Ley Estatutaria 2157 de 29 de octubre de 2021 (por medio de la cual se modifica la Ley 1266 de 2008)
El artículo 24 de la Ley 2155 de 2021[1] creó el incentivo a la generación de nuevos empleos (en adelante el “Incentivo de Nuevos Empleos”) con el objetivo de mitigar los efectos socioeconómicos asociados a la pandemia del Covid-19 y reactivar la generación del empleo formal, que permitirá financiar costos laborales como los pagos de seguridad social y parafiscales, y el cual, estará dirigido a los empleadores que generen nuevos empleos mediante la contratación de trabajadores adicionales. Así, quedó en manos del Gobierno Nacional reglamentar esta norma y de ahí que el Ministerio del Trabajo haya proferido el Decreto 1399 de 2021 (en adelante el “Decreto”).
1. ¿Qué es el Habeas Data Financiero?
En primer término consideramos importante precisar el concepto de dato financiero: (i) Para los fines de la regulación del derecho al habeas data, un dato personal se refiere a información sobre aspectos exclusivos y propios de una persona que permiten identificarla, y (ii) un dato personal es financiero cuando dicha información es financiera o comercial y se destina para calcular el riesgo crediticio de las personas. Ahora bien, el habeas data financiero es el derecho fundamental y autónomo de las personas de ejercer prerrogativas sobre su Información y los parámetros mínimos a los que se deben someter los titulares de la Información y los operadores de las bases de datos financieros. En relación con el habeas data financiero deben tenerse en cuenta los siguientes aspectos señalados en la Sentencia C-282 de 2021:
- La actividad financiera es un asunto de interés público.
- El habeas data financiero comprende la recopilación de información de bases de datos creadas para establecer perfiles de riesgo de los usuarios del sistema financiero.
- El rol de los bancos de datos es de gran importancia en el sentido de que su actividad incide directamente en el acceso a mecanismos de financiación y, en general, a la libertad económico de las personas.
- Derivado del derecho de autodeterminación informativa del artículo 15 de la constitución política de Colombia, se encuentra el derecho a la caducidad de los datos negativos.
- Debe existir una limitación temporal hacia el pasado con el fin de no afectar de manera indefinida la vida crediticia de las personas por incumplimientos pasados.
- Como consecuencia del derecho de caducidad de los datos negativos y la limitación temporal de los datos negativos, existe el “derecho al olvido” del titular de la información.
- La información que pongan en circulación las centrales de riesgo debe referirse únicamente al comportamiento crediticio de la persona y debe ser útil y pertinente para el cálculo del riesgo financiero de la persona.
- La información falsa, incompleta, caduca o desactualizada de las bases de datos constituye un ejercicio arbitrario de la facultad de procesamiento de los datos financieros, y puede ocasionar perjuicios graves e irreversibles a sus titulares, por lo que es necesario establecer límites razonables que permitan ejercer los derechos a la honra, la intimidad y el buen nombre de las personas.
De esta manera, el manejo de la Información debe hacerse con especial cuidado no solo respecto de la veracidad y actualización de la información, sino también teniendo especial consideración sobre las limitaciones temporales sobre el mantenimiento de dicha información en las bases de datos y la preservación del derecho al olvido.
2. Principales modificaciones introducidas por la Ley 2157 de 2001
2.1. Obligatoriedad de enviar al deudor una comunicación previa de reportes negativos
Antes de hacer cualquier reporte negativo de calificaciones, récords (scorings-score), o cualquier tipo de medición financiera, comercial o crediticia, la entidad reportante deberá enviar una comunicación previa al titular de la información (con una anticipación mínima de 5 días hábiles) a la fecha de reporte del dato negativo. Los datos negativos de obligaciones de valores inferiores al 15% de un salario mínimo legal mensual vigente que se han constituido en mora solo serán reportados después de cumplirse con al menos dos comunicaciones previas, ambas en días diferentes. Entre la última comunicación y el reporte deben haber transcurrido, como mínimo, 20 días calendario. Las consecuencias de no cumplimiento de la obligación de enviar comunicación previa a la realización del reporte negativo al deudor son las siguientes:
- Si no se envió la comunicación previa y la obligación o cuota ya fue extinguida, el reporte negativo deberá ser retirado de inmediato.
- Si no se envió la comunicación previa y no se ha extinguido la obligación o cuota, se deberá retirar el reporte y cumplir con la comunicación antes de realizarlo nuevamente.
Los operadores de información deberán disponer de una aplicación digital y gratuita, para que los titulares de información, previa validación, registren su correo electrónico y reciban comunicaciones cuando se reporta una nueva obligación en la historia de crédito.
2.2. Permanencia máxima de la Información en centrales de riesgo – Caducidad
La Información de carácter positivo permanecerá de manera indefinida en bancos de datos de los operadores de información; mientras que, los datos referentes a incumplimientos de obligaciones[1] se regirán por un tiempo máximo de permanencia, después del cual deberán ser completamente eliminados de los bancos de datos. Dicho tiempo de permanencia será el doble del tiempo de mora y máximo 4 años desde la fecha en que sean pagadas las cuotas vencidas o se extinga la obligación.
Por otra parte, los datos de incumplimiento caducarán a los 8 años desde la fecha de mora de la obligación. Cumplido este término, se deben eliminar de las bases de datos. Este es uno de los aspectos más importantes en la medida en que aún si la obligación continúa en incumplimiento, el reporte negativo asociado a esa obligación se deberá eliminar.
La Información negativa de los titulares se reportará máximo 18 meses después de la constitución en mora del titular, es decir, que, una vez vencido este término, ya no se puede hacer el reporte negativo.
2.3. Derecho de los usuarios a consultar su Información
Los titulares pueden consultar su Información en toda ocasión y por todos los medios de manera gratuita sin que dichas consultas sean causales de disminución en la calificación de riesgo, récord (scorings-score), o cualquier tipo de medición. En general, dicha consulta, no podrá alterar en nada los estudios financieros o crediticios del titular de los datos financieros.
Por otra parte, la Ley previó también que en ningún caso se podrá utilizar la Información para fines de toma de decisiones laborales y, en general, no podrá utilizarse para fines diferentes al análisis o cálculo del riesgo crediticio del titular del dato.
2.4. Titulares de datos negativos víctimas de delito de suplantación
En los casos de los titulares de datos negativos que sean o hayan sido víctimas de un delito de suplantación y hayan presentado la correspondiente denuncia penal, la fuente deberá modificar el reporte negativo reflejando que la víctima de la falsedad no es quien adquirió las obligaciones, y deberán incluir una leyenda dentro del registro personal en el correspondiente reporte que diga: “Víctima de Falsedad Personal”.
2.5. Peticiones relacionadas con datos financieros
Las peticiones o reclamos sobre el ejercicio del derecho al habeas data financiero deberán resolverse dentro de los 15 días hábiles siguientes a la fecha de su recibo. Este plazo máximo sólo puede prorrogar por 8 días hábiles más, en los casos en que no fuere posible atender la petición dentro del término máximo de 15 días hábiles, para lo cual, la entidad a quien se dirigió la petición, deberá informar al interesado, los motivos de la demora y señalar la fecha en que se atenderá su petición (sin que este plazo supere los 8 días hábiles después del vencimiento del término inicial máximo para contestar).
Si en ese lapso no se ha dado pronta resolución, se entenderá, para todos los efectos legales, que la respectiva solicitud ha sido aceptada. Si no lo hiciere, el peticionario podrá solicitar a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera de Colombia, según el caso, la imposición de las sanciones a que haya lugar, sin perjuicio de que ellas adopten las decisiones que resulten pertinentes para hacer efectivo el derecho al habeas data de los titulares.
2.6. Obligación de actualizar datos de reportes financieros
Las fuentes de información deberán reportar al operador, como mínimo una vez al mes, las novedades acerca de los datos para que éste los actualice en el menor tiempo posible.
Adicionalmente, toda Información negativa o desfavorable que se encuentre en bases de datos y se relacione con calificaciones, récord (scorings-score), o cualquier tipo de medición financiera, comercial o crediticia, deberá ser actualizada de manera simultánea con el retiro del dato negativo o con la cesación del hecho que generó la disminución de la medición.
2.7. Obligaciones objeto de reporte negativo durante la emergencia sanitaria por Covid-19
Todas aquellas obligaciones que hayan sido objeto de reporte negativo durante la emergencia sanitaria decretada por el Ministerio de Salud mediante Resolución 385 del 12 de marzo de 2020 y hasta el 31 de diciembre del 2020, no serán reportadas en los bancos de datos en este mismo período, siempre que los titulares de la obligación se hayan acercado a las entidades respectivas, en busca de una reestructuración de la obligación.
2.8. Principio de responsabilidad demostrada
Los operadores, fuentes y usuarios de la Información deben cumplir con el principio de responsabilidad demostrada, según el cual, estos sujetos deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones de habeas data financiero, en una manera proporcional a:
- Su naturaleza jurídica y su tamaño empresarial (micro, pequeña, mediana o gran empresa).
- La naturaleza de los datos personales objeto del tratamiento.
- El tipo de tratamiento.
- Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
Adicionalmente, el principio de responsabilidad demostrada establece que quienes traten datos personales financieros deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir con la regulación vigente en materia de habeas data financiero.
2.9. Políticas internas efectivas
Por otra parte, y conforme al principio de responsabilidad demostrada explicado anteriormente, los operadores, fuentes y usuarios de la Información deben contar con políticas internas efectivas que prevean mecanismos apropiados para garantizar e implementar medidas efectivas y apropiadas para garantizar:
- La existencia de una organización administrativa proporcional a su estructura y tamaño empresarial para la adopción e implementación de la regulación vigente en materia de habeas data financiero.
- La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.
- La atención y respuesta a consultas, peticiones y reclamos de los titulares en relación con el tratamiento de sus datos personales.
- La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales.[2]
Especial énfasis se debe hacer en las políticas y medidas en los deberes de asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos. Todo lo anterior, conforme a las nuevas disposiciones establecidas en la Ley.
2.10. Régimen de Transición
La Ley previó un régimen de transición para darle una oportunidad a los titulares de datos negativos reportados de ponerse al día con sus obligaciones y así poder eliminar estos registros de su Información, para lo cual estableció que:
- Los titulares de la información que extingan sus obligaciones objeto de reporte dentro de los 12 meses siguientes a la entrada en vigencia de la Ley, permanecerán con dicha información negativa en los bancos de datos por el término máximo de 6 meses contados a partir de la fecha de extinción de tales obligaciones. Cumplido este plazo de máximo 6 meses, el dato negativo deberá ser retirado automáticamente de los bancos de datos.
- Los titulares de la información que a la entrada en vigencia de la Ley hubieran extinguido sus obligaciones objeto de reporte, y cuya información negativa hubiere permanecido en los bancos de datos por lo menos 6 meses, contados a partir de la extinción de las obligaciones, serán beneficiarios de la caducidad inmediata de la información negativa.
- Los titulares que extingan sus obligaciones objeto de reporte, cuya información negativa no hubiere permanecido en los bancos de datos al menos 6 meses, después de la extinción de las obligaciones, permanecerán con dicha información negativa por el tiempo que les hiciere falta para cumplir los 6 meses contados a partir de la extinción de las obligaciones.
- En el caso de que las obligaciones registren mora inferior a 6 meses, la información negativa permanecerá por el mismo tiempo de mora, contado a partir de la extinción de las obligaciones.
- Las Mipymes, empresas del sector turismo, o pequeños productores del sector agropecuario, o personas naturales que ejerzan actividades comerciales o independientes, que extingan sus obligaciones objeto de reporte dentro de los 12 meses siguientes a la entrada en vigencia de la Ley, el dato negativo les deberá ser retirado inmediatamente de los bancos de datos.
- Se deben eliminar inmediatamente los datos negativos de los pequeños productores del sector agropecuario, las víctimas del conflicto armado y los jóvenes y mujeres rurales que tengan cualquier tipo de crédito agropecuario con Finagro, que extingan sus obligaciones objeto de reporte dentro de los 12 meses siguientes a la entrada en vigencia de la Ley.
- Los deudores y codeudores que tengan obligaciones crediticias con el lcetex, que paguen las cuotas vencidas o que extingan sus obligaciones objeto de reporte dentro de los 12 meses siguientes a la entrada en vigencia de la Ley, el dato negativo les deberá ser retirado inmediatamente de los bancos de datos
2.11. Información sobre rechazo de solicitud del crédito
Se establece que los usuarios del dato financiero deben valorarlo en forma concurrente con otros factores o elementos de juicio que técnicamente inciden en el estudio de riego y no se pueden basar exclusivamente en la información relativa al incumplimiento de obligaciones suministrada por los operadores (centrales de riesgo) para adoptar decisiones frente a solicitudes de crédito y en caso de inobservancia de lo anterior, la Superfinanciera podrá imponer sanciones. Para corroborar lo anterior, el solicitante del crédito podrá exigir a la institución que negó el crédito que por escrito le indique las razones objetivas del rechazo de la solicitud del crédito.
2.12. Sanciones
Por último, la Ley fijó la posibilidad de las autoridades competentes de imponer multas de carácter personal e institucional hasta por el equivalente a 2.000 salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción por violación a la ley 1266 de 2008 y las normas que la reglamenten, así como por la inobservancia, de las órdenes e instrucciones impartidas por dicha autoridad. Estas multas podrán ser sucesivas mientras subsista el incumplimiento que las originó.
No dude en contactar a Jorge Castaño jcastano@brickabogados.com o a María del Pilar Duplat mpduplat@brickabogados.com si tienen alguna inquietud o si desean ampliación sobre el tema anteriormente expuesto.
** **
El presente documento ha sido preparado por Brick Abogados especialmente para sus clientes, únicamente con fines informativos, por lo cual no se considera como asistencia o recomendación legal.
[1] Los reportes negativos de Información deben realizarse teniendo en cuenta otros factores adicionales al sólo incumplimiento de la obligación, por lo que la entidad reportante debe hacer una valoración de forma concurrente con otros factores que inciden en el estudio de riesgo y el análisis crediticio del titular de los datos.
[2] Todo lo anterior será tenido en cuenta por las autoridades competentes al momento de imponer sanciones en relación con el incumplimiento de las disposiciones en materia de habeas data financiero.