septiembre del mismo año como lo certifica DATACREDITO y comparte el a quo.

Conforme la delimitación del problema jurídico propuesto, la Sala confirmará parcialmente el fallo de primera instancia al considerar que no se le vulneró al actor los derechos fundamentales al debido proceso y al habeas data, por supuestamente reportar información negativa a DATACREDITO y a la CIFIN S.A, sin contar con su autorización previa, de que trata el artículo 12 de la Ley 1266 de 2008.

Lo anterior, porque está plenamente probado que el ICETEX previo a hacer el reporte a los operadores demandados le envió dos comunicaciones al accionante, con el fin de que se pusiera al día en su obligación, advirtiendo en ambas, que el reporte se haría veinte (20) días calendario siguientes a la fecha de su envío, es decir, a partir del 15 de septiembre 2017 y del 20 de diciembre de 2018.

Por lo expuesto, no es de recibo para la Sala que el demandante afirme que no se realizó la citada comunicación previa de que trata el artículo 12 de la Ley 1266 de 2008, y a la vez cuestione la forma de notificación de la misma, que como se acreditó se realizó desde el 2017 a la dirección física del demandante, de acuerdo con el inciso 3º del artículo 12 de la Ley 1266 de 2008.

También corroboró la Sala que a DATACRÉDITO le compete actualizar y rectificar la información que tenga de los titulares de la información en sus bases de datos directamente, sin necesidad de que haya un reporte previo de novedad de la fuente de información, -que en el asunto es el ICETEX-, en caso de que el actor así lo solicite y sea permitente, ya que a partir de que recibe la información que le remite la fuente es responsable del contenido de la misma.

No se observó que la CIFIN S.A haya vulnerado el derecho fundamental de petición del actor, ya que no está acreditado que se le haya radicado solicitud alguna. No obstante, y en cumplimiento del fallo proferido por el a quo, notificó al accionante la mencionada respuesta electrónicamente, a las direcciones crd202118@gmail, ceroreportesya@gmail, el 27 de julio de 2021.

Finalmente, no se advirtió vulneración alguna por parte de la CIFIN S.A., por cuanto, el dato negativo permanecerá menos tiempo, esto es, hasta marzo de 2022 y no hasta septiembre de 2022 como en otros operadores de datos, que de paso se dirá tampoco superan el tope máximo de permanencia, que en el presente caso sería hasta septiembre de 2022, aunado a que los operadores de información son autónomos en la información contenida en sus bases de datos para efectos del reporte negativo, siempre y cuando no vulneren el término máximo de permanencia establecido en la ley y en la jurisprudencia, por lo que se revocará el inciso primero del ordinal 3º del fallo impugnado. 3.

Ámbito de protección del derecho fundamental al habeas data. Reiteración jurisprudencial El derecho al habeas data está instituido en el artículo 15 de la Constitución, según el cual “[t]odas las personas tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Conforme a la jurisprudencia de la Corte Constitucional, ante el robustecimiento del poder informático -característico de la sociedad de información-, “el habeas data surge como un cuerpo normativo singular orientado a proteger las libertades individuales”. Por “poder informático” se entiende una especie de dominio social sobre el individuo, que consiste en “la posibilidad de acumular informaciones en cantidad ilimitada.

De confrontarlas y agregarlas entre sí, de hacerle seguimiento en una memoria indefectible, de objetivizarlas y trasmitirlas como mercancía (…)”. En este contexto, el habeas data también ha sido denominado: “derecho a la autodeterminación informática”, en tanto instrumento que permite a la persona titular del dato tener control del uso que sobre el mismo se haga en los diferentes repositorios de información. En sentencia T-729 de 2002, la Corte indicó que el concepto “dato personal” presenta las siguientes cualidades: i) se refiere a aspectos exclusivos y propios de una persona natural, ii) permite identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento -captación, administración y divulgación- está sometido a determinados principios.

La Corte ha señalado que el derecho al habeas data es de naturaleza dúctil o proteica, por cuanto tiene doble naturaleza. Por una parte, goza del reconocimiento constitucional como derecho autónomo y, por la otra, ha sido considerado como una garantía de otros derechos. A partir de estas características se ha dicho que el ámbito de acción u operatividad de esta prerrogativa se enmarca en el contorno en el cual se desarrollan los procesos de administración de bases de datos personales.

Es necesario destacar que el ámbito de protección del derecho en comento no se reduce a las posibilidades de “conocer, actualizar y rectificar”. A partir del mandado del artículo 15 superior y su desarrollo jurisprudencial, la Corte también ha establecido una dimensión subjetiva del derecho al habeas data, la cual consiste en las alternativas de “autorizar, incluir, suprimir y certificar”.

Así mismo, es posible diferenciar entre un régimen constitucional y legal de protección del derecho al habeas data. El primero está dado en los llamados “principios de la administración de datos personales”. El segundo, está conformado por la normatividad contenida en las Leyes 1266 de 2008, 1581 de 2012, y 1621 de 2013. En cumplimiento del deber de regular el derecho fundamental al hábeas data a cargo del Congreso, se expidió la Ley Estatuaria 1266 de 2008 “[p]or la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.”.

En la sentencia C-1011 de 2008 la Corte efectuó el análisis de constitucionalidad previo del proyecto de ley y determinó que esa norma tiene carácter sectorial, pues solo está dirigido a la regulación de la administración de datos personales de contenido comercial, financiero y crediticio. No obstante, su carácter parcial, la Ley 1266 de 2008 reiteró los principios fijados por la jurisprudencia de la Corte que rigen el derecho al hábeas data en general.

Específicamente, la ley estableció que las actividades de recolección, procesamiento y circulación de datos personales contenidos en bases de datos de carácter financiero, deben regirse por los siguientes principios: veracidad, temporalidad, integridad, seguridad, confidencialidad, circulación restringida y finalidad. Posteriormente, el Legislador expidió la Ley Estatutaria 1581 de 2012, “por la cual se dictan disposiciones generales para la protección de datos personales”, luego de que su validez hubiera sido estudiada por la Corte en la sentencia C-748 de 2011.

Se trata de una ley general que establece los principios a los que está sujeto cualquier tipo de tratamiento de datos en Colombia. Al igual que la Ley 1266 de 2008, tal normativa hace un ejercicio de compilación de los criterios y principios desarrollados en el precedente constitucional. De cara al problema jurídico planteado, se hará una cita in extenso de la sentencia T-729 de 2002, sobre los principios constitucionales de la administración de datos personales: “Según el principio de libertad, los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo y expreso del titular, de tal forma que se encuentra prohibida la obtención y divulgación de los mismos de manera ilícita (ya sea sin la previa autorización del titular o en ausencia de mandato legal o judicial).

En este sentido por ejemplo, se encuentra prohibida su enajenación o cesión por cualquier tipo contractual. Según el principio de necesidad, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos.

Según el principio de veracidad, los datos personales deben obedecer a situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos. Según el principio de integridad, estrechamente ligado al de veracidad, la información que se registre o se divulgue a partir del suministro de datos personales debe ser completa, de tal forma que se encuentra prohibido el registro y divulgación de datos parciales, incompletos o fraccionados.

Con todo, salvo casos excepcionales, la integridad no significa que una única base de datos pueda compilar datos que, sin valerse de otras bases de datos, permitan realizar un perfil completo de las personas. Según el principio de finalidad, tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista.

Según el principio de utilidad, tanto el acopio, el procesamiento y la divulgación de los datos personales, debe cumplir una función determinada, como expresión del ejercicio legítimo del derecho a la administración de los mismos; por ello, está prohibida la divulgación de datos que, al carecer de función, no obedezca a una utilidad clara o determinable.

Según el principio de circulación restringida, estrechamente ligado al de finalidad, la divulgación y circulación de la información está sometida a los límites específicos determinados por el objeto de la base de datos, por la autorización del titular y por el principio de finalidad, de tal forma que queda prohibida la divulgación indiscriminada de los datos personales.

Según el principio de incorporación, cuando de la inclusión de datos personales en determinadas bases, deriven situaciones ventajosas para el titular, la entidad administradora de datos estará en la obligación de incorporarlos, si el titular reúne los requisitos que el orden jurídico exija para tales efectos, de tal forma que queda prohibido negar la incorporación injustificada a la base de datos.

Según el principio de caducidad, la información desfavorable al titular debe ser retirada de las bases de datos siguiendo criterios de razonabilidad y oportunidad, de tal forma que queda prohibida la conservación indefinida de los datos después que han desaparecido las causas que justificaron su acopio y administración. Según el principio de individualidad, las administradoras deben mantener separadamente las bases de datos que se encuentren bajo su administración, de tal forma que queda prohibida la conducta dirigida a facilitar cruce de datos a partir de la acumulación de informaciones provenientes de diferentes bases de datos” (Subrayado fuera de texto).

Del mismo modo, la Corte también ha identificado y definido los deberes correlativos al derecho al habeas data. Al respecto, ha resaltado que las administradoras de datos que almacenan información personal tienen el deber constitucional general “de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”.

A manera de conclusión, el habeas data, como derecho autónomo o instrumento para proteger otras prerrogativas, es una garantía que salvaguarda la libertad de la persona, entendida no como posibilidad de locomoción sin restricciones, sino como la extensión que se hace de ella en medios virtuales o físicos de acopio de datos personales. De ahí que también reciba el nombre del derecho a la “autodeterminación informática”. 4.

Personas naturales o jurídicas involucradas en el proceso de divulgación de la información crediticia o financiera Por otra parte, el artículo 3° de la Ley 1266 de 2008 fijó algunas definiciones que contemplan, entre otras, a las partes, personas naturales o jurídicas, involucradas en el proceso de divulgación de la información crediticia o financiera, dentro de las que se encuentran el titular de la información, la fuente de información, el operador de la información, y el usuario.

Es importante resaltar que la fuente de información puede suministrar el dato personal, siempre y cuando cuente con autorización previa legal o del titular, al operador de la información y deberá responder por la calidad de los datos que entrega. Por su parte, el operador de la información está en la obligación de verificar que el dato personal que le envía la fuente es veraz y unívoco.

Además, teniendo en cuenta que el operador es quien administra la base de datos tienen la responsabilidad junto a la fuente de garantizar que la información sea completa, es decir, está prohibido el suministro de información incompleta, parcial o fraccionada. Por último, existen dos requisitos que deben observarse para que proceda el reporte negativo, éstos son: “(i) la veracidad y la certeza de la información; y, (ii) la necesidad de autorización expresa para el reporte del dato financiero negativo” Frente al principio de veracidad y certeza de la información es pertinente recordar que el operador de los datos está en la obligación de verificar que la información que le suministra la fuente es cierta, actualizada, comprobable y comprensible, para proceder a emitir la novedad negativa, es decir, no puede reportar datos falsos, incompletos, parciales o fraccionados.

En esta medida, cuando el titular encuentre que no ha dado su autorización para el reporte estaría facultado, debido al incumplimiento de este requisito, para reclamar la exclusión del dato”. Efectivamente, el artículo 12 de la Ley 1266 de 2008 consagra respecto a la obligación de autorizar expresamente a la entidad fuente, previo a reportar datos a la central de riesgos, lo siguiente: “Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley.

El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta” (Subrayado y negrilla fuera de texto).

Dicho artículo fue declarado exequible por la Corte Constitucional mediante la sentencia C- 1011 de 2008, MP.: Jaime Córdoba Triviño, al considerar lo siguiente: “… el procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad.

La previsión de trámites de esta naturaleza, que facilitan la preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. Empero, debe la Corte acotar que esta instancia de control del dato por parte del titular de la información resulta predicable, no solo de los casos en que pueda acreditarse la ausencia de mora en el pago de la deuda, sino también en aquellos eventos en que lo que se pone en cuestión es la inexistencia de la obligación que da lugar al reporte sobre incumplimiento o la concurrencia de cualquier otro fenómeno extintivo de la misma.

En ese sentido, para la Sala es claro que lo dispuesto en el inciso segundo del artículo 12 del Proyecto de Ley es apenas un listado enunciativo, en ningún caso una fórmula taxativa, de las distintas causas que puede alegar el titular de la información para oponerse la incorporación del dato sobre incumplimiento en el archivo o banco de datos correspondiente.

La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.

Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5º del artículo 8º del Proyecto de Ley” (Subrayado fuera de texto).

En todo caso, las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, “los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente” (Subrayado fuera de texto).

Por su parte, el artículo 16 de la Ley 1266 de 2008 consagra que los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas: “1.

La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos… 2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en un término no mayor a dos (2) días hábiles una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios. 3.

El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. 4.

En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior.

Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite” y la naturaleza del mismo dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente. 5.

Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa al titular. 6. Sin perjuicio del ejercicio de la acción de tutela para amparar el derecho fundamental del hábeas data, en caso que el titular no se encuentre satisfecho con la respuesta a la petición, podrá recurrir al proceso judicial correspondiente dentro de los términos legales pertinentes para debatir lo relacionado con la obligación reportada como incumplida.

La demanda deberá ser interpuesta contra la fuente de la información la cual, una vez notificada de la misma, procederá a informar al operador dentro de los dos (2) días hábiles siguientes, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “información en discusión judicial” y la naturaleza de la misma dentro del registro individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente y por todo el tiempo que tome obtener un fallo en firme.

Igual procedimiento deberá seguirse en caso que la fuente inicie un proceso judicial contra el titular de la información, referente a la obligación reportada como incumplida, y este proponga excepciones de mérito”. Dicho artículo fue declarado exequible por la Corte Constitucional mediante la sentencia C- 1011 de 2008, MP.: Jaime Córdoba Triviño. En dicha oportunidad se consideró lo siguiente: “… Por lo tanto, la exclusión de responsabilidad prevista en la norma analizada llevaría a considerar que las facultades de conocimiento, actualización y rectificación del dato personal, todas ellas relacionadas con el mantenimiento de la calidad de la información del sujeto concernido, que en los términos de la normatividad estatutaria, se protegen a través del trámite de consultas y reclamos, no serían aplicables para el operador de la información. Esta hipótesis prima facie vulnera el derecho fundamental al hábeas data del titular.

Como se observa, luego de la recepción del dato transmitido por la fuente, el operador adquiere deberes específicos respecto a la protección del derecho al hábeas data del sujeto concernido, lo que incorpora obligaciones concretas en cuanto a la calidad de los datos, luego de la transmisión. En efecto, es evidente que las responsabilidades del operador se predican a partir que ha recibido la información personal por parte de la fuente, pues es desde ese momento en que se involucra en los procesos de recolección, tratamiento y divulgación de datos.

En ese sentido, resulta válido que el operador esté excluido de responsabilidad por actos anteriores a la transmisión de la información por parte de la fuente, lo que justifica la constitucionalidad de la prescripción del legislador estatutario, en el sentido que salvo que el operador sea la misma fuente de información, éste no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente.

Empero, conforme a los argumentos planteados en este apartado, la exclusión de responsabilidad al operador no puede predicarse luego de la transmisión de la información por la fuente, pues a partir de esa actuación el operador adopta la posición de agente responsable de la protección del derecho al hábeas data del sujeto concernido. Por ende, la Sala condicionará la exequibilidad del literal c) del artículo 3º del Proyecto de Ley Estatutaria, en el entendido que el operador es responsable a partir de la recepción del dato suministrado por la fuente, por el incumplimiento de los deberes de diligencia y cuidado en relación con la calidad de la información, consagrados en esta Ley Estatutaria”.

Por consiguiente, debe existir autorización expresa, previa, clara, escrita, concreta y libremente otorgada por el titular del dato, esto con el fin de permitirle ejercer efectivamente su garantía al habeas data, la cual se traduce en la posibilidad de conocer, actualizar y rectificar las informaciones que se hayan recopilado sobre él en las centrales de riesgo.

De lo contrario, se vulneraría su derecho a la autodeterminación informática porque no tendría control sobre la información personal, financiera y crediticia que circularía respecto de él en las bases de datos públicas y privadas. 5. La caducidad del dato financiero negativo De manera general, la jurisprudencia constitucional ha establecido que las actividades de recolección, procesamiento y circulación de datos personales están regidas por una serie de principios destinados a armonizar los diversos derechos e intereses que en este ámbito confluyen.

Así, por un lado, se encuentran los derechos del titular de la información, en especial, como se vio, el habeas data; por el otro, los intereses legítimos de las entidades fuentes de información y de los operadores y usuarios de las bases de datos, en relación con el conocimiento de la historia comercial y crediticia de los individuos, lo cual constituye una importante herramienta para adoptar decisiones sobre la suscripción de contratos comerciales y de crédito con potenciales clientes.

Dentro de estos principios, está el de caducidad del dato negativo. De acuerdo con la jurisprudencia constitucional, el principio de caducidad “estipula que la información desfavorable del titular debe ser retirada de las bases de datos, de forma definitiva, con base en criterios de razonabilidad y oportunidad. En consecuencia, se prohíbe la conservación indefinida de datos personales, después que hayan desaparecido las causas que justificaron su acopio y administración”.

La Corte Constitucional ha construido una sólida línea jurisprudencial en relación con el tema de la caducidad del dato negativo, partiendo de la identificación de una premisa básica, cual es, la de que no es posible que las personas queden indefinidamente atadas a informaciones negativas sobre su comportamiento crediticio y comercial. Ante el vacío legal que imperaba en su momento, la Corte formuló una serie de reglas en relación con las cuáles debían ser los términos dentro de los que debía conservarse el reporte negativo, atendiendo a criterios de razonabilidad, oportunidad y finalidad, reglas que se sintetizaron, en particular, en las sentencias SU-082 y SU-089 de 1995.

Con fundamento en estos pronunciamientos, la Corte falló numerosos casos en los que se debatía precisamente el tema de la información negativa, decisiones en las que se exhortaba al legislador para que fuera él quien dictara la reglamentación correspondiente. Finalmente, en el año 2008, el Congreso de la República profirió la Ley Estatutaria 1266 de 2008, norma que, como atrás se indicó, constituye la regulación actual del derecho al habeas data y del manejo de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países.

En esa ley se incluyó una disposición específicamente sobre el tema de la caducidad del dato negativo, así: “ARTÍCULO

13. PERMANENCIA DE LA INFORMACIÓN. La información de carácter positivo permanecerá de manera indefinida en los bancos de datos de los operadores de información. Los datos cuyo contenido haga referencia al tiempo de mora, tipo de cobro, estado de la cartera, y en general, aquellos datos referentes a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. El término de permanencia de esta información será de cuatro (4) años contados a partir de la fecha en que sean pagadas las cuotas vencidas o sea pagada la obligación vencida” (Subrayado y negrilla fuera de texto) Al efectuar el control de constitucionalidad previo y automático que le correspondía, la Corte Constitucional consideró que el artículo en cuestión no vulneraba la Carta Política, siempre que se entendiera que “la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora, y que el término de permanencia de cuatro años también se contará a partir del momento en que se extinga la obligación por cualquier modo”.

En resumen, con base en el artículo 13 de la Ley Estatutaria 1266 de 2008, la Corte estableció las siguientes reglas de permanencia de los datos negativos en las centrales de riesgo: (i) la caducidad del dato financiero, en caso de que la mora haya ocurrido en un lapso inferior a dos años, no podrá exceder el duplo de la mora, (ii) si el titular de la obligación cancela las cuotas o el total de la obligación vencida en un lapso que supera los dos años de mora, el término de caducidad será de cuatro años contados a partir de la fecha en que éste cumple con el pago de su obligación y, (iii) tratándose de obligaciones insolutas, el término de caducidad del reporte negativo también será de cuatro años, contado a partir de que la obligación se extinga por cualquier modo. 6.

Contenido y alcance del derecho fundamental de petición El texto constitucional consagra en el artículo 23 que “toda persona tiene derecho a presentar peticiones respetuosas a las autoridades por motivos de interés general o particular”. Asimismo, establece la correlativa obligación por parte de las autoridades, de otorgar una respuesta clara, de fondo y oportuna.

De ésta manera, pueden identificarse los componentes elementales del núcleo conceptual del derecho de petición que protege la Carta Fundamental de 1991, consistentes en (i) la pronta contestación de las peticiones formuladas ante la autoridad pública, que deberá reunir (ii) los requisitos de suficiencia, efectividad y congruencia para que se entienda que (iii) ha resuelto de fondo y satisfecho la solicitud del petente.

La Corte Constitucional ha expresado que una respuesta es suficiente cuando resuelve materialmente la petición y satisface los requerimientos del solicitante, sin perjuicio de que la respuesta sea negativa a las pretensiones del peticionario; es efectiva si la respuesta soluciona el caso que se plantea (artículos 2, 86 y 209 Constitucionales); y es congruente si existe coherencia entre lo respondido y lo pedido, de tal manera que la solución a lo pedido verse sobre lo preguntado y no sobre un tema semejante o relativo al asunto principal de la petición, sin que se excluya la posibilidad de suministrar información adicional que se encuentre relacionada con la petición propuesta.

El máximo órgano guardián de la constitución ha consolidado la jurisprudencia sobre el derecho de petición en las sentencias T –377 de 2000 y T – 1060A de 2001, en donde fueron identificados los componentes conceptuales básicos del derecho, de la siguiente manera: “(i) El derecho de petición es fundamental y determinante para la efectividad de los mecanismos de la democracia participativa, garantizando a su vez otros derechos constitucionales, como los derechos a la información, a la participación política y a la libertad de expresión;

(ii) el núcleo esencial del derecho de petición reside en la resolución pronta y oportuna de la cuestión; (iii) la petición debe ser resuelta de fondo, de manera clara, oportuna, precisa y congruente con lo solicitado; (iv) la respuesta debe producirse dentro de un plazo razonable, el cual debe ser lo más corto posible; (v) la respuesta no implica aceptación de lo solicitado ni tampoco se concreta siempre en una respuesta escrita;

(vi) este derecho, por regla general, se aplica a entidades estatales, y en algunos casos a los particulares; (vii) el silencio administrativo negativo, entendido como un mecanismo para agotar la vía gubernativa y acceder a la vía judicial, no satisface el derecho fundamental de petición pues su objeto es distinto. Por el contrario, el silencio administrativo es la prueba incontrovertible de que se ha violado el derecho de petición;

(viii) el derecho de petición también es aplicable en la vía gubernativa; (ix) la falta de competencia de la entidad ante quien se plantea, no la exonera del deber de responder; y (x) ante la presentación de una petición, la entidad pública debe notificar su respuesta al interesado”. (Negrilla y subrayado fuera de texto) Por lo expuesto, el derecho de petición es vulnerado cuando la entidad (i) no resuelve de fondo lo pedido, cuando (ii) no profiere una pronta respuesta, de acuerdo a los términos que directamente fije el legislador, o iii) cuando no se notifica la respuesta al interesado.

Bajo ese contexto se expidió la Ley 1755 de 30 de junio de 2015 “Por medio de la cual se regula el derecho fundamental de petición y se sustituye un título del código de procedimiento administrativo y de lo contencioso administrativo”, la cual en sus artículos 13 y 14 consagró: “Artículo 13. Objeto y Modalidades del Derecho de Petición ante Autoridades.

Toda persona tiene derecho a presentar peticiones respetuosas a las autoridades, en los términos señalados en este Código, por motivos de interés general o particular, y a obtener pronta resolución completa y de fondo sobre la misma. Toda actuación que inicie cualquier persona ante las autoridades implica el ejercicio del derecho de petición consagrado en el artículo 23 de la Constitución Política, sin que sea necesario invocarlo.

Mediante él, entre otras actuaciones, se podrá solicitar: el reconocimiento de un derecho, la intervención de una entidad o funcionario, la resolución de una situación jurídica, la prestación de un servicio, requerir información, consultar, examinar y requerir copias de documentos, formular consultas, quejas, denuncias y reclamos e interponer recursos.

El ejercicio del derecho de petición es gratuito y puede realizarse sin necesidad de representación a través de abogado, o de persona mayor cuando se trate de menores en relación a las entidades dedicadas a su protección o formación”. “Artículo 14. Términos para resolver las distintas modalidades de peticiones. Salvo norma legal especial y so pena de sanción disciplinaria, toda petición deberá resolverse dentro de los quince (15) días siguientes a su recepción. Estará sometida a término especial la resolución de las siguientes peticiones: 1.

Las peticiones de documentos y de información deberán resolverse dentro de los diez (10) días siguientes a su recepción. Si en ese lapso no se ha dado respuesta al peticionario, se entenderá, para todos los efectos legales, que la respectiva solicitud ha sido aceptada y, por consiguiente, la administración ya no podrá negar la entrega de dichos documentos al peticionario, y como consecuencia las copias se entregarán dentro de los tres (3) días siguientes. 2.

Las peticiones mediante las cuales se eleva una consulta a las autoridades en relación con las materias a su cargo deberán resolverse dentro de los treinta (30) días siguientes a su recepción.

PARÁGRAFO. Cuando excepcionalmente no fuere posible resolver la petición en los plazos aquí señalados, la autoridad deberá informar esta circunstancia al interesado, antes del vencimiento del término señalado en la ley expresando los motivos de la demora y señalando a la vez el plazo razonable en que se resolverá o dará respuesta, que no podrá exceder del doble del inicialmente previsto.

(Negrilla fuera de texto). Bajo esa óptica, se establece el plazo de 15 días como regla general para resolver los derechos de petición tanto en interés general como particular, en tanto que las peticiones referentes a informaciones o documentos deben resolverse en un plazo máximo de 10 días; cuando la solicitud se eleva en la modalidad de consulta, el plazo de respuesta es de 30 días. -Por otro lado, y ante la declaratoria del estado de excepción de Emergencia Económica, Social y Ecológica mediante los decretos legislativos 417 de 17 de marzo de 2020 y 637 de 6 de mayo de 2020, se profirió el Decreto Legislativo 491 de 2020 “Por el cual se adoptan medidas de urgencia para garantizar la atención y la prestación de los servicios por parte de las autoridades públicas y los particulares que cumplan funciones públicas y se toman medidas para la protección laboral y de los contratistas de prestación de servicios de las entidades públicas, en el marco del Estado de Emergencia Económica, Social y Ecológica”; que reguló entre otras materias, lo relativo a la ampliación de términos para atender peticiones que se encuentren en curso o se radiquen durante la vigencia de la emergencia sanitaria.

Ciertamente, el artículo 5º ibidem dispone lo siguiente: “…Ampliación de términos para atender las peticiones. Para las peticiones que se encuentren en curso o que se radiquen durante la vigencia de la Emergencia Sanitaria, se ampliarán los términos señalados en el artículo 14 de la Ley 1437 de 2011, así: Salvo norma especial toda petición deberá resolverse dentro de los treinta (30) días siguientes a su recepción. Estará sometida a término especial la resolución de las siguientes peticiones: (i) Las peticiones de documentos y de información deberán resolverse dentro de los veinte (20) días siguientes a su recepción. (ii) Las peticiones mediante las cuales se eleva una consulta a las autoridades en relación con las materias a su cargo deberán resolverse dentro de los treinta y cinco (35) días siguientes a su recepción. Cuando excepcionalmente no fuere posible resolver la petición en los plazos aquí señalados, la autoridad debe informar esta circunstancia al interesado, antes del vencimiento del término señalado en el presente artículo expresando los motivos de la demora y señalando a la vez el plazo razonable en que se resolverá o dará respuesta, que no podrá exceder del doble del inicialmente previsto en este artículo.

En los demás aspectos se aplicará lo dispuesto en la Ley 1437 de 2011. Parágrafo. La presente disposición no aplica a las peticiones relativas a la efectividad de otros derechos fundamentales”. La Corte Constitucional declaró ajustado a derecho el mencionado decreto, con excepción del artículo 12, el parágrafo 1º del artículo 6º y la expresión “de los pensionados y beneficiarios del Fondo Nacional de Prestaciones Sociales -FOMAG” contemplada en el inciso 2º del artículo 7º; según informa la página de noticias de esa Corporación, por las siguientes razones: “(…) Con ponencia del Magistrado, Luís Guillermo Guerrero, la Sala Plena consideró que las disposiciones del Decreto 491 de 2020, salvo el Artículo 12 y los apartados sindicados de los artículos 6º y 7º, se ajustan, en términos generales, al ordenamiento superior, puesto que atienden a los presupuestos formales y materiales establecidos en el derecho positivo (Constitución Política, Ley 137 de 1994 y tratados internacionales sobre derechos humanos).

Por su parte, se condicionó el artículo 5° bajo el entendido de que la ampliación de términos que contempla para solucionar las peticiones es extensible a los privados que deben atender solicitudes, pues, de conformidad con la legislación vigente sobre la materia, se encuentran en una situación similar a la de las autoridades(…)” – Negrilla del texto original –. 7.

Solución del caso concreto Como se mencionó en las consideraciones, y de acuerdo a los principios constitucionales de la administración de datos personales de la libertad y de la circulación restringida, los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo y expreso del titular, de tal forma que se encuentra prohibida la obtención y divulgación de los mismos de manera ilícita, como sería el caso de no tener la previa autorización del titular.

Por su parte la circulación de la información está sometida a los límites específicos determinados por el objeto de la base de datos, por la autorización del titular y por el principio de finalidad, de tal forma que queda prohibida la divulgación indiscriminada de los datos personales. También se debe resaltar que la fuente de información, en este caso el ICETEX, puede suministrar el dato personal, siempre y cuando cuente con autorización previa legal o del titular, al operador de la información (DATACREDITO- CIFIN S.A), teniendo que responder por la calidad de los datos que entrega.

Así pues, hay dos requisitos que deben observarse para que proceda el reporte negativo, éstos son: (i) la veracidad y la certeza de la información; y, (ii) la necesidad de autorización expresa, previa, clara, escrita, concreta y libremente otorgada por el titular del dato, para poder realizar el reporte del dato financiero negativo, con el fin de que el titular de la información tenga la posibilidad de conocer, actualizar y rectificar las informaciones que se hayan recopilado en las centrales de riesgo.

En esa medida, cuando el titular de la información encuentre que no ha dado su autorización para el reporte, estaría facultado, debido al incumplimiento de ese requisito, para reclamar la exclusión del dato”. En efecto, el objetivo de la citada previsión es permitir que luego de notificar la existencia de la información negativa y la intención de ser reportado, la fuente de la información pueda transmitir el dato negativo al operador, luego de cumplido el término de veinte (20) días calendario siguientes a la fecha del envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información, o del envío de un mensaje de datos, cuando así se haya pactado con el titular de la información. Sobre el particular, en el expediente está acreditado lo siguiente: -Oficios emitidos por el ICETEX en agosto de 2017 y el 14 de diciembre de 2018, suscritos por la Coordinación Grupo de Administración Cartera -vicepresidencia de operaciones y tecnología, dirigido al actor a la calle 18-5-05 de Duitama, mediante los cuales se notifica la mora de la obligación nº 0171037086-5, en los que se indica lo siguiente: “…sin embargo, revisando nuestros registros de cartera, hemos identificado que la(s) obligación(es) a su cargo como Deudor Principal ó Deudor Solidario, presenta(n) mora.

Si requiere de mayor información no dude en contactarnos a través de nuestro portal web www.icetex.gov.co en el link de Atención al Ciudadano. Si pasados veinte (20) días calendario a partir de la fecha de esta comunicación persiste el incumplimiento, el ICETEX se verá obligado a reportar negativamente ante las centrales de información financiera y/o Boletín de Deudores Morosos del Estado, tanto al Deudor Principal como al Deudor Solidario.

Este reporte negativo permanecerá durante el tiempo que indica la Ley 1266 de 2.008 (Ley de Hábeas Data), por lo que lo invitamos a poner al día sus obligaciones con el ICETEX”. - Envío nº ME6209924117CO de 14 de septiembre de 2017, remitente el ICETEX, destinatario el actor a la dirección calle- 18 -05-05, entregado el 15 de septiembre 2017.

Y la certificación de envío realizado al correo electrónico 13edwin844@gmail.com, hecho el 20 de diciembre de 2018, por parte del ICETEX. De la relación de las anteriores pruebas salta a la vista que el ICETEX notificó al actor en dos oportunidades, primero el 15 de septiembre 2017 a la dirección física del actor, la calle 18 #05-05 de Duitama y el 20 de diciembre de 2018 a través de mensaje de datos, indicando que la obligación nº 0171037086-5 se encontraba en mora y que si pasados veinte (20) días calendario a partir de la fecha de esas comunicaciones persistía el incumplimiento, sería reportado negativamente por la fuente (ICETEX) ante las centrales de información financiera y/o Boletín de Deudores Morosos del Estado.

Por lo expuesto, la Sala no advierte que se haya vulnerado los derechos fundamentales al debido proceso y al habeas data del accionante por supuestamente reportar información negativa a DATACREDITO y a la CIFIN S.A, sin contar con su autorización previa, de que trata el artículo 12 de la Ley 1266 de 2008, ya que está plenamente probado que el ICETEX previo a hacer el reporte a los operadores demandados, le envió dos comunicaciones al accionante con el fin de que se pusiera al día en su obligación, advirtiendo en ambas, que el reporte se haría veinte (20) días calendario siguientes a la fecha de su envío, es decir, a partir del 15 de septiembre 2017 y del 20 de diciembre de 2018.

Por otra parte, el accionante también alega que no se acreditó que hubiera autorizado el envío de la comunicación previa por medio de mensaje de datos, de acuerdo con el artículo 2.2.2.28.2 del Decreto 1074 de 2015 "Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”. Efectivamente, en el expediente está probado que la comunicación previa se envió a través de mensaje de datos, el 20 de diciembre de 2018, al correo electrónico del accionante y también a la dirección de domicilio del actor (la calle 18 #05-05 de Duitama), que se encontraba registrada en los archivos de la fuente de la información (ICETEX), la que se realizó el 15 de septiembre 2017, de acuerdo con el envío nº ME6209924117CO.

Por lo expuesto, no es de recibo para la Sala que el demandante afirme que no se realizó la citada comunicación previa, de que trata el artículo 12 de la Ley 1266 de 2008, y a la vez cuestione la forma de notificación de la misma, que como se acreditó se realizó desde el 2017 a la dirección física del demandante, de acuerdo con el inciso 3º del artículo 12 de la Ley 1266 de 2008.

Además, está plenamente probado que accionante junto con el deudor solidario suscribieron el pagaré nº 1052385352, autorizando que “QUINTO:… irrevocablemente al ICETEX o a quien represente sus derechos u abstente en el futuro la calidad de acreedor para reportar, procesar, solicitar, suministrar y divulgar a la Central de Información del Sector Financiero que administra la Asociación Bancaria y de entidades financieras de Colombia, a cualquier otra entidad que administre o maneje bases de datos pública o privada o a cualquier entidad financiera, todo lo relativo a la información comercial de que se disponga en cualquier tiempo y al cumplimiento o no de mis obligaciones presentes, pasadas y futuras en los términos legales”.

Además, el ICETEX expidió certificación el 13 de julio de 2021, en la que se hace constar lo siguiente: “En atención al requerimiento del beneficiario con relación a los reportes que reposan ante los operadores de información crediticia DATACREDITO y TRANSUNION, nos permitimos informar: 8.1. La autorización previa para efectuar reportes ante los operadores de información crediticia fue otorgada por el beneficiario y deudor solidario, mediante la firma del pagaré de la obligación, otorgó la autorización previa y expresa para generar reportes ante las centrales de riesgo, relacionada en la cláusula QUINTA de la siguiente forma: … Que la obligación presentó mora de manera consecutiva en los siguientes periodos: - Marzo a junio de 2015.

(mora de 109 días) - Agosto a noviembre de 2015. (mora de 79 días) - Enero a mayo de 2017. (mora de 490 días) - Septiembre de 2017 hasta marzo de 2018 (mora de 222 días) - Diciembre de 2018 hasta marzo de 2020 (mora de 506 días) …” Por lo dicho no se aprecia que se haya vulnerado el derecho fundamental al debido proceso y al habeas data del demandante.

Por otro lado, se analizará si a DATACRÉDITO le compete actualizar y rectificar la información de sus bases de datos directamente, o si como lo alegan, debe existir un reporte previo de novedad por parte de la fuente de información que en el presente caso es el ICETEX. De acuerdo con el artículo 16 de la Ley 1266 de 2008 los titulares de la información están habilitados para reclamar tanto de la fuente (ICETEX) como del operador de la información (DATACREDITO – CIFIN S.A) la corrección o actualización de la misma.

Dicha disposición jurídica también consagra que en casos de que la fuente de información sea independiente del operador, que este deberá dar traslado del reclamo a la fuente (ICETEX), para que se pronuncie, advirtiendo que la respuesta deberá darse al titular por parte del operador. En los casos en que el reclamo se presente ante la fuente de información, aquella deberá resolver directamente el reclamo, pero también deberá informar al operador sobre la recepción del mismo, para que se pueda incluir la leyenda “reclamo en trámite” Por otro lado, la Corte Constitucional en la sentencia C- 1011 de 2008, MP.: Jaime Córdoba Triviño, concluyó que luego de la recepción del dato transmitido por la fuente, el operador adquiere deberes específicos respecto a la protección del derecho al hábeas data del sujeto concernido, lo que incorpora obligaciones concretas en cuanto a la calidad de los datos, luego de la transmisión. Por las razones expuestas, y contrario a lo expuesto por DATACRÉDITO, la Sala estima que le compete actualizar y rectificar la información que tenga de los titulares de la información en sus bases de datos directamente, sin necesidad de que haya un reporte previo de novedad de la fuente de información, que en el presente caso, es el ICETEX, en caso de que el actor así lo solicite y sea permitente, ya que, a partir de que recibe la información que le remite la fuente de información es responsable del contenido de la misma.

Por otro lado, se determinará si la CIFIN vulneró el derecho fundamental de petición del actor, y si así fue, si se configuró la carencia actual de objeto por hecho superado. Al respecto, en el expediente está probado el actor sólo presentó derecho de petición ante la fuente de información, ICETEX, el 21 de mayo de 2021, vía electrónica, radicado ante dicha entidad con el nº CAS 11586641-L2J3M9, mediante el cual solicitó lo siguiente: “…en forma respetuosa, acudo a ustedes para solicitar mi historia registrada en sus bases de datos y su respectiva modificación y/o eliminación de todo reporte negativo, ya que nunca fui notificado por escrito como lo ordena la ley en su artículo 12, donde la fuente de la información debe poseer un acuse de recibo donde demuestre que notifico por escrito al titular veinte días antes de generar el reporte negativo, por el histórico de mora que he tenido con mi obligación con ICETEX. … Solicito prueba del envío de la comunicación previa que en cumplimiento de la ley 1266 de 2008, el Decreto 2555 del 2010 y el artículo 2.2.2.28.2 del Decreto 1074 de 2015 debía hacerme, a la cual pueda otorgársele algún valor probatorio para validar el cumplimiento del deber de que trata las normas anteriormente mencionadas, por ejemplo: una copia de la guía de envío o de mensaje de correo electrónico, que la comunicación previa fue efectivamente remitida la dirección residencia o de correo electrónico que se encontraba registrada en los archivos de la entidad y recibida por mi como titular de mi información financiera … En caso de que la comunicación haya sido emitida utilizando un medio electrónico solicito se me (sic) allegado documento que acredite que se pactó con la entidad que dicho medio podría usarse para dar cumplimiento al artículo 12 de la ley 1266 de 2008, tal y como lo establece el artículo 2.2.2.28.2 del decreto 1074 del 2015… …” (Subrayado y negrilla fuera de texto).

También se encuentra en el expediente la respuesta dada por la CIFIN al actor el 27 de julio de 2021, en la que se advierte que se responde el derecho de petición en cumplimiento de la sentencia del 23 de julio de 2021 proferida por el a quo, pese a desconocer la solicitud por el actor ante sus oficinas, en los siguientes términos: “4. De acuerdo con los numerales 2 y 3 del artículo octavo de la Ley 1266 de 2008, el Operador (TransUnion®) no puede modificar, actualizar, rectificar y/o eliminar la información de manera unilateral o sin instrucción previa de la Fuente; es decir, que las entidades que ostentan la facultad de actualizar, rectificar y/o eliminar la información y reportarla al Operador de información son las Fuentes de información. Aclarado lo anterior, debemos informarle que revisado su reporte de información financiera, comercial, crediticia y de servicios el día 27 de julio de 2021 siendo las 09:21:54, respecto de la obligación No. 7086-5 reportada con la fuente de información ICETEX se encuentra vigente y al día, con un pago el 31/03/2020 luego de que se nos reportara una mora con vector de comportamiento 12, es decir una altura de mora entre 360 a 539 días de mora; en consecuencia, el dato en nuestra entidad deberá permanecer visible en cumplimiento del artículo 13 de la Ley 1266 de 2008 hasta el 21/03/2022.

Ahora bien, debemos señalar que el cómputo de permanencia de las obligaciones en TransUnion® puede variar frente al de otros operadores, y lo importante es que se respetan los términos máximos de permanencia de los datos negativos permitidos por el artículo 13 de la Ley 1266 de 2008 y la regulación concordante. Para entender lo anterior, debemos precisar que ante TransUnion® el tiempo o la edad de mora se reporta en vectores de comportamiento para estandarizar y mejorar el análisis de la información, lo cual incluso es más benéfico a los titulares de la información. En virtud de lo anterior, nótese que a nosotros la fuente (ICETEX) nos reporta un vector 12 de comportamiento, que se repite significa una altura de mora entre 360 a 539 días de mora, lo cual es coherente con los 15 meses de mora (450 días de mora) que indica el ICETEX ante otro operador, pues tales meses de mora están comprendidos dentro de dicho vector 12. … En efecto, ante nuestra entidad el dato negativo permanecerá menos tiempo, esto es, hasta el marzo de 2022 y no hasta septiembre de 2022 como en otros operadores de datos.

Nótese, que tal cómputo respeta el término máximo de permanencia del dato negativo que es máximo el doble de la mora, que en nuestro caso se computa con el inicio del vector 12 que parte de los 360 días de mora de mora, por ende, su duplo nos dará alrededor de 720 días, de ahí la explicación de por qué ante nosotros la permanencia va del 31/03/2020 al 21/03/2022 y no hasta septiembre de 2022”.

Por ende, la Sala no advierte que la CIFIN S.A haya vulnerado el derecho fundamental de petición del actor, no obstante, y en cumplimiento del fallo proferido por el a quo, notificó al actor la mencionada respuesta electrónicamente, a las direcciones crd202118@gmail, ceroreportesya@gmail, el 27 de julio de 2021. También se aprecia que la orden que dio el juez de primera instancia lo que pretende es proteger el derecho al habeas data, razón por la que ordenó a la CIFIN S.A y a DATACRÉDITO “realizar un pronunciamiento de fondo dirigido a Edwin Rolando Tiria en el que indiquen, con toda la claridad del caso, los periodos sobre los cuáles se aplicó el reporte negativo en las centrales y la fecha en que este reporte será retirado de la base de datos…”, por lo tanto no hay lugar a revocar el inciso 2º del ordinal 3º del fallo impugnado.

Por último, se analizará si la CIFIN vulneró el derecho fundamental al habeas data al accionante, al establecer de acuerdo a su metodología, un término de caducidad del reporte negativo inferior al máximo consagrado en la ley, esto es, hasta marzo de 2022, y no hasta septiembre del mismo año, como lo certifica DATACREDITO y comparte el a quo.

Como se mencionó en las consideraciones, el artículo 13 de la Ley 1266 de 2008 consagra que los datos cuyo contenido haga referencia a una situación de incumplimiento de obligaciones, se regirán por un término máximo de permanencia, vencido el cual deberá ser retirada de los bancos de datos por el operador, de forma que los usuarios no puedan acceder o consultar dicha información. Además, la Corte Constitucional en la sentencia C- 1011 de 2008 también consideró que “la caducidad del dato financiero en caso de mora inferior a dos años, no podrá exceder el doble de la mora”.

En virtud de lo anterior se puede concluir que la afectación del derecho fundamental de habeas data, respecto al principio de caducidad del dato financiero negativo, se produce cuando la información desfavorable del titular permanece en las bases de datos de los operadores de información, con acceso a consulta del público, de forma definitiva o exceda el término máximo de permanencia. Así pues, en el presente caso no se advierte vulneración alguna por parte de la CIFIN S.A., por cuanto el dato negativo permanecerá menos tiempo, esto es, hasta marzo de 2022 y no hasta septiembre de 2022 como en otros operadores de datos, que de paso se dirá tampoco superan el tope máximo de permanencia, que en el presente caso sería hasta septiembre de 2022, aunado a que los operadores de información son autónomos en la información contenida en sus bases de datos para efectos del reporte negativo, siempre y cuando no vulneren el término máximo de permanencia establecido en la ley y en la jurisprudencia. Por las razones expuestas, se revocará el inciso primero del ordinal 3º del fallo proferido por el Juzgado Trece Administrativo del Circuito de Tunja, mediante el cual se ordenó a la CIFIN S.A.S. (TransUnion®) y a Experian Colombia S.A Datacredito, que actualizaran y rectificaran la información de sus bases de datos en relación con los periodos sobre los cuáles se aplicó el reporte negativo en las centrales y la fecha en que este reporte será retirado de la base de datos, al evidenciar una imprecisión en la fecha de caducidad del reporte negativo.

En lo demás se confirmará el fallo impugnado. En mérito de lo expuesto, el Tribunal Administrativo de Boyacá, en Sala de Decisión No. 2, administrando justicia en nombre de la República de Colombia y por autoridad de la ley, FALLA PRIMERO. CONFIRMAR la sentencia proferida por el Juzgado Trece Administrativo Oral de Circuito de Tunja, el 23 de julio de 2021, excepto el inciso primero del ordinal 3º que SE REVOCA, por las razones expuestas.

SEGUNDO. Dentro de los diez días siguientes a la ejecutoria de este fallo, conforme lo consagra el artículo 32 del Decreto 2591 de 1991 y para su eventual revisión, envíese a la Corte Constitucional, a través de los medios electrónicos, únicamente la demanda de tutela, los fallos de primera y segunda instancia, el escrito de impugnación, sin perjuicio que la Corte solicite posteriormente documentos complementarios, conforme lo consagra el artículo 31 del Decreto 2591 de 1991.

TERCERO. Remítase copia de esta providencia al juzgado de origen. Notifíquese y cúmplase      Esta providencia fue estudiada y aprobada en Sala de decisión No 2 de la fecha. LUIS ERNESTO ARCINIEGAS TRIANA   Magistrado      JOSE ASCENCIÓN FERNÁNDEZ OSORIO    Magistrado   DAYÁN ALBERTO BLANCO LEGUÍZAMO     Magistrado