Autor: Ana María Ceballos Álvarez – Abogada Junior
En los procesos de debida diligencia, una de las dudas más frecuentes entre los oficiales de cumplimiento y las áreas jurídicas es si una empresa puede consultar información financiera o crediticia de empleados, proveedores o contrapartes como parte de su análisis de riesgo.
La Superintendencia de Industria y Comercio (SIC) ha dejado claro cuándo dicha práctica se considera legítima y qué principios deben observar las empresas para no vulnerar el derecho fundamental al hábeas data.
¿Qué dice la SIC sobre el uso de información crediticia en SAGRILAFT sin autorización del Titular del dato personal?
Es legal, siempre que la finalidad del tratamiento de los datos sea exclusivamente la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo (LA/FT).
La Ley 1581 de 2012, que regula la protección de datos personales en Colombia, establece una excepción específica para las bases de datos que se utilicen con fines de seguridad nacional y prevención de lavado de activos o financiación del terrorismo.
Esto significa que cuando la información se trata únicamente para esos fines, no se requiere autorización previa del titular para su recolección o consulta.
No obstante, la SIC enfatiza que, aunque exista esta excepción, las empresas deben seguir cumpliendo los principios básicos del tratamiento de datos personales, tales como:
Principio de legalidad. El tratamiento debe tener soporte normativo y obedecer a una finalidad legítima.
Principio de finalidad. Los datos solo pueden usarse para el fin exclusivo para el cual fueron obtenidos (prevención de LA/FT).
Principio de proporcionalidad. Solo se deben tratar los datos estrictamente necesarios y pertinentes.
Principio de confidencialidad y seguridad. La información debe protegerse frente a accesos no autorizados o usos indebidos.
Lo anterior quiere decir que, si los datos se usan con una finalidad distinta, como evaluaciones laborales, vigilancia y acceso a las instalaciones o prospección comercial, sí se requiere la autorización expresa del titular, y el tratamiento de los datos personales pasa a regirse por el Estatuto General de Protección de Datos Personales (Ley 1581/2012).
¿Como aplicar correctamente este criterio en los procesos de cumplimiento de las empresas?
Si el tratamiento está vinculado al cumplimiento de obligaciones de prevención y control de riesgos LA/FT, pero adicionalmente a otras finalidades, la autorización del titular es obligatoria.
Tener en cuenta que, incluso bajo la excepción que nos da la ley, es obligatorio proteger la confidencialidad y seguridad de la información obtenida.
Cualquier uso posterior de esa información con una finalidad diferente (por ejemplo, decisiones laborales o comerciales) puede habilitar a los titulares para reclamar y a la SIC para sancionar.
La clave está en la finalidad, la proporcionalidad y la trazabilidad de cada tratamiento.
¿Tu empresa debe actualizar sus políticas de protección de datos? En OCH Group ayudamos a las organizaciones a fortalecer sus sistemas de cumplimiento, garantizando que cada proceso sea seguro, legal y alineado con el crecimiento de su empresa.
Fuentes:
- Superintendencia de Industria y Comercio. (2025, 15 de mayo). Concepto PDP-SAGRILAFT N.º 0178271-2025. Bogotá, D.C.
