Sentencia T-360 de 2022

T-360-22 REPÚBLICA DE COLOMBIA Sentencia T-360/22 DERECHO AL BUEN NOMBRE Y AL HABEAS DATA-Vulneración por desconocimiento de requisitos ineludibles para que proceda el reporte de un dato negativo ante las centrales de riesgos (…), la entidad bancaria reportó el dato negativo frente a las obligaciones crediticias adquiridas mediante engaño, infringió los principios de veracidad, integridad, incorporación, finalidad y utilidad. Además, desconoció el principio de responsabilidad demostrada, pues si bien demostró haber adelantado una investigación interna que permitió advertir la existencia de una suplantación de identidad, el demandante -en su calidad de titular de los datos personales- no conoció el resultado de ésta. HABEAS DATA FINANCIERO Y PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA-Aplicación en caso de suplantación de identidad (…) se infringe el principio de responsabilidad demostrada que orienta el contenido del derecho fundamental al habeas data, cuando una entidad bancaria lleva a cabo una investigación interna que demuestra que los datos de un titular han sido suplantados e incurre en alguna de las siguientes omisiones: (i) no notifica al titular y (ii) no le solicita al operador de la información que elimine el reporte de los productos crediticios. ACCION DE TUTELA CONTRA ENTIDAD FINANCIERA-Procedencia excepcional/ACCION DE TUTELA PARA LA PROTECCION DEL DERECHO AL HABEAS DATA-Procedencia, previa solicitud de corrección, aclaración, rectificación o actualización de información DERECHO AL HABEAS DATA-Alcance y contenido/HABEAS DATA FINANCIERO-Definición/HABEAS DATA FINANCIERO-Garantía DERECHO AL HABEAS DATA-Principios orientadores PARTES EN PROCESO DE DIVULGACION DE INFORMACION CREDITICIA O FINANCIERA-Titular, fuente, operador y usuario DERECHO DE HABEAS DATA FINANCIERO-Deberes, obligaciones y responsabilidades de las fuentes de información DERECHO DE HABEAS DATA FINANCIERO-Deberes, obligaciones y responsabilidades de los operadores de información DERECHO DE HABEAS DATA FINANCIERO-Deberes, obligaciones y responsabilidades de los usuarios de la información PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA-Alcance y contenido (…) consiste en el deber que le asiste al responsable del tratamiento de datos de demostrar ante la autoridad de datos que cuenta con la institucionalidad adecuada y los respectivos procedimientos internos para garantizar el efectivo goce del derecho al habeas data. Específicamente, debe evidenciar la vigencia del principio de libertad, las facultades de conocimiento, actualización y la rectificación del dato personal. PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA-Obligaciones de los operadores, las fuentes y los usuarios (…) los encargados del tratamiento de datos personales les asiste la obligación general de adoptar medidas apropiadas, efectivas y verificables para proteger el derecho fundamental de habeas data. Estas medidas deberán garantizar, como mínimo y en cualquier operación de procesamiento de datos personales: (i) una organización administrativa para cumplir con estas políticas; (ii) un mecanismo interno para hacerlas efectivas; y, (iii) un proceso adecuado de consultas, peticiones y reclamos que garantice la confidencialidad y seguridad de la información. CENTRALES DE RIESGO-Condiciones en las que procede reporte negativo (i) la veracidad acerca de la existencia de una obligación crediticia y… (ii) la autorización previa, escrita y expresa del titular para que se reporte el dato negativo. CENTRALES DE RIESGO Y PROTECCION DEL DERECHO AL HABEAS DATA-Responsabilidades frente a los usuarios del sistema financiero DERECHO AL BUEN NOMBRE Y AL HABEAS DATA EN CASO DE SUPLANTACION DE IDENTIDAD-Afectación de los derechos fundamentales SUPERINTENDENCIA FINANCIERA-Funciones ACCION DE TUTELA-Orden de retirar reporte que se hizo a DATACREDITO Referencia: Expediente T-8.727.419 Acción de tutela presentada por Ismael Silva Rodríguez en contra del Banco Davivienda S.A. Procedencia: Juzgado Promiscuo Municipal de Sabana de Torres, Santander. Asunto: Habeas data frente a reporte de dato negativo en central de riesgo en caso de obligaciones crediticias adquiridas por vía de suplantación de identidad. Magistrado sustanciador (E): HERNÁN CORREA CARDOZO Bogotá D.C., trece (13) de octubre de dos mil veintidós (2022). La Sala Sexta de Revisión de la Corte Constitucional, integrada por la Magistrada Cristina Pardo Schlesinger y los Magistrados José Fernando Reyes Cuartas y Hernán Correa Cardozo, quien la preside, en ejercicio de sus competencias constitucionales y legales, específicamente las previstas en los artículos 86 y 241 num. 9º de la Constitución Política y 33 y subsiguientes del Decreto 2591 de 1991, ha pronunciado la siguiente SENTENCIA En el trámite de revisión del fallo de primera instancia proferido por el Juzgado Promiscuo Municipal de Sabana de Torres, Santander, el 22 de febrero de 2022, dentro del recurso de amparo constitucional formulado por Ismael Silva Rodríguez en contra del Banco Davivienda S.A. Conforme a lo consagrado en los artículos 86 de la Constitución Política y 33 del Decreto 2591 de 1991, mediante Auto del 30 de junio de 2022 la Sala de Selección de Tutelas Número Seis de la Corte Constitucional escogió, para efectos de su revisión, el asunto de la referencia[1]. Por tal razón, acorde con lo previsto en el artículo 34 del Decreto 2591 de 1991, esta Sala de Revisión procede a dictar la sentencia correspondiente. I. ANTECEDENTES La solicitud El 9 de febrero de 2022, el señor Ismael Silva Rodríguez, obrando en nombre propio, presentó acción de tutela en contra del Banco Davivienda S.A., por la presunta vulneración de sus derechos fundamentales al buen nombre, a la honra, al debido proceso y al habeas data. Manifestó que la referida entidad bancaria lo reportó en la central de riesgos de Datacrédito por incurrir en mora frente al pago de varias obligaciones crediticias que figuran a su nombre, pero que nunca solicitó ni adquirió personalmente. Hechos relevantes 1. El accionante reside en el municipio de Sabana de Torres, Santander. Según manifiesta, el 21 de mayo de 2021, suscribió un contrato para la prestación de los servicios de televisión y de internet satelital con la empresa SAB Internet para todos S.A.S. Asegura que para la celebración de dicho negocio jurídico entregó a tres personas, que se presentaron en su domicilio como trabajadores de esa compañía, una copia escaneada de su cédula de ciudadanía y la impresión digital de sus huellas dactilares. 2. No obstante lo anterior, y pese a las múltiples reclamaciones posteriores en torno al cumplimiento del contrato, la empresa no instaló ninguno de los servicios pactados. Por esta razón, el señor Silva Rodriguez sostiene que SAB Internet para todos S.A.S. “lo estafó”, tal y como ha “estafado” a varios de los habitantes del municipio donde reside[2]. 3. El 16 de junio de 2021, el actor sostiene que consultó su historial crediticio. Advirtió que aparecía con un reporte en la central de riesgo de Datacrédito como titular de varias obligaciones contraídas con el Banco Davivienda S.A. que en ningún momento ha adquirido. Inclusive, adujo que ese mismo día, por medio del servicio de atención telefónico de la entidad, no solo se le confirmó la efectiva existencia de diversos productos financieros a su cargo, sino también se le sugirió que acudiera a una de sus oficinas para poder entregarle información más detallada[3]. 4. Al día siguiente, según sostuvo, en una sucursal del Banco Davivienda, ubicada en el municipio de Barrancabermeja, le comunicaron que el sistema de la entidad registraba con su nombre los siguientes productos que fueron “abiertos en línea”: (i) un crédito por valor de veinte millones de pesos; (ii) una tarjeta de crédito con cupo equivalente a un millón quinientos mil pesos; y (iii) una cuenta de ahorros[4]. De inmediato, el señor Silva Rodríguez indicó que la información reportada era errónea y, por tanto, pidió su corrección, al tiempo que, por sugerencia de la misma entidad bancaria, presentó denuncia por tales hechos ante la Sala de Atención al Usuario de la Fiscalía de Barrancabermeja[5]. Adicionalmente, puso en conocimiento de la Superintendencia Financiera la indebida utilización de sus huellas digitales y de su cédula de ciudadanía para solicitar créditos bancarios. 5. En escrito del 6 de julio de 2021, el Banco Davivienda S.A. rechazó la solicitud realizada por el señor Silva Rodríguez. Para tal efecto, sostuvo que los productos financieros fueron requeridos a través de la aplicación Davivienda Móvil[6]. Igualmente, adujo que: (i) los soportes de apertura de los productos presentaban semejanza con sus huellas dactilares y su documento de identidad; (ii) para su respectiva aprobación se verificó tanto su huella dactilar como la imagen de su cédula de ciudadanía a partir de un proceso de autenticación biométrica que fue exitoso; y, (iii) se adelantó una investigación interna que determinó su titularidad en relación con los productos cuyo reconocimiento pretende desconocer. Esta respuesta fue reiterada en las comunicaciones posteriores del 23 de agosto[7] y del 25 de noviembre de 2021[8]. 6. El 18 de agosto de 2021, el accionante sostuvo que acudió a la sucursal del Banco Davivienda ubicada en la calle 35 de la ciudad de Bucaramanga. Afirma que uno de los asesores le aclaró que: (i) el préstamo de libre inversión y la tarjeta de crédito fueron avalados en la oficina virtual del banco de la ciudad de Barranquilla por parte de la señora Ana Aura; (ii) aunque los presuntos estafadores registraron en la oficina de Davivienda virtual una dirección y un número de celular para la entrega de la tarjeta de crédito, esta nunca se entregó tras no haber podido ser recibida; (iii) el crédito fue desembolsado el 2 de junio de 2021; y, (iv) con posterioridad a la antedicha fecha, se utilizó la tarjeta de crédito virtual en la ciudad de Barranquilla. 7. En condición de titular de los productos financieros aparentemente adquiridos con el Banco Davivienda S.A., el señor Silva Rodríguez fue objeto de los respectivos cobros vía telefónica. Tras figurar en el sistema con una mora superior a 90 días, fue reportado a Datacrédito[9]. Pretensiones 8. El señor Ismael Silva Rodríguez promovió acción de tutela en contra del Banco Davivienda S.A., con el fin de obtener la protección de sus derechos fundamentales al buen nombre, a la honra, al debido proceso y al habeas data, presuntamente vulnerados por la entidad demandada al haberlo reportado en las centrales de riesgo a causa de la mora en que incurrió frente al pago de varios productos financieros que nunca solicitó ni adquirió personalmente. Por esta razón, solicitó al juez de conocimiento que concediera el amparo constitucional de las prerrogativas superiores invocadas, de suerte que ordene eliminar el dato negativo reportado, previa exoneración del pago de las obligaciones que aparecen reportadas a su nombre por la entidad bancaria. Trámite procesal y oposición a la demanda de tutela 9. Mediante auto del 9 de febrero de 2022, el Juzgado Promiscuo Municipal de Sabana de Torres, Santander, dispuso admitir la acción de tutela y ordenar su traslado a la entidad demandada, al tiempo que vincular a la empresa SAB Internet para todos S.A.S., a la Superintendencia Financiera de Colombia y a Datacrédito para que se pronunciaran en relación con la problemática jurídica planteada y, a su vez, ejercieran los derechos de contradicción y defensa[10]. 10. Inicialmente, el Banco Davivienda S.A., a través de apoderado judicial, contestó la acción de tutela en memorial del 11 de febrero de 2022[11]. Respecto de los hechos descritos manifestó que el demandante sí le solicitó la apertura de una cuenta de ahorros, una tarjeta de crédito y un crédito móvil. En relación con la queja radicada ante la Superintendencia Financiera, sostuvo que se realizó una investigación en la que se determinó que los soportes de los productos otorgados coincidían por completo con su documento de identidad. Sumado a lo anterior, aseguró haber dado respuesta a todas y cada una de las solicitudes presentadas por el actor, motivo por el cual pedía declarar improcedente el recurso de amparo constitucional por falta de subsidiariedad, pues se trataba de una controversia de índole económico que debe ser ventilada ante la jurisdicción ordinaria. 11. En respuesta de esa misma fecha[12], la Superintendencia Financiera de Colombia certificó que el 28 de junio de 2021, el señor Ismael Silva Rodriguez presentó una queja en contra del Banco Davivienda S.A. Sobre este particular, indicó que, si bien requirió en dos oportunidades a la entidad bancaria para que resolviera las inquietudes formuladas por el accionante, optó por cesar el procedimiento administrativo, debido a que los hechos fueron esclarecidos por aquella en las comunicaciones del 6 y del 23 de agosto de 2021. En vista de lo anterior, solicitó su desvinculación del procedimiento de tutela por falta de legitimación en la causa por pasiva. 12. Por su parte, la empresa SAB Internet para todos S.A.S., en su escrito de respuesta[13], adujo que el documento firmado en su momento por el demandante no responde a un contrato de prestación de servicios de telecomunicaciones ofrecido por ella, en cuanto no solo no presta ningún servicio de internet ni de televisión. Además, afirmó que tampoco tiene personal contratado ni cuenta con oficinas en ningún municipio del país. En tales condiciones, dejó entrever que los hechos denunciados por el señor Silva Rodríguez indican que personas desconocidas estarían usando el nombre de la empresa para cometer fraude. 13. Finalmente, en escrito del 14 de febrero de 2022, Datacrédito solicitó su desvinculación del trámite de la acción de tutela. Para tal efecto, advirtió que las obligaciones que figuran a nombre del actor se encuentran vigentes y en mora, por lo que no puede eliminar el dato negativo reportado al configurarse una situación de falta de pago[14]. Asimismo, argumentó que, de acuerdo con la Ley 1266 de 2008[15], no le corresponde en su calidad de operador de la información solicitar ningún tipo de autorización al titular de los datos para publicarlos, ya que ello solo le incumbe a la fuente que, para el caso concreto, es el Banco Davivienda S.A. II. DECISIÓN JUDICIAL QUE SE REVISA Sentencia de primera instancia 14. En sentencia de primera instancia del 22 de febrero de 2022, el Juzgado Promiscuo Municipal de Sabana de Torres declaró improcedente la protección invocada por falta de subsidiariedad[16]. Para adoptar tal determinación, resaltó que las personas deben hacer uso de todas las herramientas legales que el ordenamiento jurídico les brinda para proteger sus garantías fundamentales, antes de acudir al recurso de amparo constitucional consagrado en el artículo 86 Superior. En particular, concluyó que en el caso concreto el actor contaba con otros medios de defensa judicial, como el proceso penal, para salvaguardar sus derechos e intereses. La anterior decisión no fue objeto de impugnación por las partes. III. ACTUACIONES ADELANTADAS EN SEDE DE REVISIÓN Decreto de pruebas 15. Por medio de auto del 9 de agosto de 2022, el magistrado sustanciador solicitó a la Fiscalía General de la Nación que informara sobre las diligencias que ha surtido hasta el momento para investigar la conducta punible denunciada por el señor Ismael Silva Rodríguez. Igualmente, se le pidió a este último que informara acerca de las actuaciones que ha adelantado ante la fuente para pedir la corrección de la información que juzga errónea. Adicionalmente, allí se requirió al Banco Davivienda S.A. para que remitiera copia de las distintas medidas que ha adoptado como consecuencia de las reclamaciones realizadas por el actor y esclareciera si su identidad fue efectivamente suplantada. Por último, ofició a la Superintendencia Financiera para que remitiera copia del expediente administrativo que contiene la queja presentada por el accionante. A continuación, se resumen las intervenciones recibidas por la Secretaría General de la Corte Constitucional en cumplimiento del antedicho proveído. Respuestas de las entidades involucradas 16. El 16 de agosto de 2022, el demandante remitió su respuesta al auto de pruebas[17]. En su escrito manifestó: (i) que no ha presentado ninguna solicitud adicional ante Datacrédito, porque no se le ha respondido su petición del 29 de agosto de 2021; (ii) acerca de la presentación de nuevas solicitudes advirtió que con posterioridad a la presentación de la acción de tutela, el 1º de abril del año en curso le solicitó a Fiscalía Local de Sabana de Torres impulsar el proceso penal por estos hechos, pero esta autoridad no le respondió. En un segundo memorial advirtió que cuando se validó el crédito, Davivienda nunca lo confirmó con él por ningún medio. También señaló las siguientes deficiencias de la investigación penal: (i) nunca se le informó en qué estado se encuentra el proceso; (ii) no se adelantó ninguna investigación para corroborar las placas del vehículo de las personas que presuntamente lo estafaron, aunque él las suministró; (iii) no fue notificado del archivo de la investigación penal[18]. 17. El 22 de agosto de 2022, la Superintendencia Financiera remitió copia del expediente administrativo que contenía la queja presentada por el señor Ismael Silva Rodríguez[19]. A través de un escrito posterior expresó que mediante el trámite de quejas no se contempla la resolución de controversias entre los consumidores financieros y las entidades vigiladas, relacionadas con el cumplimiento de las obligaciones contractuales asumidas[20]. En esos casos, según advirtió, debe acudirse a una demanda ante la autoridad jurisdiccional competente. 18. El 25 de agosto de 2022, el Banco Davivienda respondió el auto de pruebas[21]. En su escrito adujo (i) que el accionante suministró su información personal a terceros, quienes bajo engaños registraron su cédula y registros biométricos para la apertura de los productos móviles. No obstante, advirtió que para la entidad bancaria quien tramitó y obtuvo los productos móviles objeto de la reclamación fue el señor Ismael Silva, pues al cotejar su huella y cédula de ciudadanía estos coinciden con los originales del accionante. Además, (ii) dijo que para determinar si la identidad del reclamante había sido suplantada hizo una validación con un experto en dactiloscopia y se analizó la cédula de ciudadanía. Este análisis concluyó que el documento era original, y las huellas correspondían a las mismas registradas en la aplicación móvil. Igualmente, se refirió a los pasos que deben agotarse para abrir una tarjeta de crédito y un crédito móvil, a través de la aplicación del banco. Finalmente (iii) concluyó que en este caso no se violó el derecho al habeas data, debido a que se reportó ante las centrales de información financiera que en el registro de las obligaciones se incluyó la leyenda “víctima de falsedad personal”. El accionado también remitió copia de las respuestas a las reclamaciones presentadas por el actor, y de los reportes en las centrales de información financiera. 19. La Dirección de Asuntos Jurídicos de la Fiscalía General de la Nación respondió en el término otorgado el auto de pruebas[22]. En el memorial presentado sostuvo: (i) que la investigación penal de la denuncia interpuesta por Ismael Silva Rodríguez fue asumida por la Fiscalía Única Local de Sabana de Torres, de la Dirección Seccional del Magdalena Medio; (ii) que el caso se encuentra inactivo, porque el fiscal de conocimiento profirió una orden de archivo el 31 de enero de 2022; (iii) que en este caso no se han individualizado a los presuntos responsables. Finalmente, la entidad remitió copia de la investigación penal. 20. Asimismo, Experian Colombia S.A- Datacrédito advirtió que de conformidad con la Ley 1266 de 2008[23]: (i) a Davivienda le corresponde verificar si en este caso existió una suplantación o no, debido a que esa entidad bancaria tiene la calidad de fuente, y es ella quien mantiene una relación financiera con el titular de la información; (ii) las fuentes y no los operadores, tienen el deber de guardar la autorización otorgada por los titulares y certificar el hecho; (iii) la tutela no puede prosperar contra el operador, ya que el dato negativo fue suministrado por la fuente de la información. IV. CONSIDERACIONES A. Competencia 21. Con fundamento en los artículos 86 y 241, numeral 9°, de la Constitución y 31 a 36 del Decreto 2591 de 1991, la Sala Sexta de Revisión de Tutelas de la Corte Constitucional es competente para revisar el fallo de tutela proferido en el proceso de la referencia. B Análisis sobre la procedencia formal de la acción de tutela 22. A continuación, se examinará si en el caso de la referencia se cumple con los requisitos para la procedencia formal de la acción de tutela. Vale precisar que solo en el evento en que los presupuestos se encuentren acreditados, la Sala de Revisión procederá a delimitar el problema jurídico y a pronunciarse de fondo sobre la controversia planteada en esta oportunidad. a) Legitimación en la causa por activa y por pasiva 23. Tal como lo dispone el artículo 86 de la Constitución, la acción de tutela es un instrumento de defensa judicial al que puede acudir cualquier persona para reclamar la protección inmediata de sus derechos fundamentales, cuando quiera que estos resulten vulnerados o amenazados como consecuencia de las acciones u omisiones de las autoridades públicas y, excepcionalmente, de los particulares, en aquellos eventos delineados por la Ley[24]. En consonancia con dicho mandato superior, el Decreto 2591 de 1991[25], en su artículo 10, definió los titulares de la acción de tutela[26], quienes podrán solicitar el amparo constitucional (i) bien sea en forma directa; (ii) por intermedio de un representante legal (caso de los menores de edad, personas con discapacidad y personas jurídicas); (iii) mediante apoderado judicial (abogado titulado con poder judicial o mandato expreso); (iv) así como a través de agente oficioso (cuando el titular del derecho no esté en condiciones de promover su propia defensa). De igual manera, según se dispone en la ley, se encuentran legitimados para ejercer esta acción, (v) tanto el Defensor del Pueblo como (vi) los personeros municipales (facultados para intervenir en representación de terceras personas, siempre que el titular de los derechos haya autorizado expresamente su mediación o se adviertan situaciones de desamparo e indefensión)[27]. 24. En el presente caso, se tiene que el señor Ismael Silva Rodríguez se encuentra legitimado en la causa por activa en el marco de la acción de tutela, toda vez que obra en su propio nombre y actúa directamente en defensa de sus propios derechos e intereses, con el propósito no solamente de ser exonerado del pago de las obligaciones crediticias que figuran a su nombre, sino también de que se elimine el dato negativo reportado por el Banco Davivienda S.A. en la central de riesgo de Datacrédito[28]. 25. Por otro lado, acerca de la legitimación en la causa por pasiva, de acuerdo con lo establecido en los artículos 5[29], 13[30] y 42[31] del Decreto 2591 de 1991, este mecanismo constitucional procede “contra toda acción u omisión de particulares” y “cuando la solicitud sea para tutelar a quien se encuentre en una situación de subordinación o indefensión respecto del particular contra el cual se interpuso la acción”[32]. Concretamente, la jurisprudencia constitucional ha sido clara y consistente en señalar que la acción de tutela es procedente contra las entidades bancarias para solicitar la protección de los derechos fundamentales al habeas data y al buen nombre, cuando se efectúa el reporte a las centrales de riesgo por obligaciones que el demandante alega inexistentes[33]. En ese sentido, esta Corte también ha precisado que la actividad financiera constituye un servicio público, dado que su objetivo principal es “captar recursos económicos del público para administrarlos, intervenirlos y obtener de su manejo un provecho de igual naturaleza”[34]. Desde luego, conforme con el artículo 335 de la Carta Política, las actividades financieras que involucran la inversión, aprovechamiento y manejo de recursos son de interés público, previa autorización del Estado. De ahí que en este tipo de asuntos se configure, en líneas generales, o bien una situación de indefensión o bien una relación de asimetría entre las partes involucradas[35], pues es claro que la entidad bancaria se halla en una posición dominante respecto de sus usuarios, al depositarse en ella la confianza pública por el servicio que presta y cobijarse todas sus determinaciones bajo una presunción de veracidad[36]. 26. Con fundamento en las anteriores consideraciones, para la Sala no hay duda de que el Banco Davivienda S.A. está legitimado como parte pasiva en el trámite que se adelanta, en cuanto presta un servicio público de administración de recursos económicos, a los cuales se les atribuye la presunta vulneración de las prerrogativas fundamentales en discusión. b) Inmediatez 27. La jurisprudencia constitucional ha resaltado que, de conformidad con el artículo 86 de la Constitución, la acción de tutela no tiene término de caducidad. Sin embargo, esta debe formularse en un plazo razonable desde el momento en el que se produjo el supuesto fáctico vulnerador[37]. En este caso, debe señalarse que el señor Ismael Silva Rodríguez presentó la acción de tutela el 9 de febrero de 2022[38], luego de solicitar por escrito el 3 de noviembre de 2021[39] al Banco Davivienda S.A. la corrección de sus datos personales. Ello significa que transcurrieron menos de tres meses entre la última comunicación de la entidad bancaria en la que se deja constancia de que el actor figura como titular de las obligaciones crediticias reportadas en mora y la radicación de la acción de tutela, razón por la que su presentación oportuna se tiene por satisfecha. c) Subsidiariedad 28. Según ha sido precisado por la jurisprudencia constitucional, la acción de tutela fue concebida como un instrumento de defensa judicial para la protección inmediata de los derechos fundamentales al que la propia Carta Política atribuyó un carácter subsidiario y residual[40]. De acuerdo con lo anterior, la tutela no es un mecanismo alternativo, adicional o complementario de los previstos en el ordenamiento para garantizar los derechos de las personas, pues con ella no se pretende sustituir los procesos ordinarios o especiales y mucho menos aún, desconocer las acciones y recursos inherentes a los mismos para controvertir las decisiones que se profieran[41]. La Corte ha enfatizado que esa particular condición supletiva de la acción de tutela claramente expresada en el artículo 86 Superior, además de reconocer la naturaleza preferente de los diversos mecanismos judiciales establecidos por la ley[42], permite interpretar que el ejercicio del recurso de amparo constitucional sólo es procedente de manera excepcional. Esta acción solo será procedente cuando no existan otros medios de protección a los que se pueda acudir, o aun existiendo éstos, se compruebe su ineficacia en relación con el caso concreto o se promueva para precaver la ocurrencia de un perjuicio irremediable[43]. Esta aproximación encuentra pleno respaldo en el artículo 6º del Decreto 2591 de 1991, el cual, al referirse a las causales de improcedencia de la acción de tutela, puntualiza claramente que la existencia de otros medios de defensa judicial tendrá que ser apreciada en concreto, atendiendo al grado de eficiencia y efectividad material -y no meramente formal- del mecanismo judicial para encarar las específicas circunstancias en que se encuentre el solicitante al momento de invocar la protección del derecho presuntamente conculcado. 29. En este asunto, el Juzgado Promiscuo Municipal de Sabana de Torres, en la sentencia de primera y única instancia del 22 de febrero de 2022, decidió que la acción de tutela era improcedente, porque el accionante cuenta con otros medios de defensa para la protección de sus derechos, como el proceso penal. Según advirtió, los otros medios de defensa dispuestos por el ordenamiento garantizan la efectividad de un proceso judicial en el que se pueden practicar pruebas, para determinar lo que corresponda en derecho. La Sala difiere de la conclusión del juez de primera instancia. En este caso, la acción penal no es idónea para proteger el derecho al habeas data. Tampoco tiene la aptitud para corregir del dato negativo o positivo suministrado por una fuente al operador de la información. Como lo ha señalado la Corte, el proceso penal tiene la finalidad de establecer la responsabilidad individual del acusado, por infringir la ley penal[44]. El juez penal impone una sanción y no puede pronunciarse sobre la responsabilidad institucional de una persona jurídica en la violación de los derechos fundamentales de una persona[45]. En contraste, la acción de tutela, le permite al juez constitucional imponer medidas mucho más amplias y comprehensivas de protección de derechos fundamentales que van más allá de la sanción o la indemnización de perjuicios[46]. 30. Durante el proceso de tutela Davivienda advirtió que en este caso se presentaba una controversia de contenido económico que no debía ser resuelta por el juez de tutela, sino por los jueces ordinarios. De manera semejante, la Superintendencia Financiera consideró que el accionante debía presentar una demanda con fundamento en las funciones jurisdiccionales atribuidas a ese organismo. La Sala considera que en este caso no se plantea una controversia estrictamente económica, que invoque derechos de carácter personal y particular. Por el contrario, lo que pretende el señor Silva hace parte del núcleo esencial del derecho fundamental al hábeas data, pues pretende la rectificación del dato negativo y, en un sentido más amplio, su reclamo constitucional está vinculado con una presunta falla en la adecuada gestión de sus datos personales. Esta corporación ha decidido en múltiples oportunidades casos que se refieren a la efectividad de este derecho, cuando los titulares de los datos son reportados a centrales de riesgo, con fundamento en obligaciones que no existen[47]. Tampoco considera que en este caso se presenta una controversia que pueda ser resuelta por medio de las facultades jurisdiccionales previstas en la ley. Esa competencia se limita a resolver las controversias contractuales entre los consumidores financieros y las entidades vigiladas por la Superintendencia Financiera relacionadas exclusivamente con la ejecución y cumplimiento de obligaciones contractuales financieras, bursátiles o aseguradoras. En este asunto el accionante no alega el incumplimiento de una obligación de estas características. Al respecto, la Sala estima que en el caso concreto se cumplió con el requisito de procedibilidad exigido por la jurisprudencia, en casos semejantes consistente en solicitar la corrección de los datos por la fuente. En este sentido, la jurisprudencia de la Corte, en las Sentencias T-883 de 2013[48] y T-129 de 2010[49], ha reconocido que cuando se trata de controversias relacionadas con el recaudo, administración y uso de la información personal, el medio idóneo y efectivo para proteger el derecho fundamental consiste en solicitar la corrección del dato negativo ante la fuente de la información. Ello, teniendo en cuenta que la Ley 1266 de 2008 consagra en su artículo 16 que los titulares de la información o causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización, podrá presentar un reclamo ante el operador o la fuente para que este, una vez verificadas las observaciones o planteamientos del titular, decida. Pues bien, en el asunto bajo estudio el señor Ismael Silva le manifestó al Banco Davivienda que no había adquirido la cuenta de ahorros, el crédito móvil y la tarjeta visa móvil, que aparecían a su nombre, el 29 de junio de 2021, y pidió que cancelaran los productos[50]. Ante la respuesta negativa del banco presentó una nueva comunicación en los canales de atención del Banco, el 10 de agosto de 2021[51]. Con posterioridad, el señor Ismael Silva Rodríguez, el 3 de noviembre de 2021, le solicitó a la entidad bancaria que se levantara el dato negativo reportado a las centrales de riesgo, por la mora en los productos adquiridos[52] .Esa solicitud fue rechazada, el 25 de noviembre de 2021, por el Banco Davivienda, en la que advirtió que no era posible eliminar los datos negativos ante los operadores de la información, porque la entidad tenía el deber legal de realizar el reporte negativo y positivo de los productos que tienen los clientes con el banco[53]. Es decir, que el actor le solicitó a la fuente de la información, que en este asunto es Davivienda, la corrección del dato desfavorable. En consecuencia, en este caso el accionante agotó la solicitud de corrección del dato negativo ante la fuente de la información que en este caso es un requisito de procedibilidad, para proteger el derecho fundamental al hábeas data. 31. Ahora bien, con posterioridad a los reclamos ante Davivienda y la Superintendencia Financiera, el 29 de octubre de 2021 entró en vigencia la Ley Estatutaria 2157 de 2021, que reformó la Ley 1266 de 2008. Esa norma estableció en el artículo 7º, que las solicitudes y reclamos sobre suplantación deberán presentarse ante la fuente. Cuando la solicitud no sea respondida el peticionario podrá solicitar la imposición de sanciones y las decisiones que sean pertinentes para hacer efectivo el derecho ante la Superintendencia Financiera[54]. En este caso, el señor Silva acudió ante la entidad bancaria, el 3 de noviembre de 2021, con posterioridad a la aprobación de la ley. La solicitud fue negada por Davivienda el 25 de noviembre de 2021. El accionante no acudió nuevamente ante la Superintendencia Financiera con fundamento en lo dispuesto en la Ley 2157 de 2021. Sin embargo, esa no es una razón suficiente para considerar que se incumplió con el requisito de subsidiariedad. De hecho, desde antes de la expedición de la Ley 2157 de 2021 ese recurso estaba disponible. En el artículo 17 de la Ley 1266 de 2008 se prevé que se puede acudir ante esa entidad para solicitar, la corrección, actualización o retiro de los datos personales que son administrados por los establecimientos de crédito. Además, en el expediente no existe evidencia que demuestre la eficacia de este recurso, y ninguno de los sujetos procesales consideró que era idóneo para resolver este asunto. 32. Finalmente, se advierte que el actor obró de manera diligente, pues acudió a los medios de defensa judicial previstos en el ordenamiento jurídico. Así, el 17 de junio de 2021, interpuso una denuncia ante la Sala de Atención al Usuario de Barrancabermeja de la Fiscalía General de la Nación por la comisión del delito de falsedad personal del que fue víctima[55]. Incluso, desde el 26 de junio de 2021[56], radicó una queja ante la Superintendencia Financiera de Colombia para advertir sobre la utilización fraudulenta de sus huellas digitales y de su documento de identidad para adquirir distintos productos financieros. En conclusión, en este caso la Corte concluye que se cumplió con el requisito de subsidiariedad porque (i) el proceso penal no es un medio idóneo para proteger, en casos como el que se resuelve, el derecho fundamental al hábeas data, (ii) el accionante agotó el requisito de procedibilidad, exigido en este tipo de asuntos pues le solicitó la corrección del dato negativo a la fuente y (iii) no se encuentra probado que el proceso previsto en la Ley 2157 de 2021 sea efectivo para corregir los datos personales erróneos. B. Formulación del problema jurídico y metodología de la decisión 33. De conformidad con lo expuesto en líneas precedentes, el señor Ismael Silva Rodríguez presentó acción de tutela en contra del Banco Davivienda S.A., con el fin de que se le amparen sus derechos fundamentales al habeas data, al debido proceso, a la honra y al buen nombre, al ser reportado en las centrales de riesgo por no pagar varios productos financieros que habrían sido adquiridos suplantando su identidad. En contraste, la entidad bancaria dejó en claro, en sede de revisión, que llevó a cabo una investigación interna. En ella se demostró que el accionante, bajo engaño, suministró su información personal a terceros que solicitaron en su nombre los productos objeto de la reclamación. Lo anterior, plantea un asunto relevante, porque recientemente el Congreso de la República adoptó la Ley Estatutaria 2157 de 2021, que obliga a las entidades que sean operadores, fuentes y usuarios de información crediticia y financiera a demostrar que han adoptado medidas apropiadas y efectivas para proteger el marco normativo de protección de datos. En consecuencia, en este caso abordará el cumplimiento de ese mandato, denominado responsabilidad demostrada, al referirse a la investigación adelantada por el accionado para investigar la alegada suplantación de identidad. 34. En tales condiciones, le corresponde a la Sala Sexta de Revisión de la Corte Constitucional resolver el siguiente problema jurídico: ¿el Banco Davivienda S.A. vulneró el derecho fundamental de Ismael Silva Rodríguez al reportarlo en la central de riesgos de Datacrédito y mantener el dato negativo por el supuesto incumplimiento de unas obligaciones financieras, aunque se demostró en una investigación interna, que fueron obtenidas de manera fraudulenta a través de la suplantación de su identidad? 35. Con tal propósito, la Sala abordará el estudio del derecho fundamental al habeas data financiero y del principio de responsabilidad demostrada en el sistema jurídico colombiano para, con posterioridad, analizar el alcance de la protección del citado derecho cuando se trata de obligaciones crediticias inexistentes y se incurre en la conducta de suplantación de identidad. Por último, identificadas las subreglas y puestas en contraste con los hechos materiales del caso que se revisa, se dará respuesta al cuestionamiento atrás enunciado. El derecho fundamental al habeas data financiero 36. Una de las manifestaciones del derecho al habeas data se refiere a la protección de datos personales de contenido financiero. En efecto, la Carta Política garantiza, en su artículo 15, el derecho fundamental de toda persona a conocer, actualizar y rectificar la información comercial, financiera y crediticia recopilada en centrales de información para determinar el riesgo financiero de una persona[57]. Su regulación, en términos generales, se encuentra delimitada en la Ley Estatutaria 1266 de 2008[58], modificada y adicionada por la Ley 2157 de 2021[59], que desarrolla esta garantía constitucional y extiende su ámbito de aplicación a todos los datos de información personal registrados en un banco de datos, sean estos de naturaleza pública o privada. Por esta razón, la jurisprudencia constitucional ha caracterizado al habeas data financiero como un derecho fundamental específico, que se origina en la particular incidencia de las facultades previstas en el artículo 15 superior en el caso de las actividades de intermediación. Concretamente, dicha garantía tiene como finalidad preservar los intereses del titular de la información ante “el potencial abuso del poder informático, que para el caso particular ejercen las centrales de información financiera, destinada al cálculo del riesgo crediticio”[60]. El ejercicio de este derecho se relaciona con (i) el interés general, que representa el sistema financiero, (ii) la democratización del crédito, (iii) los derechos de crédito de las personas naturales y jurídicas, y (iv) el derecho a la información de las entidades que conforman el sistema financiero[61]. 37. De acuerdo con lo expuesto en la jurisprudencia constitucional en la materia, que fue sistematizada recientemente por la Sentencias SU-139 de 2021[62] y C-032 de 2021[63], el núcleo esencial del habeas data se encuentra conformado por los siguientes contenidos mínimos: a) el derecho a acceder a la información que se encuentra recogida en bases de datos; b) el derecho a incluir datos nuevos, para que exista una imagen completa del titular; c) el derecho a actualizar la información; d) el derecho a corregir la información contenida en una base de datos; y e) el derecho a excluir una información que se encuentra contenida en una base de datos. 38. A su vez, la garantía de este derecho se encuentra directamente asociada a un conjunto armónico e integral de principios de la administración de datos, consagrados en la normativa estatutaria y desarrollados por la jurisprudencia, que permiten la satisfacción de los derechos de los titulares[64], las fuentes de información[65], los operadores de las bases de datos[66] y los usuarios[67]. Estos son: libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad. 39. De acuerdo con el principio de libertad, el tratamiento de los datos solo puede llevarse a cabo cuando exista un consentimiento libre, previo y expreso del titular, a no ser que esté de por medio una obligación legal o judicial, que no requiera de dicho consentimiento[68]. Con este principio se pretende evitar que se recoja y divulgue información personal adquirida en forma ilícita, sin el consentimiento del titular, o sin una justificación legal o constitucional concreta[69]. Además, este principio se refiere a “la potestad con la que cuenta el titular de disponer de la información y conocer su propia identidad informática”[70]. Lo anterior consiste, básicamente, en el conocimiento de la recopilación de los datos, estar informado acerca de la finalidad del tratamiento y contar con “herramientas efectivas para su conocimiento, actualización y rectificación”[71]. Sobre el principio de veracidad, la Ley 1266 de 2008 prevé que “la información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible”[72]. Por ello, “se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error”[73], con lo cual se pretende asegurar que los datos reflejen situaciones reales, es decir, que sean ciertos, por lo que se encuentra prohibida la administración de datos erróneos[74]. En este punto, la jurisprudencia constitucional ha advertido que la prohibición de divulgar datos parciales o fraccionados se encuentra comprendida en el principio de integridad de la información[75]. En suma, la veracidad implica un deber de objetividad, esto es, que “la información no debe ser presentada en forma inductiva, sesgada o sugestiva”. Es una correspondencia entre el registro y las condiciones fácticas del sujeto cuya información personal es administrada en bases de datos, entre ellas las destinadas a la determinación del riesgo financiero. Por su parte, el principio de incorporación, cuyo alcance fue abordado con amplitud en las Sentencias C-282 de 2021[76] y C-032 de 2021[77], obliga al responsable del tratamiento a registrar en la base de datos toda la información que tenga una consecuencia favorable para el titular. En otras palabras, cuando la inclusión de la información personal comporte consecuencias negativas para una persona, la fuente y el operador tienen el deber de actualizar esta información con los comportamientos que incidan en la aplicación de estas consecuencias. El cumplimiento de ese deber implica, por ende, la satisfacción de los principios de incorporación y veracidad. Acerca del principio de finalidad, la Ley 1266 de 2008 señala que la administración de los datos personales debe obedecer a una finalidad compatible con la Constitución. En este sentido, la jurisprudencia ha advertido de manera reiterada que para satisfacer este principio: (i) los datos deben ser procesados con un propósito específico y explícito; (ii) la finalidad de la recolección debe ser legítima de acuerdo con la Constitución y (iii) la recopilación de los datos debe tener un fin exclusivo, de tal manera que se encuentra prohibido “el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista”[78]. Asimismo, la Corte ha establecido que la recolección de datos debe estar acorde con el principio de utilidad. Ello quiere decir que el acopio, procesamiento e información de los datos personales debe tener una función determinada. De allí que “quede proscrita la divulgación de datos que, al carecer de función, no obedezca a una utilidad clara y suficientemente determinable”[79]. En particular, esta Corporación ha llamado la atención de que el cálculo del riesgo crediticio es una finalidad constitucional legítima, que consiste en contar con la información necesaria para tener una adecuada distribución de los recursos de crédito, los cuales deben ser debidamente administrados al derivarse de los depósitos[80]. De esta manera se protege la estabilidad financiera y el ahorro público, que son actividades vinculadas al interés público como se encuentra previsto en el artículo 335 de la Constitución[81]. 40. Ahora bien, los principios de veracidad, integridad, finalidad y utilidad se encuentran reflejados en las obligaciones que le impone la Ley 1266 de 2008 a la fuente, a los operadores de la información y a los usuarios. De esta suerte, la referida normativa prevé que el titular puede exigirle a la fuente: a) la rectificación de los datos contenida en la base e informarlo a los operadores; b) solicitar prueba de la autorización, cuando esta sea necesaria; c) que la información que suministre a los operadores de los bancos de datos sea “veraz, completa, exacta, actualizada y comprobable”. Además, la fuente tiene como obligaciones correlativas: a) reportar periódicamente las novedades de los datos que haya suministrado previamente al operador; b) adoptar las medidas pertinentes para actualizar la información; c) rectificar la información incorrecta e informarla a los operadores; d) solicitar cuando sea necesario el consentimiento del titular y certificarlo semestralmente[82]; e) cuando se presente solicitud de rectificación informar al operador que determinada información se encuentra en discusión, para que se incluya una leyenda en este sentido, así como f) diseñar e implementar mecanismos eficaces para reportar la información al operador[83]. Igualmente, el operador de la información debe, de acuerdo con el artículo 7º de la Ley 1266 de 2008: a) solicitarle a la fuente que certifique la existencia de la autorización otorgada por el titular para el tratamiento del dato; b) asegurar los registros para impedir su alteración, pérdida, alteración o uso no autorizado; c) actualizar el registro de la información cada vez que lo reporten las fuentes; d) tramitar las peticiones, consultas y reclamos formulados por el titular de la información; d) indicar cuando haya lugar a ello que determinada información se encuentra en discusión por parte de su titular cuando no haya finalizado el trámite[84]. El principio de responsabilidad demostrada 41. Según lo expuesto en la Sentencia C-032 de 2021[85], el principio de responsabilidad demostrada consiste en el deber que le asiste al responsable del tratamiento de datos de demostrar ante la autoridad de datos que cuenta con la institucionalidad adecuada y los respectivos procedimientos internos para garantizar el efectivo goce del derecho al habeas data. Específicamente, debe evidenciar la vigencia del principio de libertad, las facultades de conocimiento, actualización y la rectificación del dato personal. En plena correspondencia con la Superintendencia de Industria y Comercio, este principio implica que las medidas adoptadas para cumplir con el referido derecho son útiles, pertinentes y eficientes[86]. Acerca del citado principio de responsabilidad demostrada también existen diferentes instrumentos internacionales que han ampliado su marco de aplicación. Por ejemplo, este fue incorporado en las directrices sobre datos personales de la Organización para la Cooperación y el Desarrollo Económico (OCDE) que fueron elaboradas en el año 2013[87]. Tales directrices, si bien no son una norma de derecho internacional público, sí configuran una doctrina relevante para la Corte, en la medida en que otorga argumentos para definir el contenido y alcance del principio de responsabilidad demostrada y su vínculo con los demás principios que integran el derecho fundamental al habeas data. Conforme con este documento, un controlador de datos es responsable de adoptar las medidas necesarias para cumplir con los principios de protección de datos. De esa manera, los controladores de datos habrán de cumplir con tres directrices[88]: En primer lugar, deben llevar a cabo: (a) un programa de control de datos acorde con la estructura, escala, volumen y sensibilidad de sus operaciones; (b) asegurar salvaguardas de evaluaciones de riesgo a la privacidad; (c) planes para responder a quejas e incidentes, que se actualice de acuerdo con su monitoreo y evaluación periódica. En segundo lugar, deben ser capaces de demostrar que su programa de administración de datos es apropiado. En particular, al atender solicitudes de la autoridad competente deberían demostrar que tienen un código de conducta para cumplir con sus obligaciones. Por último, deberían dar aviso, cuando ello resulte apropiado, a las autoridades competentes cuando exista una queja de seguridad seria que afecte los datos personales. Si la infracción afecta a los titulares del dato debería informarles[89]. En el ordenamiento jurídico interno, la legislación ha establecido el principio de responsabilidad demostrada frente a las entidades estatales y organizaciones de carácter privado. El Decreto 1377 de 2013[90], que reglamentó la Ley 1581 de 2012[91], estableció este principio[92]. En tal acto administrativo se previó que los responsables de los tratamientos de los datos deben demostrar, a solicitud de la Superintendencia de Industria y Comercio, que han implementado a cabalidad las medidas apropiadas y efectivas para cumplir las obligaciones reconocidas tanto en la referida ley como en el decreto recién mencionado[93]. Más adelante, en el Decreto 1413 de 2017[94], se instituyó el principio de responsabilidad demostrada para las entidades que conforman la administración pública[95], en el interés de prestar servicios ciudadanos digitales[96]. Así, quienes operen estos servicios deberán adoptar medidas apropiadas, efectivas y verificables que les permitan demostrar el correcto cumplimiento de las normas sobre tratamiento de datos personales[97]. En concreto, habrán de “crear e implementar un Programa Integral de Gestión de Datos (PIGD), como mecanismo operativo para garantizar el debido tratamiento de los datos personales”[98]. Este programa debe ser acorde con la guía del principio de responsabilidad demostrada elaborado por la Superintendencia de Industria y Comercio[99]. Igualmente, según dispone el decreto en cita, para proteger la confidencialidad, integridad y disponibilidad de los datos, todas las entidades adoptarán políticas apropiadas, efectivas y verificables que permitan demostrar el cumplimiento de un modelo de gestión de seguridad de la información[100]. Por su parte, la Ley Estatutaria 2157 de 2021, que modificó y adicionó la Ley 1266 de 2008, introdujo el principio de responsabilidad demostrada en la administración de las bases de datos de carácter financiero o crediticio[101]. De acuerdo con esta normativa, los operadores, las fuentes y los usuarios deben demostrar que han implementado “medidas apropiadas, efectivas y verificables para cumplir con las disposiciones de la Ley 1266 de 2008”. Estas medidas deben ser proporcionales frente a: (i) la naturaleza jurídica del operador, la fuente o el usuario; (ii) el tamaño de la empresa; (iii) la naturaleza de los datos personales; (iv) el tipo de tratamiento; (v) los riesgos potenciales que se pueda causar a los derechos de los titulares. En líneas generales, las medidas organizacionales y técnicas implementadas para cumplir con el referido principio habrán de determinarse con base en una evaluación de las actividades de procesamiento y de los riesgos inherentes a estas. De ahí que para garantizar el principio de responsabilidad demostrada, en los precisos términos previstos en la Ley 2157 de 2021[102], los operadores, las fuentes y los usuarios tienen la obligación de: (i) crear una organización administrativa para la adopción de políticas acordes con el marco normativo de protección de datos personales; (ii) adoptar mecanismos internos para poner en práctica esas políticas; y, (iii) establecer procesos para la atención de consultas, peticiones y reclamos de los titulares, relacionados con el tratamiento de los datos. Lo anterior, no solo con especial énfasis en la calidad, confidencialidad y seguridad de la información, sino también en acatamiento de la comunicación previa del reporte negativo y de la atención oportuna de consultas y reclamos de los titulares de los datos. 42. En síntesis, bajo el principio de responsabilidad demostrada, a los encargados del tratamiento de datos personales les asiste la obligación general de adoptar medidas apropiadas, efectivas y verificables para proteger el derecho fundamental de habeas data. Estas medidas deberán garantizar, como mínimo y en cualquier operación de procesamiento de datos personales: (i) una organización administrativa para cumplir con estas políticas; (ii) un mecanismo interno para hacerlas efectivas; y, (iii) un proceso adecuado de consultas, peticiones y reclamos que garantice la confidencialidad y seguridad de la información. Lo anterior, sin perjuicio de reconocer que, como sucede en otras latitudes, la manera específica de dar cumplimiento a las anteriores medidas depende por completo de los hechos y circunstancias concretas de cada caso particular[103]. De hecho, el propio legislador previó que, al adoptar estas medidas, habrá de atenderse a distintas circunstancias tales como la naturaleza jurídica del responsable en el tratamiento de datos, el tamaño de la empresa, el tipo de datos involucrados y el posible daño que pueda causar una eventual divulgación de estos. La protección del derecho fundamental al habeas data en la jurisprudencia constitucional cuando se trata de obligaciones inexistentes 43. En materia de tutela, la Corte Constitucional ha protegido los derechos fundamentales al habeas data y al buen nombre de los titulares cuando se demuestra en el caso concreto que una fuente reporta ante los operadores información negativa sobre su presunto incumplimiento de obligaciones crediticias inexistentes. En estas decisiones, las diferentes Salas de Revisión han establecido que los requisitos para que proceda el reporte de un dato desfavorable son los siguientes: por un lado, (i) la veracidad acerca de la existencia de una obligación crediticia y, por otro, (ii) la autorización previa, escrita y expresa del titular para que se reporte el dato negativo. Así, por ejemplo, en la Sentencia T-847 de 2010[104], la Sala Novena de Revisión de esta Corporación estudió una acción de tutela promovida por una ciudadana en contra de un banco por remitir datos financieros negativos sin verificar la veracidad del crédito registrado en mora, ni la autorización de la titular. En aquella oportunidad, este Tribunal concluyó que la entidad bancaria violó los derechos fundamentales al habeas data y al buen nombre de la accionante, pues la fuente no solo no demostró el origen de la obligación crediticia, ni tampoco la existencia del crédito ni la mora reportada a las centrales de riesgo. Incluso, se concluyó que el operador ni siquiera acreditó la autorización de la titular para realizar el reporte del dato negativo. Por todo lo anterior, la referida Sala de Revisión ordenó el retiro de cualquier reporte, positivo o negativo, relacionado con la obligación controvertida por encontrarla inexistente, así como su respectiva eliminación de las bases de datos de las centrales de riesgo. Bajo idéntica postura, la Sala Cuarta de Revisión de la Corte Constitucional, en Sentencia T-017 de 2011[105], abordó el examen de un caso en el que una entidad bancaria desconoció el derecho de hábeas data de una persona por no eliminar el reporte de un dato negativo suyo por haber incurrido en mora, pese a haberle expedido de manera previa un paz y salvo de la obligación que había contraído inicialmente. En dicha ocasión, la Sala advirtió que la fuente que reportó la información violó los derechos al buen nombre y al habeas data del promotor del amparo, pues no existía un soporte que respaldara la veracidad de la obligación insoluta. Por este motivo, concluyó que la obligación era inexistente y, por ello, quedaba en entredicho el reporte negativo de la información a las centrales de riesgo. En esa medida, ordenó a la entidad bancaria demandada que retirara el reporte de la obligación que había efectuado frente al operador de la información. En un sentido similar, mediante la Sentencia T-658 de 2011[106], la Sala Séptima de Revisión de la Corte se pronunció acerca de una acción de tutela en la que se controvirtió el reporte negativo que se hizo ante una central de riesgo de una mujer madre cabeza de familia a la que se le impidió acceder a un crédito de una vivienda de interés social. En este asunto, la Corte evidenció que se habían desconocido los derechos fundamentales al buen nombre y al habeas data financiero de la actora, en la medida en que no se había demostrado la existencia de la presunta obligación de la que era titular. Además, no se demostró la autorización de esta a la fuente para reportar el dato negativo ni que el operador haya cumplido con la obligación de verificar su veracidad. En tal virtud, se ordenó a la entidad accionada que solicitara el retiro del dato negativo ante el operador de la información respecto de la obligación crediticia controvertida por encontrarla inexistente, así como la respectiva eliminación de sus bases de datos. De una lectura integral de la anterior línea jurisprudencial, se tiene que, por regla general, tanto la Ley Estatutaria 1266 de 2008 como la jurisprudencia constitucional establecen la posibilidad de toda persona de corregir sus datos personales contenidos en una base de datos por las centrales de riesgo. Esta garantía forma parte del núcleo esencial al habeas data y se encuentra protegida por los principios de veracidad, integridad e incorporación. Tales principios han sido aplicados jurisprudencialmente en casos en los que el reporte del dato negativo de obligaciones inexistentes se realiza sin el consentimiento de su titular, en detrimento de su derecho fundamental al habeas data. Protección de las autoridades de datos cuando se demuestra que ha acontecido una situación de suplantación de identidad 44. En el ordenamiento jurídico interno, la...