Compra de cartera y datos personales: Lo que no se transfiere con el endoso
hace 21 minutos
7 min de lectura
Una persona que tenía una deuda con una caja de compensación familiar amaneció un día siendo cliente de una empresa que nunca contrató. No hubo firma, no hubo acuerdo, no hubo momento en que esa persona dijera: autorizo que mis datos personales sean usados por quien quiera que compre mi obligación. Y sin embargo, esos datos viajaron. Viajaron junto con la cartera, como si fueran una cláusula más del contrato, como si la autorización para tratar información personal fuera un derecho accesorio que el endoso arrastra sin necesidad de mencionarla.
Ese supuesto es el que la Superintendencia de Industria y Comercio rechazó en la Resolución 52908 de 2026. La decisión sanciona a CITI SUMMA S.A.S. por haber tratado datos personales sin contar con una autorización válida del titular, luego de adquirir una cartera de crédito que originalmente pertenecía a la Caja de Compensación Familiar Compensar. Lo que aquí me interesa explorar no es solo la sanción, sino lo que ella revela sobre la naturaleza jurídica de los datos personales en el contexto de las operaciones de compraventa de cartera, y sobre las responsabilidades que esa operación genera en todos los eslabones de la cadena.
1- Lo que el endoso transfiere y lo que no
Para entender por qué los datos personales no viajan con la cartera, es necesario entender primero cómo se perfecciona una compraventa de cartera en el derecho colombiano. Cuando una entidad vende su cartera, lo que transfiere es un conjunto de derechos de crédito: el derecho a exigir el pago del capital, los intereses, las garantías constituidas para respaldar la obligación y los derechos accesorios que por su naturaleza siguen al crédito principal. La cesión se perfecciona entre las partes con el acuerdo de voluntades, pero solo es oponible al deudor cedido a partir del momento en que le es notificada o aceptada por él, conforme al artículo 1960 del Código Civil. A partir de ese momento, el cesionario ocupa el lugar del acreedor original.
En ese esquema, los derechos accesorios que siguen al crédito son aquellos que nacen directamente de la obligación dineraria, como la hipoteca, la prenda, el aval, la fianza y la cláusula aceleratoria. Son derechos cuya existencia depende de la existencia del crédito y cuya finalidad es garantizarlo o facilitar su cobro. El artículo 1666 del Código Civil lo establece con claridad al regular la hipoteca, y el principio se extiende a los demás accesorios, bajo la regla de que lo accesorio sigue la suerte de lo principal.
La autorización para tratar datos personales no encaja en esa categoría. No nace de la obligación dineraria, no garantiza el crédito, no existe para facilitar su cobro. Su fuente y su naturaleza son distintas; es un acto jurídico autónomo, cuya existencia depende exclusivamente de la voluntad del titular y cuya validez está condicionada por la Ley 1581 de 2012 a que sea previa, expresa e informada. Una autorización válida identifica al responsable del tratamiento, precisa las finalidades para las que se otorga y delimita el tipo de datos que cubre. Cuando ese responsable cambia por efecto de una cesión de cartera, la autorización original no se extiende automáticamente al nuevo acreedor: el vínculo de confianza que la ley exige se constituyó con una entidad determinada, para unos propósitos determinados, y no hay norma que permita trasladarlo por vía contractual sin el conocimiento y el consentimiento del titular.
Dicho en términos más simples: el acreedor puede ceder el crédito, pero no puede ceder la autorización que el deudor le otorgó a él. Lo que se cede es el derecho a cobrar, no el derecho a tratar información personal. Para que el nuevo acreedor pueda hacerlo válidamente, necesita su propia autorización.
Esto no hace inviable el negocio de compraventa de cartera. Lo que hace es exigir que el negocio se estructure con la debida diligencia frente al tratamiento de datos. Hay dos caminos válidos para que el comprador de una cartera pueda contactar legítimamente a los deudores cedidos. El primero es de diseño previo y consiste en que la autorización que el acreedor original le pide al titular contemple expresamente la posibilidad de transferir sus datos a terceros que adquieran la cartera, con indicación de las finalidades que tendrá ese tratamiento. Si esa cláusula existe y es suficientemente específica, el comprador de la cartera opera dentro del marco que el titular autorizó desde el inicio. El segundo camino es operativo; la notificación de la cesión que el artículo 1960 del Código Civil ya exige para que el cambio de acreedor le sea oponible al deudor puede ser, al mismo tiempo, el momento en que el nuevo acreedor solicita una autorización de tratamiento de datos directamente al titular. La ley civil y la ley de protección de datos convergen en ese punto: ambas exigen informar al deudor, y esa comunicación puede cumplir simultáneamente con las dos obligaciones si se redacta con cuidado. Ninguno de los dos caminos es complejo. Ambos son perfectamente compatibles con las operaciones de crédito a escala.
2- El origen del problema: Una autorización redactada sin prever la cesión
La resolución revela que la autorización de tratamiento de datos que COMPENSAR incluyó en sus contratos no contemplaba expresamente la posibilidad de ceder esa información a terceros en el marco de una venta de cartera. Cuando CITI SUMMA S.A.S. adquirió esa cartera y comenzó a usar los datos para gestionar el cobro, no contaba con una autorización válida del titular para hacerlo.
La Ley 1581 de 2012 no solo regula las condiciones en que se puede tratar datos personales; también establece obligaciones específicas para quien actúa como responsable del tratamiento. El artículo 17 le impone, entre otras, el deber de garantizar que los datos solo se recopilen para finalidades explícitas y autorizadas, y de abstenerse de suministrarlos a terceros salvo cuando medie autorización del titular o una excepción legal. Cuando COMPENSAR vendió su cartera sin asegurarse de que los titulares hubieran autorizado esa transferencia, no fue únicamente negligente en el diseño de su cláusula de autorización: incumplió una obligación legal como responsable original del tratamiento. La falla no es solo de redacción; es de cumplimiento normativo.
Una cláusula bien redactada habría establecido, en esencia, que los datos recopilados podrán ser tratados por la entidad o por terceros a quienes esta ceda total o parcialmente los derechos derivados de la relación contractual, incluyendo la gestión del cobro y la recuperación de cartera, y que en ese evento el titular será informado del nuevo responsable del tratamiento. Esa frase, o una equivalente con igual precisión, habría cerrado el vacío que terminó en sanción. Su ausencia no es un detalle menor de forma; es el punto de partida de todo el problema.
Aquí la responsabilidad tiene dos frentes. El más evidente recae sobre quien usó los datos sin autorización suficiente: CITI SUMMA. La SIC lo sancionó por eso. El segundo frente, menos visible en la decisión pero igualmente relevante, es el de COMPENSAR. No solo redactó una autorización deficiente: permitió, al momento de ceder la cartera, que información personal de sus afiliados saliera de su esfera de control hacia un tercero sin el respaldo legal que la ley exigía. La asimetría en la decisión de la SIC es, quizás, el aspecto más discutible de la resolución.
3- Una inconsistencia y una pregunta sin respuesta
Durante el trámite administrativo, CITI SUMMA no fue consistente en su versión sobre cómo llegaron los datos a su poder. En los descargos presentados en agosto de 2024, la empresa afirmó que adquirió la cartera directamente de COMPENSAR. En los alegatos de conclusión de noviembre del mismo año, cambió su relato: sostuvo que la compra la había realizado SUMMA VALOR, una sociedad vinculada, y que fue a través de esa operación que los datos llegaron a CITI SUMMA.
La contradicción es significativa no solo por lo que dice sobre la cadena de titularidad de los datos, sino por lo que revela sobre la informalidad con que se gestionó esta operación. Si ni la propia empresa tiene claro de qué manera obtuvo la información que usó para cobrar, es difícil sostener que existió un tratamiento responsable y diligente.
La pregunta que la resolución deja sin responder es cuál de las dos versiones es verdadera, y qué consecuencias jurídicas tendría cada una. Si la compra fue directa, COMPENSAR tiene una responsabilidad que la SIC no exploró. Si fue a través de SUMMA VALOR, hay un eslabón adicional en la cadena cuya conducta tampoco fue examinada. En cualquier caso, la decisión se concentró en el último responsable del tratamiento y dejó en la sombra a los actores anteriores.
4- El correo al empleador: Una infracción que quedó sin sanción propia
Uno de los hechos que motivó la queja ante la SIC fue el envío de comunicaciones al empleador del titular de los datos. Esta práctica, contactar al lugar de trabajo de un deudor para presionar el pago de una obligación, es la que la Ley 2300 de 2023 buscó proscribir de manera expresa. La norma, conocida popularmente como la ley "Dejen de Fregar", establece prohibiciones concretas sobre las formas de contacto que los cobradores pueden usar, precisamente porque el hostigamiento en el entorno laboral del deudor afecta no solo su privacidad sino su estabilidad económica y su dignidad.
La resolución menciona el hecho pero no lo convierte en un cargo autónomo con sanción propia. La conducta queda subsumida en la infracción general por tratamiento de datos sin autorización. Eso genera una pregunta de política sancionatoria: ¿es suficiente tratar el contacto al empleador como una manifestación más del uso indebido de datos, o merece una valoración independiente dado que afecta no solo al titular sino también a terceros que no tienen relación alguna con la deuda?
Esta omisión no es aislada. Se suma a la que ya señalé respecto de COMPENSAR: la SIC tuvo ante sí una operación con varios actores, cada uno con un rol diferenciado en la cadena que llevó a la vulneración de los datos del titular, y optó por concentrar el análisis y la sanción en quien estaba al final de esa cadena. COMPENSAR diseñó una autorización deficiente, transfirió datos sin respaldo legal suficiente y, sin embargo, no fue llamada a responder. CITI SUMMA presentó versiones contradictorias sobre cómo obtuvo los datos, usó información sin autorización válida y contactó al empleador del titular; recibió la sanción. Pero el incentivo que esa decisión genera hacia adelante es preocupante: quien cede una cartera mal autorizada aprende que el riesgo recae íntegramente sobre el comprador, y quien cobra con prácticas prohibidas aprende que basta con que la conducta quede subsumida en una infracción más amplia para evitar que sea valorada en su especificidad.
La Ley 2300 existe precisamente porque el legislador consideró que la práctica de contactar al empleador era suficientemente grave como para merecer tratamiento especial. El hecho de que la SIC no la haya aplicado de manera expresa sugiere que aún falta articulación entre el régimen de protección de datos personales y la normativa específica de cobranza. Dos estatutos que protegen los mismos derechos desde ángulos distintos deberían dialogar con más fluidez. Mientras eso no ocurra, las resoluciones seguirán capturando la punta del problema sin alcanzar su raíz.
Conozca la resolución de la SIC:
¿Necesita asesoría?
Comentarios