CIRCULAR EXTERNA 001 DE 2024
(junio 26)
Diario Oficial No. 52.800 de 27 de junio de 2024
SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO
| Para: | Titulares de la información y entidades vigiladas por la Superintendencia de Industria y Comercio en su rol de Autoridad de Protección de Datos Personales. |
| Asunto: | Competencia de la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio en la aplicación de la Ley 2300 de 2023. |
Mediante la Ley 2300 de 2023 por medio de la cual se establecen medidas que protejan el derecho a la intimidad de los consumidores” se dictaron normas tendientes a “proteger el derecho a la intimidad de los consumidores, estableciendo los canales, el horario y la periodicidad en la que estos pueden ser contactados por las entidades vigiladas por la Superintendencia Financiera y todas las personas naturales y jurídicas que adelanten gestiones de cobranzas de forma directa, por medio de terceros o por cesión de la obligación. según se dispone en su artículo 1o.
De acuerdo con lo anterior, la norma en comento se refirió a: (i) los “canales autorizados[1]”, en el sentido de ordenar que las “entidades vigiladas por la Superintendencia Financiera y todas las personas naturales y jurídicas que ejerzan actividades de cobranza sólo podrán contactar a los consumidores mediante los canales que estos autoricen para tal efecto”, y (ii) a los “horarios y periodicidad'[2] para que, una vez establecido el contacto directo con el consumidor, este no sea contactado por parte de gestores de cobranza “mediante varios canales dentro de una misma semana ni en más de una ocasión durante el mismo día” y, adicionalmente, se definieron las jornadas para el desarrollo de dicha actividad.
De igual manera, la norma prohíbe en su artículo 4o a las entidades vigiladas por la Superintendencia Financiera de Colombia y todas las entidades que adelanten gestiones de cobranza de forma directa, por medio de terceros o por cesión de la obligación (incluyendo a las personas naturales), contactar a las referencias personales o de otra índole. No obstante, se hace la salvedad de que, al avalista, codeudor o deudor solidario se le contactará en la misma condición que establece la Ley en comento.
A su vez, el artículo 5o ibidem hace extensivo el efecto de la norma “a las relaciones comerciales entre los productores y proveedores de bienes y servicios privados o públicos y el consumidor comercial frente al envío de mensajes publicitarios a través de mensajes cortos de texto (SMS), mensajería por aplicaciones web, correos electrónicos y llamadas telefónicas de carácter comercial o publicitario”.
Además, en los artículos 6o y 7o ibidem se establecen prohibiciones relacionadas con la realización de gestiones de cobranza en el domicilio o lugar de trabajo y el consultar al consumidor financiero sobre los motivos de incumplimiento, respectivamente.
Sin perjuicio de lo anterior, la norma garantiza en su artículo 8o “los contactos que tengan como finalidad informar al consumidor sobre confirmación oportuna de las operaciones monetarias realizadas, sobre ahorros voluntarios y cesantías, enviar información solicitada por el consumidor o generar alertas sobre transacciones fraudulentas, inusuales o sospechosas”.
Ahora bien, debe aclararse que de acuerdo con el artículo 9o de la mencionada Ley 2300 de 2023, “[e]I incumplimiento de las medidas de protección de que trata la presente ley, se sancionará por la Superintendencia Financiera de Colombia y la Superintendencia de Industria y Comercio, de acuerdo con el marco de competencias previsto en la Ley Estatutaria 1266 de 2008 o las normas que la modifiquen, adicionen o sustituyan”.
Así las cosas, en concordancia con el artículo 17 de la Ley Estatutaria 1266 de 2008, esta autoridad administrativa está llamada a ejercer “la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales”; no obstante, cuando la fuente, usuario u operador de información es una entidad vigilada por la Superintendencia Financiera de Colombia, esta última asume la competencia sobre la materia. Por otra parte, en lo relativo al tratamiento de datos personales para fines de prospección comercial, la Superintendencia de Industria y Comercio es la autoridad llamada a realizar las funciones de inspección, vigilancia y control sobre los responsables y encargados de dicha actividad.
Hechas las anteriores salvedades y en atención a que la Ley 2300 de 2023 empezó a regir el 10 de octubre de 2023, desde esta Superintendencia estimamos pertinente instruir a los titulares de la información y entidades sujetas a nuestra vigilancia, acerca del alcance de las competencias a cargo de la Delegatura para la Protección de Datos Personales frente a dicha norma; específicamente, en materia de hábeas data y del debido tratamiento de datos personales, como se indica a continuación:
(i) La Ley 2300 de 2023 complementa el régimen de protección de datos personales y de hábeas data, contenido en la Ley Estatutaria 1266 de 2008; esto, sin perjuicio de que esta autoridad pueda velar por el debido acatamiento de la Ley Estatutaria 1581 de 2012, cuando haya lugar a ello.
(ii) La Delegatura para la Protección de Datos Personales es competente para dar trámite a las quejas, reclamos y denuncias que se presenten en procura de amparar el derecho fundamental de hábeas data en cuanto a los canales autorizados, así:
1. Cuando el titular manifiesta que sus datos fueron usados para adelantar gestiones de cobranza por parte de entidades vigiladas por la Superintendencia de Industria y Comercio a través de un canal no autorizado, o por más de un canal.
2. Cuando el titular manifiesta que se adelantaron gestiones de cobranza por parte de entidades vigiladas por la Superintendencia de Industria y Comercio a sus referencias personales.
3. Cuando en su calidad de referencia personal, el titular manifiesta que sus datos fueron utilizados para adelantarse gestiones de cobranza por parte de entidades vigiladas por la Superintendencia de Industria y Comercio.
4. Cuando en su calidad de avalista, codeudor o deudor solidario, el titular manifiesta que fue contactado para adelantar las gestiones de cobranza por parte de entidades vigiladas por la Superintendencia de Industria y Comercio por un canal no autorizado, o por más de un canal.
(iii) Adicionalmente, la Delegatura para la Protección de Datos Personales es competente para dar trámite a las quejas, reclamos y denuncias que se presenten en procura del amparo del derecho fundamental de hábeas data cuando sea contactado para efectos publicitarios, y se vulnere el régimen de protección de datos personales, así:
1. Cuando el titular manifiesta que fue contactado por un canal no autorizado, o por más de un canal.
2. Cuando el titular pretenda que se le suprima su información para dejar de recibir publicidad.
3. Cuando el titular manifiesta que no ha dado autorización para recibir promociones para alimentar bases de datos.
4. Cuando el titular manifiesta que se le está imponiendo la obligación de recibir publicidad por algún canal.
5. Cuando el titular manifiesta que está siendo condicionado para ingresar o ser retirado de listas que le permiten acceder a bienes y servicios.
(iv) En orden con lo expuesto, a efectos de garantizar la debida protección de datos personales, los productores y proveedores de bienes y servicios están obligados a consultar el listado del “Registro de Números Excluidos” de la Comisión de Regulación de Comunicaciones para conocer si los titulares de la información están inscritos y los canales que tienen restringidos, para así abstenerse de enviar contenidos publicitarios o comerciales a los consumidores que hayan indicado que desean excluirse de estos envíos. Así, se entenderán revocadas las autorizaciones para fines de prospección comercial que los titulares hayan otorgado a los productores y proveedores de bienes y servicios anteriores a la inscripción en el Registro de Números Excluidos.
No obstante, cuando posterior a la última inscripción realizada por el titular de la información en el “Registro de Números Excluidos” aquel otorga su autorización[3] para fines de prospección comercial, el responsable o encargado del tratamiento podrá contactarlo y remitirle información, atendiendo los lineamientos legales establecidos para el efecto, así como las condiciones definidas en la autorización correspondiente.
(v) De esta manera, se resalta que, frente a lo dispuesto por la Ley 2300 de 2023, la Delegatura para la Protección de Datos Personales es competente para tramitar las quejas, reclamos y denuncias relativas a los canales empleados para contactar a las personas, ya sea para efectos de cobranza o de publicidad.
(vi) En orden de lo expuesto y en el marco de la Ley 2300 de 2023 –así como el principio de interpretación integral de derechos constitucionales previsto en el literal e) del artículo 4o de la Ley Estatutaria 1266 de 2008–, la Delegatura para la Protección de Datos Personales puede conocer de situaciones donde se afecte el derecho fundamental a la intimidad, cuando el caso en concreto conlleve, además, la vulneración al derecho de hábeas data, de acuerdo con las instrucciones dictadas en acápites precedentes.
No obstante, de acuerdo con las facultades establecidas en la referida Ley Estatutaria 1266 de 2008 –como se ha dicho, régimen jurídico aplicable para la protección de la Ley 2300 de 2023, según dispone su artículo 9o–, la Delegatura para la Protección de Datos Personales carece de facultades, acciones o mecanismos legales suficientes para garantizar el derecho fundamental autónomo a la intimidad.
Así las cosas, los supuestos referidos en la Ley 2300 de 2023 al derecho fundamental autónomo a la intimidad –esto es, situaciones donde no se presentan afectaciones al derecho de hábeas data o acontezca un indebido tratamiento de datos personales– escapan de la órbita de competencias funcionales de dicha Delegatura, tales como: la periodicidad y horarios en que se contacta a los titulares; la indagación al consumidor financiero por el motivo del incumplimiento de su obligación; los que versen sobre confirmación oportuna de las operaciones monetarias, ahorros voluntarios y cesantías; los relacionado con el envío de información solicitada por el consumidor, o los que generen alertas sobre transacciones fraudulentas, inusuales o sospechosas.
(vii) La Delegatura para Protección de Datos Personales, como dependencia competente dentro de la Superintendencia de Industria y Comercio, atenderá las quejas y denuncias ciudadanas, para tal efecto, quien considere afectados sus derechos podrá radicar las denuncias a través del correo electrónico institucional contactenos@sic.gov.co o cualquier otro canal de atención al ciudadano dispuesto para tal efecto.
En los anteriores términos se instruye a los titulares de la información y entidades vigiladas por la Superintendencia de Industria y Comercio, en su rol de Autoridad de Protección de Datos Personales, respecto de las competencias ejercidas desde la Delegatura para la Protección de Datos Personales con ocasión a la Ley 2300 de 2023.
Cordialmente,
La Superintendente de Industria y Comercio,
Cielo Elainne Rusinque Urrego
1. Artículo 2o de la Ley 2300 de 2023.
3. Accediendo con usuario y contraseña en la opción “Registro de Números Excluidos” (RNE) del “Portal de Trámites” de la Comisión de Regulación de Comunicaciones, el titular de la información podrá modificar o eliminar los datos de los canales por los cuales desea recibir mensajes comerciales o publicitarios, según se encuentra dispuesto en la Resolución CRC 7356 de 2024.
