Protección de datos financieros en Colombia: tus derechos ante la SIC 2026

El habeas data financiero es el derecho constitucional (artículo 15 de la Constitución Política de Colombia) a conocer, actualizar y rectificar la información que reposa en bases de datos financieras. Sus componentes principales:

• Derecho a conocer: puedes consultar gratuitamente tu reporte en DataCrédito (midatacredito.com) y TransUnion una vez al mes. Las entidades no pueden cobrarte por esta consulta básica.
• Derecho a actualizar: si tu situación cambió (pagaste una deuda, llegaste a un acuerdo), el reportante (banco, cooperativa, comercio) tiene la obligación de actualizar la información en las centrales de riesgo en los plazos legales.
• Derecho a rectificar: si hay información incorrecta en tu reporte (deuda que ya pagaste reportada como activa, montos equivocados, obligaciones que no son tuyas), tienes derecho a solicitar la corrección.
• Derecho a suprimir: los reportes negativos por mora se eliminan automáticamente según la ley: el tiempo de permanencia es el doble del tiempo en mora, con un máximo de 4 años. Pasado ese plazo, la entidad debe borrar el reporte aunque la deuda no esté pagada.

Si encuentras información incorrecta en tu reporte crediticio, el proceso es:

1. Descarga tu reporte completo: en midatacredito.com (DataCrédito / Experian) o transunion.co. Identifica específicamente qué información es incorrecta: entidad, monto, fecha de mora, estado actual.
2. Presenta reclamo ante la entidad reportante: primero debes reclamar directamente al banco, cooperativa o empresa que reportó la información. Tienen 15 días hábiles para responder (Ley 1266/2008).
3. Si la entidad no responde o niega el reclamo injustificadamente: presenta queja ante la central de riesgo (DataCrédito o TransUnion) con el soporte de tu reclamo ante la entidad. La central tiene 8 días hábiles para resolver o trasladar a la entidad reportante.
4. Si persiste el error: presenta queja formal ante la SIC (sic.gov.co). La SIC puede investigar a la entidad, ordenar la corrección y sancionar con multas de hasta 2.000 salarios mínimos mensuales legales.

La Ley 1266 de 2008 establece plazos específicos:

• Mora pagada: si pagaste la deuda en mora, el reporte negativo permanece el doble del tiempo que duró la mora. Si estuviste en mora 6 meses, el reporte negativo permanece 12 meses más desde que pagaste. Máximo 4 años desde el pago.
• Mora no pagada: el reporte permanece máximo 4 años desde que se hizo exigible la obligación (fecha de primer incumplimiento). Pasado ese plazo, debe eliminarse incluso si la deuda sigue sin pagar.
• Deudas prescritas: en Colombia, las deudas prescriben generalmente en 5 años para acciones judiciales. Una deuda prescrita aún puede generar reporte negativo si no ha pasado el plazo de los 4 años.
• Fraudes de identidad: si alguien tomó un crédito en tu nombre fraudulentamente, tienes derecho a la eliminación inmediata del reporte presentando la denuncia ante la Fiscalía y la documentación a la entidad reportante.

La Ley 1581 de 2012 y la Ley 1266 de 2008 delimitan el uso permitido de tus datos:

• Sí pueden: reportar información a centrales de riesgo, compartir datos con otras entidades financieras para análisis de crédito, usar tu historial para ofertas personalizadas si diste autorización expresa.
• No pueden: compartir tu información financiera con terceros no autorizados (empleadores, familiares, amigos), vender tu base de datos sin tu consentimiento, usar datos desactualizados para negar crédito, reporte datos incorrectos o exagerados.
• Consentimiento: cada vez que firmas un formulario de apertura de cuenta o solicitud de crédito, hay una cláusula de autorización de datos. Tienes derecho a saber exactamente para qué usan tu información y a revocar el consentimiento para uso comercial (publicidad, ofertas), aunque no puedes revocar el reporte a centrales de riesgo mientras la deuda esté activa.

La SIC tiene competencia para investigar y sancionar a entidades financieras que vulneren tus derechos de habeas data. El proceso:

• Agota la vía directa primero: la SIC solo acepta quejas cuando has intentado resolver directamente con la entidad sin éxito. Conserva todos los registros de tu reclamo (correos, radicados, cartas).
• Radica la queja en sic.gov.co: la SIC tiene un sistema en línea para quejas de protección de datos. Describe el problema con precisión, adjunta los soportes (reporte de DataCrédito, comunicaciones con la entidad, comprobante de pago si aplica).
• Plazo de respuesta: la SIC tiene 30 días hábiles para dar respuesta de fondo a tu queja. En casos complejos puede ampliarse otros 15 días.
• Sanciones posibles: la SIC puede multar a las entidades hasta 2.000 SMLMV (~$2.600.000.000 COP en 2026), ordenar la corrección inmediata del reporte y, en casos graves, revocar autorizaciones de funcionamiento.