Conceptos de la Superintendencia Financiera 

Concepto 2009029082-02 del 2 de junio de 2009

Síntesis: La Ley 1266 de 2008 es una regulación del derecho del hábeas data con un carácter sectorial y sus “consecuencias jurídicas” no se extienden a otros escenarios de protección de datos personales  pues los mecanismos concretos que contiene desarrollan el ejercicio de las garantías constitucionales en la recopilación, almacenamiento y circulación de información de contenido financiero, comercial y crediticio “con el fin de determinar el nivel de riesgo” en el otorgamiento de financiación. Su aplicación se circunscribe a ese orden en particular y no a otro de carácter general.

«(…) En atención a la consulta que usted formula en relación con el campo de aplicación de la Ley de Hábeas Data a la información de carácter personal que reposa en las bases de datos, se considera del caso efectuar los siguientes comentarios:

En primer lugar, es importante precisar que con la expedición de la Ley 1266 de 2008 se constituyó una regulación parcial de los derechos, libertades y garantías constitucionales relacionados con la recolección, tratamiento y circulación de los datos personales a que se refieren los artículos 15 y 20 de la Constitución Política.

Así se advierte de los términos utilizados por el legislador estatutario al establecer en el artículo 1º de la mencionada normatividad que el objeto de sus disposiciones es desarrollar tales derechos “particularmente” en lo concerniente a “la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países”. 

A la misma conclusión conduce la lectura de las previsiones contenidas en los títulos IV, V, VI y VII de la precitada legislación, que dan cuenta de la especialización de sus preceptos. En efecto, aquellos se ocupan de fijar regulaciones que sólo resultan aplicables a la administración de datos personales de las características anotadas, específicamente los que registran el nivel de cumplimiento del pago de obligaciones dinerarias.

Interesa manifestar que, tal y como se destaca en su comunicación, sobre los anteriores aspectos, entre otros, se pronunció la Corte Constitucional cuando se encargó de analizar la constitucionalidad material del Proyecto de Ley Estatutaria No. 221 Cámara, 027 de 2006 Senado, acumulado con el número 5 de 2006 Senado, convertido hoy en ley de la República con el alcance fijado en la Sentencia C-1011 del 16 de octubre de 2008 de esa Corporación.

Es de anotar que en dicha oportunidad, esa Autoridad demostró, a partir de argumentos de naturaleza sistemática, teleológica e histórica, que la antedicha es una regulación del derecho del hábeas data con un carácter sectorial y, por ende, sus “consecuencias jurídicas” no se extienden a otros escenarios de protección de datos personales. Ello, en la medida en que los mecanismos concretos contenidos en la misma desarrollan exclusivamente el ejercicio de las consabidas garantías constitucionales en la recopilación, almacenamiento y circulación de información de contenido financiero, comercial y crediticio “con el fin de determinar el nivel de riesgo” en el otorgamiento de financiación. Especialmente, la Corte concluyó en torno al tema que:

... el entendimiento acertado del Proyecto de Ley es el de un régimen particular y específico, dirigido a la fijación de reglas para la administración de datos personales financieros, comerciales y crediticios, con exclusión de otras modalidades de ejercicio del derecho al hábeas data.  Por lo tanto, se advierte que en relación con esos escenarios distintos, no existe una disposición jurídica respecto de la cual pueda predicarse la omisión legislativa, pues no concurre para el presente caso una regulación genérica del derecho fundamental al hábeas data, la cual hubiera excluido injustificadamente un supuesto o consecuencia jurídica cuya inclusión fuera constitucionalmente obligatoria. Además, la presunta omisión legislativa relativa no se dirige en contra de una disposición legal en específico, sino ante un sistema de normas que regula integralmente un ámbito del ejercicio del derecho al hábeas data, lo que del mismo modo impide un pronunciamiento de la Sala sobre la materia.

Finalmente, la Corte debe advertir que lo anterior no significa, como lo consideran algunos de los intervinientes, que los demás ámbitos de ejercicio del derecho fundamental al hábeas data queden, en virtud de la promulgación de la ley estatutaria, excluidos de protección jurídica. En contrario, la Sala considera imprescindible expresar de antemano, como lo hará a propósito del análisis de constitucionalidad del artículo 2º del Proyecto de Ley, que las distintas modalidades de administración de datos personales, como es el caso de la recopilación, tratamiento y circulación de datos en materia de seguridad social, asuntos tributarios, la realizada por las instituciones de inteligencia y seguridad del Estado, el registro mercantil, las bases de datos de naturaleza tributaria, etc., continúan cobijadas por las garantías contenidas en el artículo 15 de la Constitución y desarrolladas por la jurisprudencia de la Corte, en ejercicio de las competencias previstas en el artículo 241 C.P.

De otro lado, en cuanto a las inquietudes expuestas en los puntos 2 y 3 de la consulta, alusivas a las disposiciones contenidas en los artículos 4 a 9 de la Ley 1266 de 2008 y a su alcance, se tiene que por fuerza éste se deduce del contexto de la regulación a que aquellas pertenecen. Dicho de otra manera, como quiera que tales normas corresponden a un ámbito específico de protección del derecho de hábeas data (información de carácter financiero, comercial y crediticio), su aplicación se circunscribe a ese orden en particular y no a otro de carácter general.

Una opinión en favor de la aplicabilidad de los postulados en comento a “cualquier clase de dato personal”, en nuestro entender, conduciría al contrasentido de reconocer un amplio radio de acción a una fracción del articulado de un cuerpo normativo limitado. Luego, sería un error considerar que algunas de las reglas concebidas para el acopio, divulgación y manejo de la información de rango “sectorial”, las cuales, como lo ha subrayado la Corte Constitucional, no constituyen en conjunto la reglamentación completa de la materia sino su desarrollo parcial, resulten de común observancia y obligatorio cumplimiento para la administración de todo tipo de datos.

(…).»