Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co CONSEJO DE ESTADO SALA DE LO CONTENCIOSO ADMINISTRATIVO SECCIÓN PRIMERA CONSEJERO PONENTE: HERNANDO SÁNCHEZ SÁNCHEZ Bogotá D.C., veintisiete (27) de marzo de dos mil veinticinco (2025) Referencia: Medio de control de nulidad y restablecimiento del derecho Número único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Demandada: Superintendencia de Industria y Comercio1 Asunto: Infracción al hábeas data, manejo de la información contenida en las bases de datos personales financiera, crediticia y comercial SENTENCIA SEGUNDA INSTANCIA La Sala decide el recurso de apelación interpuesto por la parte demandante contra la sentencia proferida en primera instancia, el 3 de febrero de 2017, por la Subsección A de la Sección Primera del Tribunal Administrativo de Cundinamarca.
La presente sentencia tiene las siguientes partes: i) Antecedentes; ii) Consideraciones de la Sala; y iii) Resuelve; las cuales se desarrollan a continuación. I.
ANTECEDENTES La demanda 1. Experian Colombia S.A.2, en adelante la parte demandante, presentó demanda contra la Superintendencia de Industria y Comercio, en adelante la parte demandada, en ejercicio del medio de control de nulidad y restablecimiento del derecho3, con las siguientes pretensiones. Pretensiones 1 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_01 OTROS- CUADERNO 01 PRINCIPAL(.pdf) NroActua 27 […]”. 2 Por intermedio de apoderada. 3 Previsto en el artículo 138 de la Ley 1437 de 18 de enero de 2011 “[…] Por el cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo […]” 2 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 2.
La parte demandante formuló las siguientes pretensiones4: “[…]"
PRIMERO. - Que se declare la nulidad de las Resoluciones No. 62016 del 25 de octubre de 2013 No. 3390 del 30 de enero de 2014 y No. 18381 del 21 de marzo e 2014, dictadas por la Superintendencia de Industria y Comercio dentro de la actuación administrativa No. 12-180712, mediante las cuales se impuso a EXPERIAN COLOMBIA S.A. una sanción equivalente a setecientos (700) SMLMV por la supuesta comisión de las infracciones contenidas en los numerales 3, 6 y 10 del artículo 7 de la Ley 1266 de 2008 y se le ordenó realizar ajustes en sus procedimientos y se resolvieron los recursos de reposición y apelación mediante los cuales se agotó la vía gubernativa. […]” 3.
A título de restablecimiento del derecho solicitó5: “[…] SEGUNDA. - Que a título de restablecimiento se exonere de toda responsabilidad a EXPERIAN COLOMBIA S.A. y se revoque la multa que le fue impuesta mediante los actos demandados. TERCERA. - Que, como consecuencia de lo anterior, se reintegre la suma de dinero pagada por EXPERIAN COLOMBIA S.A. a la Superintendencia de Industria y Comercio en cumplimiento de la sanción impuesta, junto con los intereses moratorios desde la fecha en que tuvo lugar el pago y hasta cuando el reintegro se realice.
CUARTA. - Que en caso de que el Tribunal estime que no procede la condena de intereses moratorios, se condene al reintegro de las sumas pagadas por la multa impuesta más intereses corrientes o, en subsidio, se ordene el reintegro del valor pagado por mi poderdante debidamente indexado o actualizado de tal forma que se reconozca el costo de oportunidad del dinero.
QUINTA. - Que se condene a la parte demandada a pagar a favor de mi representada, todo perjuicio derivado de actos cuya nulidad se impetra y que aparezca probado dentro del proceso. SEXTA. - Que la parte demandada deberá pagar las costas y agencias en derecho del proceso. […]”. Presupuestos fácticos 4. La parte demandante expuso, en síntesis, los siguientes hechos para fundamentar sus pretensiones: 4.1.
Experian Colombia S.A. es una compañía que tiene por objeto “[…] ofrecer a terceros servicios de procesamiento de datos; almacenamiento, administración, 4 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C01_CD01 FOLIO 274- DEMANDA Y ANEXOS (.pdf) NroActua 27 […]”. 5 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_CD01 FOLIO 274- DEMANDA Y ANEXOS (.pdf) NroActua 27 […]”. 3 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co manejo y/o transformación de información en todas sus formas; comunicación, captura, enrutamiento, resolución y/o transferencia electrónica de datos; creación, administración y organización de archivos; documentos y bases de datos para procesos ordenados por terceros o para la comercialización de productos o servicios en general […]”, entre otras actividades, relacionadas con el manejo de información y procesamiento de datos, propietaria y operadora del establecimiento de comercio y la unidad de negocio “Data crédito”. 4.2.
El representante legal de PCS Colombia EU, el 24 de junio de 2011, presentó una queja contra de la parte demandante, bajo los siguientes argumentos: i) en uno de los acercamientos comerciales entre Experian y PCS, a finales de 2010, una de las ejecutivas de vinculación de la parte demandante, al realizar una demostración de los servicios, exhibió el historial crediticio de uno de los clientes de PCS; ii) con posterioridad a ello, la parte demandante y PCS, el 30 de noviembre de 2010, suscribieron un contrato integral de portafolio de productos Data crédito núm. 0007061, en virtud del cual la última tendría acceso a la información crediticia de sus clientes potenciales y actuales que se encontraran en Data crédito; iii) PCS, encontrándose en ejecución el contrato referido, se acercó a la parte demandante para reportar unos clientes morosos en la base de Data crédito, informándosele que, de conformidad con la ley, ello no era posible mientras no se contara con la autorización de dichos clientes; y, iv) en vista de lo anterior, PCS solicitó la anulación del contrato, frente a lo cual la parte actora le manifestó que hasta tanto no se cancelaran las facturas pendientes, este no podía darse por terminado. 4.3.
El Superintendente de Sociedades, actuando como Superintendente de Industria y Comercio Ad-hoc, el 23 de enero de 2012, emitió el Oficio núm. 100- 005377, a través del cual le solicitó a la parte demandante que rindiera explicaciones por una presunta vulneración de los numerales 3.º, 6.º y 10.º del artículo 7.º y el numeral 1.º del artículo 9.º de la Ley 1266 de 31 de diciembre de 2008,6 específicamente, porque “[…] una funcionaria de EXPERIAN, actuando en nombre y representación de esa entidad, accedió al historial crediticio del representante legal de la Sociedad CI Americaflor LTDA., con una finalidad distinta a la de establecer y mantener una relación comercial, lo que hace presumir el 6 “[…] por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.[…]” 4 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co incumplimiento del deber que tiene los usuarios de utilizar información consultada únicamente para los fines que le fue entregada.[…]”. 4.4.
La parte demandante, el 16 de febrero de 2012, dio respuesta a dicha solicitud, manifestando que la consulta realizada por sus funcionarios, para las demostraciones durante un proceso de venta, no permite visualizar a quién corresponde la información y, por lo tanto, mantiene al titular del dato personal en el anonimato. Aunado a ello, señaló que la actuación administrativa vulneraba el derecho al debido proceso, toda vez que el trámite que rige los procesos relacionados con la presunta violación de normas de hábeas data financiero, es el establecido en el artículo 52 del Decreto 2153 de 1992. 4.5.
El Director de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, el 23 de octubre de 2021, expidió la Resolución núm. 62016, mediante la cual impuso a la parte demandante una sanción de 700 SMLMV y le ordenó realizar los ajustes correspondientes en sus procedimientos para que, en adelante, no se asignaran perfiles de usuarios y claves de acceso a aquellos funcionarios adscritos que realizaran labores comerciales. 4.6.
Lo anterior, por cuanto: i) la empresa demandante reconoció que sus ejecutivos de vinculación tenían claves de acceso para realizar demostraciones a potenciales clientes como herramienta comercial, sin estar autorizados para usar la información con dicho fin; ii) se configuró un “[…] acceso ilegal a la información de crédito de un ciudadano como herramienta de promoción de ventas […]”; y, iii) no era necesaria la causación de un daño sino que bastaba la puesta en peligro, situación que ocurrió en este caso, por la grave violación que se había presentado a los principios de confidencialidad, seguridad y circulación restringida, al permitir que la información de sus bases de datos fuera utilizada para fines distintos para los cuales había sido entregada y que circulara por fuera de los parámetros legalmente previstos. 4.7.
La parte demandante interpuso recurso de reposición y, en subsidio, apelación contra del acto administrativo antes mencionado, en el cual insistió que la investigación administrativa debió ser tramitada bajo lo dispuesto en el artículo 52 del Decreto 2153 de 1992. 5 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 4.8.
Aunado a ello, sostuvo, que el acto a través del cual le solicitó explicaciones debió notificarse personalmente; que quien era el competente para iniciar la actuación era el Director de Investigación de Protección de Datos Personales y no el Superintendente de Industria y Comercio Ad-hoc; que no se probó que desde la entrada en vigencia de la Ley 1266 hasta enero de 2011 hubiera incumplido los deberes contenidos en la normativa aplicable; que se desconoció el principio de legalidad, dado que la conducta supuestamente desplegada no está tipificada en la ley como falta; y, que no se tuvieron en cuenta los criterios establecidos en el artículo 19 de la ley antes mencionada para graduar la sanción. 4.9.
La Dirección de Investigación de Protección de Datos Personales, el 30 de enero de 2014, expidió la Resolución núm. 3390, a través de la cual confirmó la decisión inicial y concedió el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales. 4.10. La Superintendencia Delegada para la Protección de Datos Personales, el 21 de marzo de 2014, por Resolución núm. 18381, al resolver el recurso de apelación, confirmó la decisión sancionatoria. 4.11.
La parte demandante, el 16 de mayo de 2014, pagó la totalidad de la sanción que se le impuso. Normas violadas7 5. La parte demandante invocó como vulneradas las siguientes normas: • Artículos 1, 2, 4, 6, 13, 29, 73, 90, 121, 122, 123, 209 y 243 de la Constitución Política. • Artículos 3, 10, 50, 137 y 138 de la Ley 1437 de 18 de enero de 20118. • Artículo 52 del Decreto 2153 de 30 de diciembre de 1992.9 • Artículos 3, 4, 5, 7, 15, 18 y 19 de la Ley 1266. 7 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_CD01 FOLIO 274-DEMANDA Y ANEXOS (.pdf) NroActua 27 […]”. 8 “[…] Por el cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo […] 9 “[…] por el cual se reestructura la Superintendencia de Industria y Comercio y se dictan otras disposiciones […]” 6 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co • Artículos 191 y 197 de la Ley 1564 de 12 de julio de 201210.
Concepto de violación Primer cargo: Vulneración del derecho al debido proceso por la aplicación de un procedimiento inadecuado 6. La parte demandada adelantó la investigación teniendo en cuenta el procedimiento sancionatorio establecido en el Código Contencioso Administrativo, bajo el entendido de que el artículo 18 de la Ley 1266, no establece un trámite especial para los procesos administrativos sancionatorios contra de operadores de información financiera, debiéndose acudir a la regla contenida en el artículo 54 del Decreto 2153 de 1992. 7.
No obstante lo anterior, los actos administrativos cuestionados quedaron viciados de nulidad, en la medida en que el trámite que debió seguirse fue el previsto en el artículo 52 del Decreto 2153 de 1992, en concordancia con la sentencia C-1011 de 2008, que fue clara al señalar que el procedimiento aplicable, tratándose de infracciones en materia de hábeas data financiero, era el previsto en la norma mencionada. 8.
Erróneamente, la parte demandada sostuvo dentro de los actos que confirmaron la decisión inicial, que el artículo 18 de la Ley 1266 no remitía expresamente al procedimiento establecido en el decreto antes mencionado y que el procedimiento fijado por dicha norma solamente era aplicable para procesos sancionatorios adelantados por violación de las normas de protección de la competencia. Segundo cargo: Vulneración del derecho al debido proceso por otras irregularidades que se surtieron durante la actuación administrativa y en la expedición de los actos administrativos objeto de la demanda 9.
El único sustento probatorio con el que contó la parte demandada para afirmar que se cometió la conducta imputada, fue la supuesta confesión de la parte demandante cuando afirmó, al atender la solicitud de explicaciones contenida en el Oficio núm. 100-005377, que: “[…] “De acuerdo con lo anterior, los ejecutivos de 10 “[…] Por medio del cual se expide el Código General del Proceso y se dictan otras disposiciones […]”. 7 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co vinculación de la Compañía cuentan con claves de acceso a la consulta de historia de crédito para hacer las demostraciones durante el proceso de venta del servicio y la vinculación de un cliente. […]” 10.
Así, en cuanto a la hipotética confesión, la parte demandada no analizó si, efectivamente una simple afirmación cumplía los requisitos previstos en el artículo 197 de la Ley 1564. 11. Además de lo anterior, resulta violario que la parte demandada rechazara, sin justificación alguna, los testimonios que fueron solicitados en su momento, afirmando equivocadamente que habían sido solicitados con el fin de establecer los correctivos implementados en enero de 2011, lo cual venía a ser un hecho posterior que no estaba siendo cuestionado ni era la causa o fundamento de la sanción impuesta. 12.
Por otra parte, para el momento en que se expidió el oficio a través del cual se formularon los cargos, ya se encontraba vigente el Decreto 4886 de 2011 y, por lo tanto, tal facultad le correspondía a la Dirección de Investigación de Protección de Datos Personales y no al Superintendente de Industria y Comercio Ad-hoc. 13. Igualmente, el acto de apertura de la investigación fue notificado indebidamente, en tanto que debió hacerse personalmente.
Tercer cargo: Violación de los principios de legalidad y proporcionalidad 14. La sanción impuesta no fue consecuente con las circunstancias particulares que rodearon los hechos y con la finalidad perseguida por la Ley 1266, quebrantándose el principio de proporcionalidad. 15. Para el efecto, cabe resaltar que si bien no es indispensable que se haya causado un daño a los titulares de la información, también lo es que en la ponderación de las circunstancias particulares que rodearon los hechos materia de sanción, tienen mucha mayor gravedad aquellos eventos en los que se ha causado un perjuicio patrimonial y extrapatrimonial, que las situaciones en las que se trató de un supuesto peligro, como sucedió en este asunto, por lo que habría podido únicamente ordenarse la adopción de medidas adecuadas para atender la situación, 8 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co como lo autoriza el artículo 17 numeral 6.º de la Ley 1266 y no una sanción pecuniaria. 16.
Aunado a ello, se estableció que el peligro se generó a partir del tiempo durante el cual supuestamente tuvieron lugar las infracciones imputadas y la cantidad de titulares de la información afectados o puestos en riesgo, dando por sentado, sin ningún sustento probatorio, que la situación de hecho se había presentado desde la entrada en vigencia de la Ley 1266 y hasta enero de 2011, y que había sido muy alta la cantidad de titulares de la información afectados, frente a lo cual hay que señalar que en la actuación administrativa no obra prueba alguna sobre la cantidad de personal que tuvo clave de acceso para demostraciones durante el proceso de venta, ni cuándo le fue entregada la clave a cada ejecutivo, ni cuántas demostraciones tuvieron lugar con exhibición de información personal sin autorización. 17.
La parte demandante, en aras del principio de proporcionalidad, estaba en la obligación de considerar los criterios de graduación establecidos en los literales b), c) y d) del artículo 19 de la Ley 1266, dado que la parte demandante no obtuvo beneficio económico de la comisión de la infracción, no reincidió en la conducta infractora e incluso aplicó correctivos a la supuesta conducta infringida y, no obstruyó la investigación administrativa. 18.
Por otra parte, se desconocieron los principios de legalidad y tipicidad en las infracciones imputadas, toda vez que al revisar los tres deberes que la parte demandada consideró quebrantados, no se desprende con ninguna claridad ni certeza que la conducta se adecuó a la descripción típica de las tres infracciones imputadas. Cuarto cargo: Falsa motivación de los actos demandados y violación directa de la ley 19.
La parte demandada es confusa en señalar cuál es la conducta que configura las infracciones imputadas, pues algunas veces reprocha lo ocurrido específicamente con la ex funcionaría Carmenza Abad Obregón y, otras veces, indica que el reproche no va dirigido únicamente a este hecho, sino a la existencia de una supuesta “estrategia general de comercialización de productos y servicios, 9 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co mediante la cual los ejecutivos de vinculación contaban con claves de acceso para consultar historias de crédito reales de los titulares para hacer las demostraciones durante el proceso de venta”.
De igual manera, que en ciertos apartes indica que la infracción consiste en la violación del artículo 7° de la Ley 1266 y, en otras tantas, se refiere a la supuesta violación de los principios de esta ley y del hábeas data, todo lo cual deja ver la incertidumbre a la que fue sometida. Contestación de la demanda 20. La parte demandada11 contestó la demanda y se opuso a las pretensiones formuladas, así12: 21.
No se vulneró el derecho al debido proceso, en la medida en que la sanción fue impuesta por el sujeto competente para tal fin, en adelantamiento de un procedimiento acorde a la ley para este tipo de asuntos, en un tiempo razonable, teniendo siempre en consideración una ley preexistente y concediendo las oportunidades para presentar pruebas y controvertirlas. 22.
Señaló, en cuanto a la supuesta aplicación de un procedimiento inadecuado, que el artículo 52 del Decreto 2153 de 1992, adicionado por la Ley 1340 de 24 de julio de 200913, estableció un procedimiento para determinar las normas de promoción a la competencia y prácticas comerciales restrictivas. Para este asunto, el que fue utilizado fue el establecido en el Código Contencioso Administrativo, teniendo en cuenta lo previsto en el artículo 54 de dicho decreto. 23.
Indicó que las manifestaciones plasmadas en la respuesta a la solicitud elevada por el Superintendente de Industria y Comercio ad-hoc, que generaron efectos adversos a la sociedad demandante, tienen plena validez a la luz de los lineamientos probatorios que rigen el procedimiento sancionatorio. 24. Adujo que aunque se tuvo en cuenta que la parte demandante aceptó que, para efectos de demostraciones durante el proceso de venta del servicio y la vinculación del cliente, los ejecutivos contaban con las claves de acceso para la consulta del 11 Por intermedio de apoderado. 12 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C02_01 OTROS CUADERNO 02 PRINCIPAL-CONTESTACIÓN DE LA DEMANDA SYPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 13 “[…] Por medio de la cual se dictan normas en materia de protección de la competencia […]” 10 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co historial de crédito de las personas, no fue la única prueba que se tuvo en cuenta sino que se analizaron las demás que obraban dentro del expediente. 25.
Sostuvo que el rechazo de las pruebas testimoniales obedeció a que la solicitud estaba encaminada a demostrar unos ajustes que se realizaron en los protocolos de seguridad pero que fueron con posterioridad a la ocurrencia de los hechos. 26. Por otra parte, señaló respecto de la incompetencia del funcionario en el acto de formulación de cargos, que una vez se nombró al Superintendente de Industria y Comercio, este se declaró impedido para conocer de todos los asuntos relacionados con la sociedad Computec S.A., hoy Experian Colombia S.A., por lo que una vez aceptado, se designó al Superintendente de Sociedades como Superintendente de Industria y Comercio Ad-hoc, conforme a lo establecido en la normativa aplicable. 27.
No se desconoció el principio de proporcionalidad, dado que la multa impuesta mediante el acto administrativo impugnado obedeció a la vulneración de los principios de confidencialidad, seguridad y circulación restringida, por permitirse el acceso a la información personal contenida en la base de datos de la parte demandante, a personas que legalmente no tienen derecho a ello, sin implementar medidas adecuadas de seguridad para evitar su uso no autorizado y utilizar dicha información para fines distintos a los previstos en la ley. 28.
Afirmó que la actuación administrativa se encuentra ajustada a los principios de legalidad y tipicidad que rigen la actividad sancionatoria, en tanto que la conducta objeto de sanción fue debidamente precisada, se encuentra descrita en la ley y se demostró la infracción cometida. Conforme a lo anterior, la adopción de una estrategia general de comercialización de productos y servicios, mediante la cual los ejecutivos de vinculación contaban con claves de acceso a la consulta de historia dé crédito de los titulares para hacer las demostraciones durante el proceso de venta, comportó una violación de los numerales 3.º, 6.º y 10.º del articulo 7.º de la Ley 1266. 29.
La decisión tomada por la parte demandada bajo ninguna circunstancia obedece única y exclusivamente a la actuación aislada de la funcionaria que fue objeto de denuncia, contrario a ello, lo que se observó fue una adopción de prácticas 11 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co comerciales que pusieron en riesgo el derecho fundamental de los titulares de la información, cuyos datos se encuentran en sus bases.
Sentencia proferida, en primera instancia14 30. La Subsección A de la Sección Primera del Tribunal Administrativo de Cundinamarca, mediante sentencia proferida el 3 de febrero de 2017, resolvió: “[…]
PRIMERO: DENIEGÁNSE las pretensiones de la demanda.
SEGUNDO: CONDÉNESE en costas a la parte demandante; en consecuencia, por Secretaría, LIQUÍDENSE las costas procesales, de conformidad con lo establecido en el artículo 366 del Código General del Proceso. […]”. Consideraciones del Tribunal 31. La Corte Constitucional, en sentencia C-1011 de 2008, dispuso frente al procedimiento a aplicar para el ejercicio de la potestad sancionatoria en materia de habeas data que, dado que la Ley 1266, no establece un procedimiento para investigar y sancionar las infracciones a la ley en esta materia, debía remitirse a lo expuesto en el artículo 52 del Decreto 2351 de 1992. 32.
No obstante, la Sala consideró que, en atención a lo señalado en el artículo 54 del mismo decreto, debe darse aplicación al procedimiento establecido en el Código Contencioso Administrativo ante la ausencia de norma especial, siendo esta la razón para que no sea de recibo el argumento de la parte demandante. 33. Señaló que el Superintendente de Industria y Comercio se declaró impedido para conocer de todos los asuntos relacionados con la sociedad Computec S.A. y, una vez aceptado el impedimento, mediante Decreto 4078 de 4 de noviembre de 2010, se designó al Superintendente de Sociedades, como Superintendente de Industria y Comercio Ad hoc, quien, en consecuencia, se encontraba facultado para proferir el escrito por medio del cual se formularon los cargos. 14 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 12 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 34. Adujo que la parte demandante no tuvo en cuenta que pese a que la prueba testimonial de la señora Liliana Cubides fue decretada, aquella no asistió a su práctica y, además, que el testimonio del señor Daniel Casas Medina no desvirtuó el uso indebido de la información financiera de terceros, siendo este el objeto de la sanción impuesta por la Superintendencia de Industria y Comercio. 35.
Indicó que todas las actuaciones que se surtieron dentro de la investigación administrativa le fueron notificadas a la parte demandante, que tuvo conocimiento de la existencia de la formulación de cargos, rindió los descargos, se le dio la oportunidad para presentar y solicitar pruebas e interpuso los recursos pertinentes contra los actos acusados. 36.
Manifestó que a la parte demandante se le cuestionó el hecho de haber dado a conocer información de terceros a posibles clientes, sin su autorización, a través de la asignación de claves y usuarios de acceso a un ejecutivo de ventas de su compañía, desconociendo así lo establecido en los numerales 3.º, 6.º y 10.º de la Ley 1266. 37.
Así las cosas, era dable la imposición de una sanción teniendo en cuenta los criterios establecidos en el artículo 19 de la ley antes mencionada. Así, no se hacía necesaria la demostración de un daño al titular de la información que fue dada a conocer, así como tampoco determinar la cantidad de personal que tuvo clave de acceso, cuándo le fue entregada la clave a cada ejecutivo ni cuántas demostraciones se realizaron con exhibición de información personal, ello en tanto que se concluyó que con ocasión de tal conducta se generó un peligro al interés jurídico tutelado en la Ley 1266, que corresponde a los derechos, libertades y garantías constitucionales relacionados con la recolección, tratamiento y circulación de datos personales a que se refiere el artículo 15 de la Constitución Política de Colombia. 38.
La Superintendencia de Industria y Comercio realizó un análisis integral de las pruebas obrantes dentro de la investigación administrativa y expuso, de manera clara, la conducta por la cual consideró que la parte demandante había desconocido los deberes señalados en la Ley 1266. Recurso de apelación 13 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 39.
La parte demandante interpuso y sustentó, oportunamente, recurso de apelación contra la sentencia proferida, en primera instancia, con base en los siguientes argumentos 15: 40. Se vulneró el derecho al debido proceso, en la medida en que la parte demandada y el a quo consideraron que el procedimiento administrativo aplicable por el supuesto incumplimiento de deberes como operador de información financiera de terceros, era el previsto de forma general en el Código Contencioso Administrativo, pese a que la Corte Constitucional, en sentencia C-1011 de 2008, sostuvo que el procedimiento para los casos de investigación y sanción de infracciones a la ley de habeas data financiero, sería el señalado en el artículo 52 del Decreto 2153 de 1992. 41.
Es de resaltar, además, que el decreto referido le otorga al investigado la oportunidad de lograr la terminación anticipada de la investigación sin aplicación de sanciones, la cual no está contemplada en el Código Contencioso Administrativo y no le fue otorgada a la parte demandante, pese haber demostrado la voluntad, diligencia y buena fe para adoptar los correctivos oportunos frente a las políticas de seguridad en el manejo de la información y el uso de claves a sus funcionarios, desconociéndose con ello los principios de seguridad jurídica y confianza legítima. 42.
Pese a que el artículo 18 de la Ley 1266, que el otorga a la Superintendencia de Industria y Comercio la competencia para adelantar procedimientos sancionatorios contra de los operadores, fuentes y usuarios de información financiera de terceros, no precisó cuál es el procedimiento aplicable, la Corte Constitucional llenó dicho vació. 43.
Se incurrió en falsa motivación porque los actos acusados son confusos en señalar cuál era la conducta que supuestamente configuraba las infracciones imputadas, ya que, en ocasiones, se reprochó lo ocurrido con la ex funcionaría de la parte demandante y, en otras, se indicó que era por la existencia de una supuesta estrategia general de comercialización de productos y servicios mediante la cual los ejecutivos de vinculación contaban con claves de acceso para consultar historias de 15 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 14 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co crédito reales de los titulares, para hacer las demostraciones durante el proceso de venta. 44.
La parte demandada no realizó una adecuación detallada y exhaustiva de la conducta ni un juicioso examen probatorio sino que se limitó en enunciar el incumplimiento de los deberes previstos en la Ley 1266. 45. Del material probatorio allegado al proceso se desprende que, por el contrario, no es cierto ni está demostrado que todos los ejecutivos de cuenta tuvieran claves de acceso para consultar las historias de crédito sin ninguna restricción. 46.
Ahora, pese a que la Superintendencia de Industria y Comercio sostuvo que la infracción se encontraba demostrada por la confesión realizada por la parte demandante, aquella no cumplió con los requisitos establecidos en la ley para considerarse como tal y, por lo tanto, no podía considerarse como una prueba válida en el proceso. 47.
Asimismo, señaló que no se respetaron las garantías procesales y el derecho de defensa, al rechazar las pruebas testimoniales que fueron solicitadas en su momento. 48. Las resoluciones acusadas violaron los principios de proporcionalidad, equidad y razonabilidad, toda vez que la sanción resultaba innecesaria para el fin perseguido por la norma, dado que la parte demandante había adoptado todos los correctivos necesarios.
Aunado a ello, la conducta realizada se asimiló a la causación de un peligro cuando, simplemente, se puso en peligro un interés jurídicamente tutelado, lo cual podía hacer que se adoptara otro tipo de medida más benévola, como, por ejemplo, impartir instrucciones para la adopción de correctivos adicionales. 49. Igualmente, se desconoció que la parte demandante fue diligente en la contratación y capacitación del personal que tenía acceso a la información de terceros y que tan pronto se advirtió que esta práctica podía, eventualmente, considerarse una posible infracción a los principios de La Ley 1266, se adoptaron correctivos que mantenían en el anonimato al titular de la información, conducta que demostró diligencia y buena fe y debieron ser tenidos en cuenta al momento de graduar la sanción. 15 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Actuación en segunda instancia 50.
El Despacho sustanciador, mediante auto de 6 de agosto de 201916, admitió el recurso de apelación interpuesto por la parte demandante contra la sentencia proferida en primera instancia el 3 de febrero de 2017 por la Subsección A de la Sección Primera del Tribunal Administrativo de Cundinamarca. Alegatos de conclusión en segunda instancia 51.
El Despacho sustanciador, mediante auto de 30 de agosto de 201917, corrió traslado a las partes y al Ministerio Público, por el término de 10 días, para que presentaran sus alegatos de conclusión. 52. La parte demandante18 reiteró los argumentos expuestos en el escrito de la demanda y en el recurso de apelación interpuesto; y la parte demandada no presentó alegatos de conclusión. Concepto del Ministerio Público 53.
El Ministerio Público guardó silencio en esta oportunidad procesal. II. CONSIDERACIONES 54. La Sala procederá al estudio de las consideraciones en las siguientes partes: i) competencia ii) los actos administrativos acusados; iii) el problema jurídico; iv) los marcos normativos y desarrollo jurisprudencial sobre la ley de habeas data, debido proceso, falsa motivación y el principio de proporcionalidad; y, v) el análisis del caso concreto.
Competencia 16 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C03_01 OTROS- CUADERNO 03 APELACIÓN SENTENCIA (.pdf) NroActua 27 […]”. 17 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C03_01 OTROS- CUADERNO 03 APELACIÓN SENTENCIA (.pdf) NroActua 27 […]”. 18 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C03_01 OTROS- CUADERNO 03 APELACIÓN SENTENCIA (.pdf) NroActua 27 […]”. 16 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 55. Vistos el artículo 15019 de la Ley 1437, sobre la competencia del Consejo de Estado, en segunda instancia, aplicable en los términos del artículo 30820 de la Ley 1437 de 201121, sobre el régimen de transición y vigencia; y el artículo 1322 del Acuerdo núm. 80 de 12 de marzo de 2019, expedido por la Sala Plena de esta Corporación, la Sección Primera del Consejo de Estado es competente para conocer del presente asunto, en segunda instancia. 56.
Agotados los procedimientos inherentes al proceso de nulidad y restablecimiento del derecho sin que se observe vicio o causal de nulidad que puedan invalidar lo actuado, la Sala procede a resolver el recurso de apelación interpuesto por la parte demandante. 57. La Sala procederá a examinar y a pronunciarse sobre los argumentos expuestos por la parte demandante en el recurso de apelación interpuesto contra la sentencia proferida el 3 de febrero de 2017 por la Subsección A de la Sección Primera del Tribunal Administrativo de Cundinamarca, de conformidad con los artículos 320 y 328 de la Ley 1564 de 12 de julio de 201223, norma aplicable al presente caso, en virtud de lo dispuesto en el artículo 306 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el juez se limitará a conocer de los puntos o cuestiones a los cuales se contrae dicho recurso.
Actos acusados 58. Los actos acusados son los siguientes: 19 “[…] Artículo 150. Competencia del Consejo de Estado en segunda instancia y cambio de radicación. El Consejo de Estado, en Sala de lo Contencioso Administrativo, conocerá en segunda instancia de las apelaciones de las sentencias dictadas en primera instancia por los tribunales administrativos y de las apelaciones de autos susceptibles de este medio de impugnación. También conocerá del recurso de queja que se formule contra decisiones de los tribunales, según lo regulado en el artículo 245 de este código […]”. 20 “[…]
ARTÍCULO 308. RÉGIMEN DE TRANSICIÓN Y VIGENCIA. El presente Código comenzará a regir el dos (2) de julio del año 2012. […] Este Código sólo se aplicará a los procedimientos y las actuaciones administrativas que se inicien, así como a las demandas y procesos que se instauren con posterioridad a la entrada en vigencia. […] Los procedimientos y las actuaciones administrativas, así como las demandas y procesos en curso a la vigencia de la presente ley seguirán rigiéndose y culminarán de conformidad con el régimen jurídico anterior […]”. 21 “Por el cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo”. 22 Modificado por el artículo 1.° del Acuerdo núm. 434 de 2024, ”por medio del cual se modifican los artículos 13, 67, 80, 81 y 82 del Acuerdo número 080 de 2019, y se le adicionan los artículos 83, 84, 85, 86, 87, 88, 89 y 90”. 23 “Por medio de la cual se expide el Código General del Proceso y se dictan otras disposiciones” 17 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 59.
La Resolución núm. 62016 de 25 de octubre de 2013, expedida por el Director de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, que resolvió24: “[…]
ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a Experian Computec S.A., identificada con […] CUATROCIENTOS DOCE MILLONES SEISCIENTOS CINCUENTA MIL PESOS ($412.650.000) M/cte, equivalentes a SETECIENTOS SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES (700 SMLMV), por los hechos descritos en la parte motiva de esta providencia.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular […], ARTÍCULO SEGUNDO: Advertir a Experian Computec S.A. que, en su condición de operador de información, debe cumplir con las obligaciones establecidas por la Ley 1266 de 2008 y específicamente con su deber de garantizar el pleno y efectivo ejercicio del derecho de hábeas data de los titulares de información.
ARTÍCULO TERCERO: Ordenar a Experian Computec S.A., realizar los ajustes correspondientes en sus procedimientos para que en adelante no se asignen perfiles de usuarios y claves de accesos a aquellos funcionarios adscritos a la investigada que desarrollen labores comerciales. Los ajustes que se introduzcan para dar cumplimiento a esta orden deberán ser informados a esta Superintendencia dentro de los quince (15) días hábiles siguientes a la ejecutoria de esta resolución. […]” 60.
La Resolución núm. 3390 de 30 de enero de 201425 “[…] Por la cual se resuelve un recurso de reposición”, expedida por el Director de Investigación de Protección de Datos Personales, que resolvió: “[…]
ARTÍCULO PRIMERO: Confirmar en todas sus partes la Resolución No. 62016 del 25 de octubre de 2013, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: Conceder el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales. […]”. 61. La Resolución núm. 18381 de 21 de marzo de 201426 “[…] Por la cual se resuelve un recurso de apelación […]”, expedida por el Superintendente Delegado para la Protección de Datos Personales, dentro de la cual se resolvió: 24 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 25 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 26 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 18 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co “[…]
ARTÍCULO PRIMERO: Confirmar en todas sus partes la Resolución No. 62016 del 25 de octubre de 2013, por las razones expuestas en la parte motiva de este acto administrativo. […]”. Problema jurídico 62. Corresponde a la Sala, con fundamento en el argumento del recurso de apelación, interpuesto por la parte demandante, determinar, si: i) se vulneró el derecho al debido proceso, toda vez que la investigación administrativa se tramitó bajo un procedimiento que no era aplicable; ii) los actos acusados están viciados de falsa motivación, en la medida en que no se adecuó, en debida forma, la conducta típica imputada, no se contó suficiente material probatorio, se dieron por ciertos unos hechos pese a que las afirmaciones no podían ser tenidas en cuenta como una confesión y, se rechazaron las pruebas testimoniales que fueron solicitadas en su momento; y, iii) se trasgredió el principio de proporcionalidad, por cuanto se desconoció que la parte demandante no causó un perjuicio directo al bien jurídico tutelado y, además, aplicó los correctivos necesarios para que la conducta, presuntamente, infractora, no volviera a ocurrir. 63.
En consecuencia, se determinará si hay lugar a confirmar, modificar o revocar la sentencia proferida, en primera instancia. Marco normativo y desarrollo jurisprudencial del hábeas data 64. Visto el artículo 15 de la Constitución Política, prevé, que “[…] Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.
De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. […]”. 65. La Corte Constitucional, respecto al derecho al hábeas data, ha manifestado que le otorga al titular de los datos, la facultad de exigir de las administradoras de esos datos, el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de divulgación, 19 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co publicación o cesión de éstos, teniendo en cuenta los principios que regulan el proceso de administración de datos personales.27 66.
Por su parte, el 31 de diciembre de 2008, se profirió la Ley 1266,28 “[…] Por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones […]”, aplicable a todos los datos de información personal registrados en un banco de datos, administrados por entidades de naturaleza pública o privada y que tiene como objeto, proteger los datos personales en materia crediticia y financiera. 67.
Dicha ley establece en su artículo 4.º, como principios de la administración de datos, el de veracidad o calidad de los registros o datos, finalidad, circulación restringida, temporalidad de la información, interpretación integral de derechos constitucionales, seguridad29 y confidencialidad30 y, en su 7.º prevé como deberes de los operadores de los bancos de datos31, los siguientes: 1.
Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley. 2.
Garantizar, que en la recolección, tratamiento y circulación de datos, se respetarán los demás derechos consagrados en la ley. 27 Corte Constitucional; sentencia C-748 de 6 de octubre de 2011; M.P. Jorge Ignacio Pretelt Chaljub. 28 Aplicable para el momento de la ocurrencia de los hechos. 29 “[…] La información que conforma los registros individuales constitutivos de los bancos de datos a que se refiere la ley, así como la resultante de las consultas que de ella hagan sus usuarios, se deberá manejar con las medidas técnicas que sean necesarias para garantizar la seguridad de los registros evitando su adulteración, pérdida, consulta o uso no autorizado […]”. 30 “[…] Todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan la naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende la administración de datos, pudiendo sólo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma […]”. 31 “[…] ARTÍCULO 3o.
DEFINICIONES. Para los efectos de la presente ley, se entiende por: […] c) Operador de información. <Literal CONDICIONALMENTE exequible> Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley.
Por tanto, el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente […]”. 20 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 3.
Permitir el acceso a la información únicamente a las personas que, de conformidad con lo previsto en esta ley, pueden tener acceso a ella. 4. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los titulares. 5.
Solicitar la certificación a la fuente de la existencia de la autorización otorgada por el titular, cuando dicha autorización sea necesaria, conforme lo previsto en la presente ley. 6. Conservar con las debidas seguridades los registros almacenados para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento. 7.
Realizar periódica y oportunamente la actualización y rectificación de los datos, cada vez que le reporten novedades las fuentes, en los términos de la presente ley. 8. Tramitar las peticiones, consultas y los reclamos formulados por los titulares de la información, en los términos señalados en la presente ley. 9. Indicar en el respectivo registro individual que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma y no haya finalizado dicho trámite, en la forma en que se regula en la presente ley. 10.
Circular la información a los usuarios dentro de los parámetros de la presente ley. 11. Cumplir las instrucciones y requerimientos que la autoridad de vigilancia imparta en relación con el cumplimiento de la presente ley. […]” (Resaltado por la Sala) 68. Ahora bien, de conformidad con lo dispuesto en los artículos 17 y 18 ibidem, de existir incumplimiento de las disposiciones mencionadas en la ley en mención, la Superintendencia de Industria y Comercio tiene la facultad de iniciar de oficio o a petición de parte, investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países y, si es del caso, de acuerdo con el procedimiento aplicable, imponer las sanciones u ordenar las medidas que resulten pertinentes. 69.
La Corte Constitucional, al revisar el proyecto de la Ley Estatutaria 1266, sostuvo32: “[…] En efecto, en el apartado 1.1. del análisis material del Proyecto de Ley se demostró, a partir de argumentos de naturaleza sistemática, teleológica e histórica, que la iniciativa es una regulación del derecho al hábeas data con un carácter sectorial, en la medida en que los mecanismos concretos para la protección del derecho contenidos en el Proyecto respondían exclusivamente a la recopilación de datos 32 Corte Constitucional; sentencia C-1011 de 16 de octubre de 2008;
M.P. Jaime Córdoba Triviño. 21 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co personales de contenido financiero, comercial y crediticio, destinados al cálculo de riesgo crediticio. Dentro de ese análisis se dieron algunos ejemplos de cómo conceder carácter genérico al Proyecto, esto es, extender sus reglas a todos los escenarios de administración de datos personales, llevaría a contrasentidos e, incluso, a vulneraciones de las normas constitucionales.
Con base en lo anterior, se concluyó que el entendimiento acertado del Proyecto de Ley es el de un régimen particular y específico, dirigido a la fijación de reglas para la administración de datos personales financieros, comerciales y crediticios, con exclusión de otras modalidades de ejercicio del derecho al hábeas data. […]. Los numerales 1 a 4 del artículo 7 establecen distintos deberes a los operadores de información personal, dirigidos unívocamente a la protección de las facultades de conocimiento, actualización y rectificación de los datos, en los términos del artículo 15 Superior. […] Así, permitir el acceso a la información personal únicamente a las personas que la Ley autoriza, conforme lo dispone el numeral 3 del artículo 7°, supone una limitación necesaria a la competencia del operador para administrar el dato personal, que debe entenderse en armonía con el consentimiento del titular, a fin de que él pueda conocer razonablemente la finalidad y el destino de los datos, es decir, las personas que legalmente pueden tener acceso a ellos.
Bajo la misma lógica, la exigencia de adopción de un manual interno de políticas y procedimientos, en los términos de la norma analizada, es una disposición destinada a otorgar transparencia a la gestión de la información de las personas, en la medida en que permite consignar en instrumentos prescriptivos de las entidades el mecanismo para efectivizar los derechos de los titulares. […]”.
Marco normativo y desarrollo jurisprudencial del debido proceso 70. Visto el artículo 29 de la Constitución Política, el debido proceso “[…] se aplicará a toda clase de actuaciones judiciales y administrativas […]”. Asimismo, “[…] [n]adie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio […]”. 71.
En términos generales, el Consejo de Estado33 ha considerado que “[…] el derecho al debido proceso se erige como una garantía a todas las personas según la cual su intervención en una actuación administrativa o judicial está regida por reglas previamente establecidas por el legislador, que a su vez le permiten defenderse y solicitar las pruebas tendientes a demostrar lo que afirma, sin que la voluntad del funcionario público pueda tener alguna injerencia [i.e] en las distintas etapas del proceso […]”. 33 Consejo de Estado, Sala de lo Contencioso Administrativos, Sección Primera; sentencia de 21 de agosto de 2014;
C.P. Guillermo Vargas Ayala; número único de radicación 680012333000201400413 01. 22 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 72. Asimismo, la Corte Constitucional ha considerado que el derecho del debido proceso es “[…] el conjunto de garantías previstas en el ordenamiento jurídico, a través de las cuales se busca la protección del individuo incurso en una actuación judicial o administrativa, para que durante su trámite se respeten sus derechos y se logre la aplicación correcta de la justicia […]”34; se trata de un mecanismo orientado a: i) limitar el poder de las autoridades, “[…] forzando a que sus actuaciones se sometan siempre a las formas preestablecidas por la ley […]”; ii) contribuir “[…] a la garantía y realización de los derechos de los particulares, que deben gozar de posibilidades adecuadas de participación en el proceso de formación de la voluntad de la Administración […]”; y iii) a mejorar el ejercicio de las funciones públicas y a lograr un mayor estándar de imparcial en la aplicación del derecho, gracias al debate entidad-particular que propicia35.
Marco normativo de la falsa motivación como causal de nulidad de los actos administrativos 73. Visto el artículo 137 de la Ley 1437, la nulidad procederá cuando los actos administrativos hayan sido expedidos con infracción de las normas en que deberían fundarse, sin competencia, en forma irregular, con desconocimiento del derecho de audiencia y defensa, mediante falsa motivación, o con desviación de las atribuciones propias de quien los profirió. 74.
En relación con los supuestos para la configuración de la causal de nulidad por falsa motivación, esta tiene ocurrencia cuando: i) se presenta inexistencia de fundamentos de hecho o de derecho en la manifestación de voluntad de la administración pública; ii) los supuestos de hecho esgrimidos en el acto son contrarios a la realidad, bien por error o por razones engañosas o simuladas; iii) el autor del acto le ha dado a los motivos de hecho o de derecho un alcance que no tienen; y iv) los motivos que sirven de fundamento al acto no justifiquen la decisión. 75.
En consecuencia, los motivos que fundamentan el acto administrativo deben ser ciertos y corresponder a las circunstancias de hecho y de derecho necesarias para 34 Corte Constitucional, sentencia C-980 de 1 de diciembre de 2010. M.P. doctor Gabriel Eduardo Mendoza Martelo. 35 Consejo de Estado, Sala de lo Contencioso Administrativos, Sección Primera; sentencia de 21 de agosto de 2014;
C.P. Guillermo Vargas Ayala; número único de radicación 680012333000201400413 01. 23 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co proferir la decisión; es decir, debe existir correspondencia entre la motivación del acto administrativo y la realidad fáctica y jurídica del caso. 76.
La parte demandante tiene la carga de probar que el acto administrativo está falsamente motivado, teniendo en cuenta la presunción de legalidad de este. Marco normativo y desarrollo jurisprudencial del principio de proporcionalidad 77. Visto el artículo 3.º de la Ley 1437, en materia administrativa sancionatoria, además de los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad, se deben observar los principios de legalidad de las faltas y de las sanciones, la presunción de inocencia, la non reformatio in pejus y el non bis in idem, lo cual permite concluir que, en consecuencia, no se puede imputar una sanción sin que esta no esté establecida en la ley. 78.
Respecto al principio de proporcionalidad, la Corte Constitucional ha manifestado lo siguiente:36 “[…] 3.7.3.1. Si bien la Corte ha admitido que el control de constitucionalidad en materia disciplinaria resulta de una intensidad menor que en materia penal138, al determinar la gravedad de las faltas139 y la magnitud de las sanciones, el legislador debe orientarse por criterios de proporcionalidad y razonabilidad140.
En ese orden de ideas, la jurisprudencia ha exigido que la sanción sea razonable y proporcional “a efectos de evitar la arbitrariedad y limitar a su máxima expresión la discrecionalidad de que pueda hacer uso la autoridad administrativa al momento de su imposición” En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma142, los cuales como ya se expresó están constituidos por: (i) el cumplimiento de los deberes del cargo y (ii) el aseguramiento de los fines del Estado y de los principios de la función pública como la igualdad, la moralidad, la eficacia, la economía, la celeridad, la imparcialidad y la publicidad: “Por lo anterior, la imposición de una sanción proporcional a los hechos que la motivaron y se concluye que el derecho disciplinario, como modalidad del derecho administrativo sancionador, pretende regular la actuación de los servidores públicos con miras a asegurar los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad que rigen la función pública, y que, para tal cometido, describe mediante ley una serie de conductas que estima contrarias a ese 36 Corte Constitucional; sentencia C-721 de 25 de noviembre de 2015;
M.P. Jorge Ignacio Pretelt Chaljub. 24 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co cometido, sancionándolas proporcionalmente a la afectación de tales intereses que ellas producen”. […]” 79.
En ese orden de ideas, en materia sancionatoria administrativa y atendiendo al principio de proporcionalidad, la autoridad administrativa al adelantar una investigación debe, por un lado, imponer una sanción que se encuentre tipificada como tal en la normativa aplicable y, por el otro, que dicha sanción sea proporcional a la falta cometida.
Acervo probatorio 80. La Sala advierte que las pruebas relevantes para resolver el caso sub examine son las siguientes: 81. Juan Guillermo Congote Restrepo, en su condición de representante legal de la PCS Colombia EU, el 24 de junio de 2011, presentó una queja contra de la parte demandante, manifestando los siguientes supuestos fácticos: 37 “[…] En el mes de noviembre nos visitó la señora Carmenza Abad Obregón, Ejecutiva Empresarial de Computec – Data Crédito, para ofrecernos el servicio de consultar y reportar a clientes de nuestra empresa.
Nuestra respuesta fue muy clara al decirle que nosotros estábamos interesados en tener ese servicio solo por un año, porque tenemos dos clientes que nos deben más de $30.000.000 y al estar vinculados, podríamos tener ese servicio como medio de presión para obtener la recuperación de esta cartera. La señora Carmenza Abad fue muy enfática al afirmar que no había inconveniente y que no solo podríamos reportar a las empresas sino a los representantes legales de cada una.
En visita posterior que nos hizo la señora Carmenza Abad para entregarnos los papeles que debíamos firmar, volvimos a preguntarle, para tener la seguridad que sí podíamos reportar tanto a las empresas como a sus representantes legales, a lo que nos contestó en forma positiva y para confirmarlo, desde mi computador entró a Ia página de Data Crédito y consultó al representante legal de C.I. Americaflor Ltda. mostrándome el historial crediticio de su representante legal.
Luego de este convencimiento procedimos a llenar los formatos y a entregar los documentos solicitados. Unos días después nos llegó el contrato para ser firmado, y nuevamente llamé vía celular a la Sra. Carmenza Abad para tener la seguridad de lo que se estaba haciendo y dicha señora volvió a confirmar que se podía reportar a estas empresas […] Con tanta seguridad y claridad de nuestra necesidad, procedimos a firmar el contrato No. 0007061. 37 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 25 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Una vez recibido el contrato, procedimos entregar carta a los dos clientes el 2 de diciembre de 2010 y al no obtener respuesta de los clientes, se procedió a entregar una nueva carta el 12 de enero informándoles que iban a ser reportados ante las entidades de riesgo.
Debido a que al 24 de enero no habíamos recibido tampoco respuesta de los clientes, procedimos a entrar al sistema de Data Crédito para hacer el reporte de los clientes como clientes morosos. Sin embargo, debido a que era la primera vez, debimos consultar el procedimiento y la persona que nos estaba asesorando nos consultó si teníamos el documento firmado por parte de los clientes en donde nos autorizaban reportarlos.
Al dar nuestra respuesta que no era así, nos informó que era ilegal y que podíamos ser demandados. Inmediatamente procedimos a llamar a la Sra. Carmenza Abad, también a su celular, quien respondió que no era cierto y que se iba a comunicar con la Sra. Bertha Parada para que se comunicara conmigo y confirmar que sí se podía hacer. Debido a que la Sra. Parada no me hacía la llamada, procedí a llamar a Computec y ella me dijo que la Sra. Carmenza Abad ya no trabajaba con ellos y debía comunicarme con el Sr. Pedro Linares, Director Desarrollo de Clientes.
Entonces procedí inmediatamente hacer la carta de la que les incluyo copia, fechada el mismo 24 de enero. […] Nuestra preocupación inmediata es que nos están generando facturas y que al no cancelarlas, ellos mismos nos reporten como morosos ante los centrales de riesgo de las cuales forman parte y nos perjudiquen en forma grave, siendo que tanto la empresa PCS Colombia EU como Juan Guillermo Congote R., tenemos muy alta calificación en el sistema financiero. […]” 82.
Teniendo en cuenta lo anterior, el Superintendente de Industria y Comercio Ad- hoc, mediante Oficio 2012-01-011646, le informó a la parte demandante que, de conformidad con lo previsto en el numeral 5.º del artículo 17 de la Ley 1266, se dio apertura de investigación en su contra38. 83. En la misma fecha, el Superintendente de Industria y Comercio Ad-hoc le puso de presente a la parte demandante la formulación de cargos en su contra, solicitándole explicaciones del caso sobre la presunta violación de las normas sobre protección de datos personales, establecidas en los numerales 3.º, 6.º y 10.º del artículo 7.º de la ley antes mencionada.
Señalando, lo siguiente39: Lo anterior teniendo en cuenta que la sociedad reclamante describe en su escrito de queja hechos que se relacionan con una consulta realizada por una funcionaría que, actuando en nombre y representación de esa entidad, accedió al historial crediticio del Representante Legal de la sociedad C.l. Americaflor Ltda., con una finalidad distinta a la de establecer o mantener una relación comercial, lo que hace presumir el incumplimiento del deber que tienen los usuarios de utilizar la información consultada únicamente para los fines para los que le fue entregada.
De otra parte, de los hechos narrados también se presume el incumplimiento de los deberes que tiene como operador de información de garantizar la seguridad de la 38 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 39 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 26 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co información y permitir el acceso de la misma únicamente a las personas señaladas en la ley. 84.
La parte demandante, el 16 de febrero de 2012, dio respuesta a la solicitud de explicaciones, afirmando lo siguiente40: “[…] Con base en la mencionada solicitud de vinculación, el día 30 de noviembre de 2010 se suscribió el contrato de prestación de servicios entre Computec S.A.- Data Crédito y PCS Colombia E.U. Mediante la comunicación del 24 de enero de 2011 de la cual obra copia ante esa Superintendencia, el señor Juan Guillermo Congote manifestó a Computec S.A.- Data Crédito que no deseaba continuar con el contrato y solicitaba la devolución del dinero cancelado, pues éste le interesaba sólo en la medida en que pudiera reportar a dos empresas que le adeudaban mucho dinero.
Afirmó en la misma comunicación, que la funcionaría Carmenza Abad Obregón, durante el proceso de venta sostuvo que una vez celebrado el contrato PCS Colombia E.U. podía proceder a reportar a sus deudores incumplidos, incluso si no tenían la autorización para ello. Con el ánimo de dar una solución comercial al problema manifestado, el Director de Desarrollo de Clientes de Computec S.A.-Data Crédito, en comunicación de fecha 8 de febrero de 2011, le manifestó al señor Congote que lo invitaba a continuar con el servicio y a que sostuvieran una reunión, con el fin de revisar el tema y aclarar los compromisos adquiridos.
Con la comunicación del 26 de abril de 2011, el señor Congote reiteró que no deseaba continuar con el contrato suscrito con Computec S.A.-Data Crédito pues tal como se lo había manifestado a la funcionaría Carmenza Abad, la utilidad del contrato estaba representada en la posibilidad de reportar a dos clientes morosos y al enterarse posteriormente, que no lo podía hacer, por no contar con la autorización respectiva, éste ya no era de su interés. Termina la comunicación afirmando que fue engañado por la funcionaría de Computec S.A.-Data Crédito antes mencionada, quien tenía “intereses dañinos” pues les aseguró que el reporte se podía realizar incluso sin la autorización respectiva. […] La relación laboral con Carmenza Abad Obregón La señora Carmenza Abad Obregón prestó sus servicios desde el 16 de mayo de 2007 hasta el 16 de enero de 2011 en esta Compañía […] Ahora bien, es de señalar que el contrato laboral de todo funcionario de Computec S.A. cuenta con un anexo en el que se impone a éste, por virtud de la cláusula tercera del mismo, la obligación de, "No revelar, divulgar, exhibir, mostrar, comunicar, utilizar y/o emplear, directa o indirectamente, información de Computec, de los clientes de Computec y de los usuarios de los servicios que prestan los clientes de Computec a persona alguna, natural o jurídica, en su favor o en el de terceros, de manera directa o indirecta, en perjuicio o no de Computec. de los clientes de Computec y/o de los usuarios de los servicios que prestan los clientes de Compútec”, salvo los eventos allí especificados. […] Ahora bien, es de señalar que la Compañía dentro de sus políticas de seguridad de la información tiene diseñada una matriz en la que se especifica por niveles y rango de cargos, la posibilidad de tener claves de acceso y consulta dependiendo del producto del que se trate. […] 40 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 27 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co De acuerdo con lo anterior, los ejecutivos de vinculación de la Compañía cuentan con claves de acceso a la consulta de historia de crédito para hacer las demostraciones durante el proceso de venta del servicio y la vinculación de un cliente.
Es de advertir que todos conocen plenamente el deber de contar con la autorización previa de quien se va a consultar o de obtenerla previamente según el caso. […] Con el fin de contar con las máximas seguridades respecto de la información, desde enero de 2011 se determinaron al interior de la Compañía, unas características especiales de las consultas que realicen los ejecutivos de vinculación. Así, cuando se quiere ilustrar a un potencial suscriptor acerca de cómo se accede (a la historia de crédito, el ejecutivo ingresa a la consulta digitando cualquier número de cédula.
Inmediatamente el sistema le arroja un reporte en el que no se pueden visualizar ni dicho numero de identificación ni el nombre respectivo Titular. […] A Computec S.A.-Data Crédito no le constan los hechos que relata el señor Congote en su queja, esta es su versión de lo que sucedió en una reunión de negocios y posteriormente del proceso de celebración del contrato.
Por otra parte y tal como ya se manifestó la señora Carmenza Abad ya no labora para esta Compañía. […] Señala la sentencia C-1011 de 2008, por la cual se revisó la constitucionalidad de la Ley 1266 de 2008, que “( ) En este sentido el procedimiento aplicable para el ejercicio de la potestad sancionatoria en el ámbito del hábeas data por parte de la Superintendencia de Industria y Comercio, sería el previsto en el Decreto Extraordinario No. 2153 de 1992, ‘Por el cual se reestructura la Superintendencia de Industria y Comercio y se dictan otras disposiciones’.
Este estatuto prevé un procedimiento para determinar si existe una infracción a las normas de promoción a la competencia y prácticas comerciales restrictivas, que por remisión del artículo 18 sería el aplicable para detectar y sancionar las infracciones a la ley de hábeas data financiero”. En el caso particular, esa Superintendencia, en desconocimiento de lo señalado por la Corte Constitucional, no dio aplicación al procedimiento que corresponde de acuerdo con la interpretación Constitucional antes señalada, violándose en consecuencia el debido proceso de Computec S.A.-Data Crédito. 85.
El Director de Investigaciones de Protección de Datos Personales, mediante Resolución núm. 62016 de 25 de octubre de 2013, impuso una sanción pecuniaria a la parte demandante, por un valor de $412.650.000. Lo anterior, teniendo en cuenta los siguientes argumentos41: “[…] Frente al caso en concreto se encuentra probado dentro del expediente, comoquiera que así lo reconoce o confiesa la investigada en sus descargos, que los funcionarios ejecutivos del operador "cuentan con claves de acceso a la consulta de historia de crédito para hacer las demostraciones durante el proceso de venta del servicio y la vinculación de un cliente ( )" (fl. 38).
Dicha confesión, no se compadece con el complemento de tal afirmación, según la cual "Es de advertir que todos conocen plenamente el deber de contar con la autorización previa de quien se va a consultar o de obtenerla previamente según el caso" (fl. 38), habida cuenta que, en estricto sentido, de tal aseveración no pueden desprenderse excepciones de ninguna clase, menos aún, para establecer que han podido ser privilegiadas herramientas de promoción para incrementar las ventas de suscriptores a los servicios de información que brinda los operadores. 41 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 28 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Así se entiende el correctivo que la investigada manifiesta haber adoptado en enero de 2011 en el sentido de cambiar su procedimiento comercial para que, cuando se quiera "ilustrar a un potencial suscriptor acerca de cómo se accede a la historia de crédito, el ejecutivo ingresa a la consulta digitando cualquier número de cédula.
Inmediatamente el sistema arroja un reporte en el que no se pueden visualizar ni dicho número de identificación ni el nombre del respectivo Titular" (fl. 38). No obstante, es preciso señalar que la modificación del procedimiento, anunciada por la investigada, tampoco logra el propósito de anonimizar la información de los titulares, en la medida en que el titular sigue siendo plenamente identificable, pues bastaría con conocer el nombre de un ciudadano junto con su documento de identidad, para acceder a su historial crediticio sin que medie autorización de éste.
El hecho de que el reporte así obtenido no incluya la información de identificación del titular en la historia de crédito, de ninguna manera evita el perjuicio al titular, pues ese reporte ya se encuentra plenamente identificado por una persona que conozca de antemano el nombre del titular y su cédula de ciudadanía. Obviamente, el correctivo implementado mejora la anterior situación de negativa exposición del titular consultado, pero de manera alguna la elimina.
Ahora bien, pretender resarcir la irregularidad censurada afirmando que el reclamante no puede alegar su desconocimiento acerca de la necesidad de contar con la autorización para realizar la consulta, como lo sostiene el contrato suscrito, no resulta de recibo para este Despacho, porque ello no disculpa el comportamiento de la ejecutiva de ventas de la investigada que, en forma inexcusable, violó principios rectores en materia de protección de datos personales y hábeas data, como son los de circulación restringida y de finalidad.
Una cosa son los debates contractuales entre denunciante y denunciado, que dicho sea de paso, no son del resorte de este despacho, y otra cosa es, el acceso ilegal a información de crédito de un ciudadano como herramienta de promoción de ventas. De manera que en el presente caso, y con relación al deber de garantizar la seguridad de la información, desde la entrada en vigencia de la Ley 1266 de 2008 y hasta enero de 2011, fecha en la cual el operador implementó la acción correctiva para presuntamente despersonalizar la información consultada para demostración y ventas, los datos de los titulares fueron expuestos a riesgo de consulta o uso no autorizado o fraudulento —con evidente violación de lo prescrito en los numerales 3 y 6 del artículo 7 de la citada Ley Estatutaria de Hábeas Data—, dado que en ese período: (i) Cualquier ejecutivo de cuenta tenía acceso a la base de datos de producción de las historias crediticias de los titulares sin ninguna restricción;
(ii) Fue posible acceder a las historias crediticias desde cualquier equipo, en cualquier lugar y circunstancia sin control alguno por parte del operador; y (iii) Al no anonimizar la información consultada, las historias crediticias exhibidas para demostración eran reales y podían ser de cualquier titular, siendo estas visualizadas por terceros diferentes a los legítimamente autorizados.
En este punto, se insiste, la investigada no demuestra, ni siquiera a partir de la implementación de las presuntas medidas correctivas, que la información y la posibilidad de consulta por parte de sus ejecutivos comerciales, en efecto, se haya anonimizado. 86. Contra dicha decisión, la parte demandante interpuso recurso de reposición y, en subsidio, apelación. El primero, fue resuelto por el Director de Investigaciones de 29 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co Protección de Datos Personales, a través de Resolución núm. 3390 de 30 de enero de 2014 y, el segundo, por el Superintendente Delegado para la Protección de Datos Personales, mediante Resolución núm. 18381 de 21 de marzo de 2014, las dos, confirmando la decisión inicial42. 87.
La Sala procederá a apreciar y valorar las pruebas obrantes en el expediente, de conformidad con las reglas de la sana crítica y en los términos del artículo 176 de la Ley 1564, aplicando para ello las reglas de la lógica y la certeza que sobre determinados hechos se requiere para efectos de decidir lo que en derecho corresponda, en relación los problemas jurídicos planteados en el caso sub examine.
Análisis del caso en concreto 88. De conformidad con los marcos normativos y los desarrollos jurisprudenciales indicados supra, la Sala procede a resolver el caso sub examine. De la vulneración del derecho al debido proceso 89. La parte demandante refiere que se vulneró el derecho al debido proceso al adelantar la investigación administrativa bajo un procedimiento que no era aplicable. 90.
En tal sentido, sostuvo que como en la Ley 1266 no se establece, expresamente, un trámite especial para los procesos administrativos sancionatorios relacionados con el hábeas data, debió aplicarse el trámite previsto en el artículo 52 del Decreto 2153 de 1992, en concordancia con lo señalado en la sentencia C-1011 de 2008 y no, como lo hizo la parte demandada, el establecido en el Código Contencioso Administrativo. 91.
El artículo 2.º del Decreto 2153 de 1992,43 sobre las funciones de la Superintendencia de Industria y Comercio, dispone que a la entidad le corresponde: i) velar por la observancia de las disposiciones sobre protección de la competencia; ii) imponer las sanciones por violación de las normas sobre prácticas comerciales 42 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 43 “[…] Por el cual se reestructura la Superintendencia de Industria y Comercio y se dictan otras disposiciones […]” 30 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co restrictivas y promoción de la competencia; iii) imponer las sanciones pertinentes por la inobservancia de las instrucciones que dé en desarrollo de sus funciones; iv) imponer, previa solicitud de explicaciones y de acuerdo al procedimiento aplicable, las sanciones pertinentes por la inobservancia de las instrucciones que imparta; v) solicitar a las personas naturales o jurídicas el suministro de datos, informes, libros y papeles de comercio que se requieran para el correcto ejercicio de sus funciones; y, vi) ejercer la demás funciones que le asigne la ley. 92.
Las anteriores competencias se ejercen de conformidad con lo dispuesto en el artículo 52 de la norma en mención,44 que señala: “[…] PROCEDIMIENTO: Para deteminar si existe una infracción a las normas de promoción a la competencia y prácticas comerciales restrictivas a que se refiere este decreto, la Superintendencia de Industria y Comercio deberá iniciar actuación de oficio o por su solicitud de un tercero y adelantar una averiguación preliminar, cuyo resultado determinará la necesidad de realizar una investigación. Cuando se ordene abrir una investigación, se notificará personalmente al investigado para que solicite o aporte las pruebas que pretenda hacer valer.
Durante la investigación se practicarán las pruebas solicitadas y las que el funcionario competente considere procedentes. <Inciso modificado por el parágrafo del artículo 19 de la Ley 1340 de 2009. El nuevo texto es el siguiente:> Instruida la investigación se presentará al Superintendente un informe motivado respecto de si ha habido una infracción. De dicho informe se correrá traslado al investigado y a los terceros interesados, en caso de haberlos.
Durante el curso de la investigación, el Superintendente de Industria y Comercio podrá ordenar la clausura de la investigación cuando a su juicio el presunto infractor brinde garantías suficientes de que suspenderá o modificará la conducta por la cual se le investiga. En lo no previsto en este artículo se aplicará el Código Contencioso Administrativo. […]” (Resaltado de la Sala) 93.
Por su parte, el artículo 54 ibidem, refiere que “[…] Sin perjuicio de las disposiciones especiales en materia de propiedad industrial y lo previsto en el presente Decreto, las actuaciones que adelante la Superintendencia de Industria y Comercio se tramitarán de acuerdo con los principios y el procedimiento establecido en el Código Contencioso Administrativo. […]”. 44 Modificado por el artículo 155 del Decreto 19 de 2012. 31 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 94.
Asimismo, el párrafo segundo del artículo 1.º del Código Contencioso Administrativo, aplicable para el momento de la ocurrencia de los hechos, determina que “[…] Los procedimientos administrativos regulados por leyes especiales se regirán por éstas; en lo no previsto en ellas se aplicarán las normas de esta parte primera que sean compatibles. […]” 95.
Ahora bien, de acuerdo a lo mencionado en el marco normativo y jurisprudencial relacionado con el hábeas data, si bien en el artículo 18 de la Ley 1266, se establece que la Superintendencia de Industria y Comercio, entre otra, puede imponer a los operadores, fuentes o usuarios de información financiera, crediticia comercial, de servicios y la proveniente de terceros países, unas sanciones,45 no indica cuál es el procedimiento aplicable46. 96.
Al respecto, la Corte Constitucional al estudiar el proyecto de Ley Estatutaria de hábeas data y manejo de la información contenida en bases de datos personales, manifestó frente al procedimiento a aplicar para el ejercicio de la potestad sancionatoria en dicho ámbito, lo siguiente47: Pues bien, examinado el contenido integral de la norma estatutaria, la única referencia que ésta hace al procedimiento para el ejercicio de la potestad sancionatoria, es la prevista en el enunciado del artículo 18, conforme al cual, las sanciones a los operadores, fuentes y usuarios del sistema se impondrán por la Superintendencia de Industria y Comercio y la Superintendencia Financiera, “previas explicaciones de acuerdo con el procedimiento aplicable”.
A juicio de la Corte, el enunciado del artículo 18 contempla una remisión a los procedimientos que en materia correctiva o sancionatoria, referida a otras competencias, aplican los órganos a los que se atribuye la potestad sancionatoria en el ámbito específico del hábeas data. En este sentido el procedimiento aplicable para el ejercicio de la potestad sancionatoria, en el ámbito del hábeas data, por parte de la Superintendencia de Industria y Comercio, sería el previsto en el Decreto Extraordinario No. 2153 de 1992, “Por el cual se reestructura la Superintendencia de Industria y Comercio y se dictan otras disposiciones”.
Este estatuto prevé un procedimiento para determinar si existe una infracción a las normas de promoción a la competencia y prácticas comerciales restrictivas, que por remisión del artículo 18 sería el aplicable para detectar y sancionar las infracciones a la ley de hábeas data financiero. (…) Los mencionados son los “procedimientos aplicables” a que remite el enunciado del artículo 18 de la Ley de hábeas data.
Ello sin perjuicio, de que a futuro, en ejercicio 45 Como multas de carácter personal e institucional, suspensión de las actividades del banco de datos y el cierre o clausura de operaciones del banco de datos. 46 “[…]
ARTÍCULO 18. SANCIONES. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable […].” (Resaltado de la Sala). 47 Corte Constitucional; sentencia C-1011 de 16 de octubre de 2008;
M.P. Jaime Córdoba Triviño. 32 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co de la cláusula general de competencia que la Constitución reconoce al legislador, éste configure un procedimiento específico para investigar, imputar responsabilidad e imponer las sanciones derivadas de la infracción a la normatividad estatutaria de hábeas data financiero. 97.
Con base en lo anterior, dado que la Ley 1266 no contempla un procedimiento para investigar y sancionar las infracciones a la ley de hábeas data financiero, la Corte Constitucional, al declarar la exequibilidad del proyecto de dicha ley, señaló que deberá remitirse a lo establecido en el Decreto 2153 de 1992. 98. Ahora, como se mencionó anteriormente, si bien el artículo 52 del Decreto 2153 de 1992, indica un procedimiento especial para determinar si existe una infracción a las normas de promoción a la competencia y prácticas restrictivas, también lo es que en el artículo 54 ibidem, se prevé que las demás actuaciones que no se relacionan con propiedad industrial y violación de las normas sobre prácticas restrictivas y promoción de la competencia, se tramitarán de acuerdo con los principios y el procedimiento establecido en el Código Contencioso Administrativo. 99.
En ese orden de ideas, a pesar de que la Corte Constitucional refiere que el ejercicio de la potestad sancionatoria en lo que tiene que ver con hábeas data se hace a través del procedimiento especial previsto en el Decreto 2153 de 1992, por el vacío normativo existente en el artículo 18 de la Ley 1266, también lo es que el decreto ibidem, se insiste, se refiere a un procedimiento dentro del cual no encuadra el relacionado a la infracción del hábeas data y, por el otro, que ante la ausencia de norma especial que regule esta clase de investigaciones, el mismo decreto, advierte que debe darse aplicación al procedimiento establecido en el Código. 100.
En conclusión, la Sala considera que no se vulneró el derecho al debido proceso, toda vez que la investigación administrativa se adelantó con base en el procedimiento que resultaba aplicable, en atención tanto a su especialidad como al vacío normativo existente. De la falsa motivación Del principio de tipicidad 101. La parte demandante manifiesta que en los actos administrativos acusados no se hizo una debida adecuación de la conducta, en la medida en que, en ocasiones, 33 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co se hizo referencia a que la infracción se ocasionó por parte de la ex funcionaria Carmenza Abad Obregón y, en otras, a que se trató de una estrategia comercial por parte de la empresa. 102.
Frente al principio de legalidad en tratándose de la potestad administrativa, la Sala ha señalado lo siguiente48: “[…] Es cierto que en virtud del principio de legalidad o tipicidad de las faltas las conductas constitutivas de infracciones administrativas y las sanciones imponibles deben estar previamente señaladas por la ley49. No obstante lo anterior, tal como lo ha reconocido esta Sala50:-acogiendo reiterada jurisprudencia de la Corte Constitucional-, este principio tratándose de la potestad administrativa sancionatoria opera con menor rigor, en tanto que el legislador no tiene la obligación constitucional de definir integral y exhaustivamente los supuestos típicos que dan lugar al ejercicio de dicha facultad.
En efecto, conforme ha sido señalado por la jurisprudencia constitucional, la flexibilización del principio de reserva de ley que opera en materia de tipificación de las faltas que enmarcan el ejercicio de la potestad sancionatoria administrativa (tanto disciplinaria como correccional51), se traduce en una modulación de las exigencias de configuración de supuestos normativos completos y cerrados que habitualmente pesan sobre el legislador en este ámbito.
Con ello, al tiempo que se permite que una vez definida por la ley una conducta reprochable (tipo sancionatorio) pueda el reglamento precisar los aspectos puntuales de los conceptos abiertos o genéricamente consagrados por la legislación, se aligera la carga de descripción típica de las conductas que comúnmente impone el principio de tipicidad de las faltas al legislador.
Todo esto en aras de asegurar la buena marcha de la Administración y posibilitar tanto el cumplimiento efectivo de sus funciones, como el acatamiento de los deberes impuestos por las autoridades y la normatividad en un determinado sector. En ese escenario, “cuando la variada forma de conductas que presenta la realidad hace imposible la descripción detallada de comportamientos, no existe violación a este principio cuando el legislador señala únicamente los elementos básicos para delimitar la prohibición”.
Además, no puede olvidarse que “respecto de actuaciones administrativas, en ejercicio de la potestad sancionadora de la administración - correctiva y disciplinaria-, las reglas del debido proceso se aplican con los matices apropiados de acuerdo con los bienes jurídicos afectados con la sanción”. 48 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Primera; sentencia de 18 de septiembre de 2014;
C.P. Guillermo Vargas Ayala; número: 11001-03-24-000-2013-00092-00. 49 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Primera; sentencias de 26 de noviembre de 2009 y 29 de julio de 2010; C.P. María Claudia Rojas Lasso y Rafael Ostau de Lafont Pianeta; números: 25000-24-24-000-2002-00758-01 y 11001-03-24-000-2002-00249-01, respectivamente 50 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Primera; sentencia de 28 de agosto de 2014;
C.P. Guillermo Vargas Ayala; número: 25000-23-24-000-2008-000369-01. 51 Como ha sido destacado por la jurisprudencia constitucional, “[e]n ejercicio de la potestad administrativa sancionadora el Estado está habilitado para imponer sanciones disciplinarias y correctivas. Las primeras destinadas a reprimir las conductas desplegadas por los funcionarios y empleados por la violación de deberes, obligaciones y prohibiciones; y las segundas orientadas a sancionar las infracciones cometidas por particulares frente al desconocimiento de regulaciones, mandatos, obligaciones y limitaciones establecidas para reglar determinadas materias”.
Cfr. la sentencia C-853 de 2005 de la Corte Constitucional. 34 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co En últimas, como ha sido señalado por la jurisprudencia constitucional, “el principio de legalidad es más riguroso en algunos campos, como en el derecho penal, pues en este no solo se afecta un derecho fundamental como el de la libertad sino que además sus mandatos se dirigen a todas las personas, mientras que en otros derechos sancionadores, no solo no se afecta la libertad física sino que sus normas operan en ámbitos específicos, ya que se aplican a personas que están sometidas a una sujeción especial, y por lo tanto en estos casos, se hace necesaria una mayor flexibilidad, como sucede en el derecho disciplinario o en el administrativo sancionador”.
Ahora bien, la Corte Constitucional ha estimado que la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es consistente con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la Administración. Al respecto señaló que: “(…) guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, que las hipótesis fácticas establecidas en la ley permitan un grado de movilidad a la administración, de forma tal que ésta pueda cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, debe precisarse que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas. Por el contrario, en el derecho administrativo sancionador el principio de legalidad exige que directamente el legislador establezca, como mínimo, los elementos básicos de la conducta típica que será sancionada, las remisiones normativas precisas cuando haya previsto un tipo en blanco o los criterios por medio de los cuales se pueda determinar con claridad la conducta, al igual que exige que en la ley se establezca también la sanción que será impuesta o, igualmente, los criterios para determinarla con claridad” […]” 103.
En consideración a lo anterior, en el derecho administrativo sancionador el principio de legalidad exige que directamente el legislador establezca, como mínimo, los elementos básicos de la conducta típica que será sancionada, las remisiones normativas precisas cuando haya previsto un tipo en blanco o los criterios por medio de los cuales se pueda determinar. 104.
La Sala, al observar la formulación de cargos realizada por el Superintendente de Industria y Comercio Ad-hoc, a la parte demandante, encuentra que la conducta que le fue imputada fue el presunto incumplimiento de los deberes que tienen los usuarios de utilizar información consultada, únicamente, para los fines para los que fue entregada y de, como operador de información, garantizar la seguridad de la información y permitir el acceso a aquella solo a las personas señaladas en la ley. 105.
Por su parte, el Director de Investigación de Protección de Datos Personal de la Superintendencia de Industria y Comercio al expedir la Resolución núm. 62016 de 25 de octubre de 2013, sostuvo lo siguiente: “[…] Ahora bien, pretender resarcir la irregularidad censurada afirmando que el reclamante no puede alegar su desconocimiento acerca de la necesidad de contar con la 35 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co autorización para realizar la consulta, como lo sostiene el contrato suscrito, no resulta de recibo para este Despacho, porque ello no disculpa el comportamiento de la ejecutiva de ventas de la investigada que, en forma inexcusable, violó principios rectores en materia de protección de datos personales y hábeas data, como son los de circulación restringida y de finalidad. […] De manera que en el presente caso, y con relación al deber de garantizar la seguridad de la información, desde la entrada en vigencia de la Ley 1266 de 2008 y hasta enero de 2011, fecha en la cual el operador implementó la acción correctiva para presuntamente despersonalizar la información consultada para demostración y ventas, los datos de los titulares fueron expuestos a riesgo de consulta o uso no autorizado o fraudulento […].
En suma, no encuentra esta Dirección razón suficiente que permita excusar a la investigada del debido cumplimiento de sus deberes y obligaciones como operador. Por el contrario, encuentra plenamente probado que con su proceder la investigada violó de manera evidente los deberes que le asisten como operador de información, en especial, al haber implementado mecanismos inseguros de consulta de información financiera de los titulares de información, por lo cual procederá a sancionarla en los términos descritos en los apartes siguientes de este acto administrativo 106.
En atención a ello, contrario a lo sostenido en el recurso de apelación, la parte demandada fue consistente y coherente tanto al formular el pliego de cargos como al momento de sancionar a la parte demandante, por haber incurrido en la conducta típica, consistente en incumplir los deberes contenidos en los numerales 3.º 6.º y 10.º del artículo 7.º de la Ley 1266, al haber dado a conocer, a posibles clientes, información de terceros sin su autorización, lo cual se dio al asignar claves y usuarios de acceso a ejecutivos de ventas de la empresa, implementando así, mecanismos inseguros de consulta de información financiera de los titulares de información. 107.
Ahora, si bien en los actos administrativos se cuestionó el hecho de asignar claves y usuarios de acceso a un ejecutivo de ventas y que ese comportamiento no está tipificado como una vulneración a la Ley 1266, también lo es que dicha conducta sí resultaba jurídicamente reprochable, primero, porque constituía un abuso en su calidad de operador; y, segundo, porque el hecho de contar con acceso a información privilegiada ponía en riesgo la seguridad de la información, siendo este el motivo para que dentro de la investigación se hiciera referencia a lo realizado por la señora Carmenza Abad que, como funcionaria de la parte demandante, pese a que se desvinculó en enero de 2011, se estableció que las prácticas que se realizaban dentro de la empresa ponían en riesgo el hábeas data financiero. 36 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 108.
Finalmente, cabe resaltar que pese a que el Superintendente Delegado para la Protección de Datos de la Superintendencia de Industria y Comercio, al resolver el recurso de apelación interpuesto, hizo referencia a que una es la facultad que, en principio, tienen las empresas de implementar estrategias de comercialización de los productos y servicios que ofrecen y, otra, los deberes a su cargo en ejercicio de la actividad de la administración de datos personales que impone una diligencia y cuidado mayor con respecto al ejercicio de su objeto social frente al tratamiento de datos, no puede concluirse que la conducta no hubiera sido debidamente adecuada, sino que fue un argumento más para reafirmar la sanción impuesta, por lo que, en consecuencia, este cargo no está llamado a prosperar.
De la ausencia de material probatorio 109. La parte demandante sostiene que no existió sustento probatorio alguno para determinar la conducta y sanción imputada y que se dieron por ciertos unos hechos que no estuvieron debidamente acreditados. 110. El artículo 3.º del Decreto 01 de 198452, aplicable para el momento de la ocurrencia de los hechos, establece que las actuaciones administrativas se desarrollarán atendiendo los principios de economía, celeridad, eficacia, imparcialidad, publicidad y contradicción. Respecto a estos dos últimos principios, señaló: “[…] En virtud del principio de celeridad, las autoridades tendrán el impulso oficioso de los procedimientos, suprimirán los trámites innecesarios, utilizarán formularios para actuaciones en serie cuando la naturaleza de ellas lo haga posible y sin que ello releve a las autoridades de la obligación de considerar todos los argumentos y pruebas de los interesados. […] En virtud del principio de contradicción, los interesados tendrán oportunidad de conocer y de controvertir esas decisiones por los medios legales. […] (Resaltado de la Sala). 111.
Por su parte, el artículo 34 ibidem prevé que “[…] Durante la actuación administrativa se podrán pedir y decretar pruebas y allegar informaciones, sin requisitos ni términos especiales, de oficio o a petición del interesado. […]” 52 “[…] Por el cual se reforma el Código Contencioso Administrativo.[…]” 37 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 112.
En ese orden, se establece la garantía para el investigado de ejercer su derecho de defensa y contradicción, solicitando y aportando pruebas y, asimismo, que éstas sean valoradas integralmente. 113. Así las cosas, si bien no existe una tarifa legal para decir cómo debe acreditarse un hecho o circunstancia, los razonamientos probatorios pueden apoyarse en diferentes medios de convicción que lleven al convencimiento sobre algo que ocurrió. 114.
Al respecto, cabe resaltar que la actuación administrativa inició con ocasión de la queja presentada por la empresa PCS Colombia, dentro de la cual se dieron a conocer hechos relacionados con una consulta realizada por una funcionaria de la parte demandante, quien, actuando en nombre y representación de la empresa, accedió al historial crediticio del representante legal de la sociedad C.I. Americaflor LTDA., con una finalidad distinta a la de establecer o mantener una relación comercial sino que se hizo para una demostración. En esta, se señaló lo siguiente53: En el mes de noviembre nos visitó la señora Carmenza Abad Obregón, Ejecutiva Empresarial de Computec – Data Crédito, para ofrecernos el servicio de consultar y reportar a clientes de nuestra empresa.
Nuestra respuesta fue muy clara al decirle que nosotros estábamos interesados en tener ese servicio solo por un año, porque tenemos dos clientes que nos deben más de $30.000.000 y al estar vinculados, podríamos tener ese servicio como medio de presión para obtener la recuperación de esta cartera. La señora Carmenza Abad fue muy enfática al afirmar que no había inconveniente y que no solo podríamos reportar a las empresas sino a los representantes legales de cada una.
En visita posterior que nos hizo la señora Carmenza Abad para entregarnos los papeles que debíamos firmar, volvimos a preguntarle, para tener la seguridad que sí podíamos reportar tanto a las empresas como a sus representantes legales, a lo que nos contestó en forma positiva y para confirmarlo, desde mi computador entró a Ia página de Data Crédito y consultó al representante legal de C.I. Americaflor Ltda. mostrándome el historial crediticio de su representante legal.
Luego de este convencimiento procedimos a llenar los formatos y a entregar los documentos solicitados. (Resaltado de la Sala). 114.1. Con base en dicho documento, se observa que la queja principal de la empresa es la información engañosa que le brindó la parte demandante para suscribir un contrato, de la cual, además, se puede extraer, el error que cometió 53 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 38 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co ésta al brindar la información crediticia de un tercero que, como se señalará más adelante, no había dado la autorización para el efecto. 114.1.1.
Ahora bien, si bien no obra otra prueba, documental o pericial, que acredite la afirmación del testigo directo, si esta se complementa con otros elementos que generen una inferencia razonable de que efectivamente se vulneraron los deberes contemplados en la ley de hábeas data, el juez debe evaluar si existen hechos demostrados que permitan deducir, mediante las reglas de la sana crítica, la existencia de la conducta alegada. 114.2.
Para el efecto, encuentra la Sala que dentro del expediente obran una serie de indicios que permiten establecer la responsabilidad de la parte demandante, los cuales se citan a continuación: 114.2.1. Copia de carta enviada a C.I. Americaflor LTDA, el 2 de diciembre de 2010, por el gerente general de PCS Colombia, en la cual se puede ver la relación comercial entre estas dos empresas y en la que se indicó54: Debido a que la empresa que usted representa no ha deseado tener contacto con nosotros ni personal ni por vía escrita o correo electrónico, le informo que hemos tomado la decisión de reportarlos ante las instituciones de riesgo, tanto a la empresa como a usted en su calidad de representante legal. 114.2.2.
La respuesta a la solicitud de explicaciones, por parte de la parte demandante, dentro de la cual afirmó55: Con el ánimo de dar una solución comercial al problema manifestado, el Director de Desarrollo de Clientes de Computec S.A.-Data Crédito, en comunicación de fecha 8 de febrero de 2011, le manifestó al señor Congote que lo invitaba a continuar con el servicio y a que sostuvieran una reunión, con el fin de revisar el tema y aclarar los compromisos adquiridos.
Con la comunicación del 26 de abril de 2011, el señor Congote reiteró que no deseaba continuar con el contrato suscrito con Computec S.A.-Data Crédito pues tal como se lo había manifestado a la funcionaría Carmenza Abad, la utilidad del contrato estaba representada en la posibilidad de reportar a dos clientes morosos y al enterarse posteriormente, que no lo podía hacer, por no contar con la autorización respectiva, éste ya no era de su interés. Termina la comunicación afirmando que fue engañado por la funcionaría de Computec S.A.-Data Crédito antes 54 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 55 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 39 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co mencionada, quien tenía “intereses dañinos” pues les aseguró que el reporte se podía realizar incluso sin la autorización respectiva. […] De acuerdo con lo anterior, los ejecutivos de vinculación de la Compañía cuentan con claves de acceso a la consulta de historia de crédito para hacer las demostraciones durante el proceso de venta del servicio y la vinculación de un cliente.
Es de advertir que todos conocen plenamente el deber de contar con la autorización previa de quien se va a consultar o de obtenerla previamente según el caso. […] Con el fin de contar con las máximas seguridades respecto de la información, desde enero de 2011 se determinaron al interior de la Compañía, unas características especiales de las consultas que realicen los ejecutivos de vinculación. […]” 114.2.2.1.
De dicha respuesta, la parte demandante: i) afirma que sus ejecutivos cuentan con claves de acceso a la consulta de historia de crédito para hacer las demostraciones en los procesos de venta del servicio y la vinculación de cliente; ii) no niega, rotundamente, lo ocurrido con la funcionaria Carmenza Abad y la empresa PCS Colombia E.U., sino que se limita a señalar que era una excelente profesional, que ella ya no está vinculada laboralmente y que todos los contratos que suscribe con sus empleados tienen una clausula que les impone la obligación de “[…] "No revelar, divulgar, exhibir, mostrar, comunicar, utilizar y/o emplear, directa o indirectamente.
Información de Computec, de los clientes de Computec y de los usuarios de los servicios que prestan los clientes de Computec a persona alguna, natural o jurídica, en su favor o en el de terceros, de manera directa o indirecta, en perjuicio o no de Computec. de los clientes de Computec y/o de los usuarios de los servicios que prestan los clientes de Compútec […]”; y, iii) no allega siquiera la prueba de que dicha funcionaria hubiera suscrito la mencionada clausula. 114.2.2.2.
De otra parte, la parte demandante sostiene que a partir de enero de 2011, implementó unos protocolos máximos de seguridad, lo cual reafirma aún más que antes de dicha fecha, existían deficiencias respecto a la seguridad de la información de los titulares, aunado al hecho de que afirmó que con el requerimiento efectuado por la parte demandada, ha procedido a “[…] implementar los controles adecuados respecto de la asignación de claves que le son asignadas a los ejecutivos de vinculación, las cuales garantizan la seguridad de información y el acceso a la información en los términos de ley […]”. 40 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 114.2.3.
Requerimiento efectuado por el Superintendente de Industria y Comercio Ad-hoc, al momento de abrir investigación y formular pliego de cargos contra la empresa aquí demandante, de aportar los siguientes documentos56: “[…] 1. Copia de autorización otorgada por la sociedad C.I. Americaflor LTDA., para consultar su información personal. 2.
Copia del contrato celebrado con la sociedad PCS Colombia E.U. […] 3. Información relacionada con el vínculo laboral de la señora Carmenza Abad Obregón, ejecutiva empresarial de la investigada, y persona que, según la reclamante, realizó la consulta de información a la sociedad C.l. Americaflor Ltda. 4. Información para determinar si la señora Carmenza Abad Obregón contaba con una clave de acceso a la base de datos que le permitiera realizar consulta de historiales crediticios de titulares. 5.
Certificado de existencia y representación legal. […]” 114.2.4. Informe de 16 de febrero de 2012, rendido por la parte demandante, en el que aportó los documentos que a continuación de citan57: • Copia de la solicitud de vinculación de la empresa PCS Colombia E.U., del 22 de noviembre de 2010. • Copia del contrato de prestación de servicios celebrado con la empresa PCS Colombia E.U. el 30 de noviembre de 2010. • Copia de la matriz de asignación de claves de acceso a la base de datos Data Crédito 114.2.4.1.
Observa la Sala, entonces, que una vez la parte demandada tuvo conocimiento de las presuntas irregularidades a la ley de hábeas data por parte de la parte demandante, le solicitó que allegara copia de la autorización otorgada por la sociedad C.I. Americaflor LTDA., para consultar su información, con el objeto de desvirtuar lo señalado en la queja; no obstante, dicha prueba no fue allegada. 115.
En ese orden de ideas, teniendo en cuenta, primero, la afirmación realizada en la queja interpuesta; segundo, el vínculo que existía entre PCS Colombia y C.I. Americaflor LTDA; tercero, la contestación realizada por la parte demandante al 56 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 57 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C04_OTROS- CUADERNO 04 PRUEBAS Y ANEXOS-COPIA DEL EXPEDIENTE 12-180712 DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (.pdf) NroActua 27 […]”. 41 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co momento de rendir sus explicaciones, dentro de la cual da a conocer, se insiste, que los ejecutivos que estaban vinculados a ella tenían libertad para acceder a las historias de crédito de sus clientes y con ellas realizar demostraciones de venta y vinculación de un cliente; cuarto, que la recurrente no negó ni tampoco demostró que la funcionaria había actuado de manera diferente a la señalada por el quejoso; quinto, que la parte demandante no allegó, ni en la investigación ni en esta instancia, el consentimiento de la empresa C.I. Americaflor LTDA, para dar a conocer su información crediticia; y, sexto, que una vez ocurrieron los hechos, la parte demandante implementó nuevos protocolos de seguridad, se puede concluir que la parte demandante vulneró los deberes establecidos en el artículo 7.º de la Ley 1266 de 2008, esto es, i) permitir el acceso a la información únicamente a las personas que conforme a lo previsto en la ley pudieran tener acceso a ella58; ii) conservar con la debida seguridad los registros almacenados para impedir su deterioro o pérdida y uso no autorizado o fraudulento; y, iii) circular la información a los usuarios dentro de los parámetros permitidos en la normativa aplicable, los cuales se citan a continuación. 116.
Finalmente, si bien la parte demandante, en el recurso de apelación, afirmó que no se acreditó que todos los ejecutivos tuvieran las claves de acceso, dicha prueba no desvirtúa la conducta imputada, en la medida en que bastaba que así solo fuera una persona, se demostrara, como en efecto ocurrió, que la empresa no tenía los protocolos de seguridad adecuados para el manejo de las información de los usuarios.
Del testimonio del señor Daniel Casas Medina 117. En tal sentido, la recurrente sostiene que el testimonio rendido dentro del proceso de nulidad y restablecimiento del derecho por parte del señor Daniel Casas Medina desvirtúa que se hizo un uso indebido de la información financiera de 58 “[…]
ARTÍCULO 15. ACCESO A LA INFORMACIÓN POR PARTE DE LOS USUARIOS. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información. […]” 42 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co terceros y, por lo tanto, la presunción de legalidad de los actos administrativos cuestionados. 118.
Al respecto, el señor Daniel Casas Medina, sostuvo lo siguiente59: “[…] Preguntado por el Magistrado Sustanciador: se le preguntó al testigo si es posible que algún ejecutivo de Experian pudiese ingresar al sitio web con el fin de indagar datos personales de alguna persona a lo que el testigo respondió "( ) hoy no. Al preguntársele si en el momento en que se hizo la investigación era posible, el testigo respondió “( ) posiblemente sí señor, pero los sistemas de nosotros estaban diseñados y los procesos de esos personajes estaban diseñados para que siguieran ciertos procesos y se cumplieran.
Se le preguntó si el uso de ese tipo de información que maneja la empresa puede producir daño a la intimidad de la persona investigada, así como qué es lo que protege la empresa, que información suministra la empresa, a lo que el testigo respondió que “( )en una historia de crédito se valida la identificación de la persona y se valida su comportamiento crediticio ante las diferentes entidades, cómo le ha pagado a un banco, como le ha pagado a una telco, cómo ha sido su comportamiento( ).
Se le pregunta si la empresa responde por la veracidad de la información o simplemente la reciben y la reportan, a lo que el testigo responde que “( ) nosotros la recibimos y la reportamos y hacemos validación de la información. Cuando no cumple la consistencia o es inconsistente en alguno de los campos se la devolvemos a la fuente. Se le pregunta si el suministro de la información por canales distintos a los señalados por el testigo puede generar daño particular a una persona, a lo que respondió que “( ) la forma en como a nosotros nos reportan la información los suscriptores es a través de canales seguros y formatos específicos que tenemos diseñados para ello.
( ) Tienen que venir por procesos validados y seguros que entregan la información a DATACREDITO. Se le pregunta al testigo para qué se hubiese necesitado consultar y exhibir el historial del representante legal de Cl AMERICANFLOR Ltda, a lo que el testigo responde que “( ) no me consta que se haya presentado ese historial. Hay una consulta que se hizo.
Lo que se puede hacer en ese momento es mostrar cómo se comportaba esa persona para pagar a los bancos, por ejemplo. ( )". Más adelante se le pregunta al testigo si ningún otro tipo de información que se refiera a la intimidad de la persona contiene la base de datos que ustedes manejan, a lo que el testigo respondió que “( ) que se presente una historia de crédito no, es comportamiento de pago como le dije y validación de la identificación (sic)”.
Se le pregunta al testigo si la base de datos refleja otro tipo de información personal, clínica, médica, la edad, sexo, a lo que el testigo respondió que “( ) No, valida, por ejemplo, valida que la cédula sea el número y que corresponda a ese apellido y que este por ejemplo en tal rango de edad, pero no sale la edad ni el sexo, no sale cosas de esas, sale es el comportamiento crediticio.
( ). El testigo señala que ya no es posible acceder al historial, solicitando el Magistrado Sustanciador en su momento precise por qué no es posible acceder a dicha información sin anuencia del titular de la misma, a lo que el testigo respondió que “( ) como hemos ampliado este canal de ventas, hemos ido evolucionado en la forma como le hemos facilitado a los vendedores la presentación del producto y hoy en día ellos no tienen acceso a consultas en línea sino tienen unos demos específicos en donde se muestra una información, se muestra todas las ventajas que tiene el producto.
Estos demos son identificaciones no reales, cuentas no reales y están diseñados para mostrar todos los beneficios de un producto. […]” (Resaltado por la Sala) 59 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 43 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 119.
Del testimonio antes mencionado, contrario a lo expuesto en el recurso de apelación y conforme a lo sostenido por el a quo, este tampoco desvirtúa la conducta por la cual la parte demandante fue investigada y sancionada, toda vez que el señor Casas Medina afirmó que hoy en día un ejecutivo de la empresa no ingresa al sistema con el fin de indagar los datos personales de una persona que estuviera en Data crédito, pero cuando se le preguntó si, para el momento de la ocurrencia de los hechos, esto era posible, señaló que sí, demostrando con ello que la parte demandante, a hoy, ha tomado una serie de medidas para dar a conocer a los posibles clientes su producto, a través de programas que no impliquen la violación del hábeas data y que antes si pudieron existir algunas deficiencias al respecto.
De la confesión 120. La parte demandante manifestó que la prueba con fundamento en la cual la parte demandada consideró la infracción imputada, no posee las cualidades de la confesión como medio de prueba y, por lo tanto, el acto administrativo sancionatorio debe ser declarado nulo. 121. El artículo 191 de la Ley 1564, establece como requisitos de la confesión, los siguientes: “[…] 1.
Que el confesante tenga capacidad para hacerla y poder dispositivo sobre el derecho que resulte de lo confesado. 2. Que verse sobre hechos que produzcan consecuencias jurídicas adversas al confesante o que favorezcan a la parte contraria. 3. Que recaiga sobre hechos respecto de los cuales la ley no exija otro medio de prueba. 4. Que sea expresa, consciente y libre. 5.
Que verse sobre hechos personales del confesante o de los que tenga o deba tener conocimiento. 6. Que se encuentre debidamente probada, si fuere extrajudicial o judicial trasladada. La simple declaración de parte se valorará por el juez de acuerdo con las reglas generales de apreciación de las pruebas. […]” 122. Al observar la Resolución núm. 62016 de 25 de octubre de 2013, encuentra la Sala que si bien se usó la palabra confesión, el Director de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, lo hizo para referirse a una afirmación que en su momento expuso la parte 44 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co demandante60, con la cual se acreditaba lo expuesto en la queja y se reafirmaba aún más su responsabilidad en la vulneración de sus deberes como operador del banco de datos, motivo por el cual no era dable que la parte demandada analizara los requisitos antes expuestos para tenerla en cuenta dentro de la investigación. Del rechazo de las pruebas testimoniales 123.
La parte demandante sostiene que la parte demandada rechazó las pruebas testimoniales solicitadas en su momento, con las cuales se pretendía desvirtuar las afirmaciones realizadas en los actos cuestionados. 124. Para el efecto, se tiene que la parte demandante al interponer el recurso de reposición y, en subsidio, apelación contra la Resolución núm. 62016 de 25 de octubre de 2013, pidió que se citarán a declarar a la señora Liliana Cubides, en su condición de Directora de Servicio al Cliente y al señor Carlos Arturo Huertas, como Vicepresidente de Operaciones, con el fin de que suministraran información acerca de los controles existentes para el manejo y uso de las claves61. 125.
El Director de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, mediante Resolución núm. 3390 de 30 de enero de 201462, manifestó63: “[…] las pruebas solicitadas no resultan conducentes para obtener certeza de los hechos sometidos a discusión, pues es claro que desde enero de 2011 el operador ha estructurado un protocolo de seguridad más riguroso y ha establecido políticas distintas para la asignación de claves de acceso a la base de datos Data Crédito.
En consecuencia, considerando que la presente investigación está encaminada a determinar si para la época de los hechos objeto de reproche Experian Computec S.A. incumplió con los deberes que como operador de información le asisten, y no se encuentra dirigida a efectuar una verificación de los protocolos actuales de seguridad en la información, se negará la práctica de las pruebas solicitadas por resultar improcedentes. […]” 60 “[…] los ejecutivos de vinculación de la compañía cuentan con claves de acceso a la consulta de la historia de crédito para hacer las demostraciones durante el proceso de venta del servicio y la vinculación de un cliente […]” 61 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI.
Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 62 “[…] Por la cual se resolvió un recurso de reposición […]” 63 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 45 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co 126.
A su turno, el Superintendente Delegado para la Protección de Datos Personales, a través de Resolución núm. 18381 de 21 de marzo de 201464, adujo65: “[…] hay que subrayar que la solicitud de la recurrente está encaminada a demostrar los ajustes y la idoneidad de los protocolos actuales de seguridad de la información y no las políticas de seguridad que fueron implementadas en la época de los hechos controvertidos, por lo que no es procedente acceder a la práctica de las pruebas solicitadas al ser manifiestamente improcedentes e innecesarias. […]”. 127.
Como se mencionó anteriormente, en el proceso sancionatorio administrativo opera la libertad probatoria, lo que implica que las partes tienen la posibilidad de presentar disentimientos contra el acervo probatorio pero, es a la autoridad que adelanta la investigación, a la que le corresponde la evaluación dentro de su margen de discrecionalidad para valorar la prueba en sí misma, razón por la cual el cargo referido no debe prosperar, dado que la parte demandada tuvo en cuenta todo el material probatorio obrante dentro del expediente, analizó si las pruebas solicitadas eran pertinentes y conducentes y, finalmente, llegó a la conclusión de que era dable imponer la sanción de multa. 128.
Cabe agregar, además, que dentro del proceso de nulidad y restablecimiento del derecho, en audiencia de pruebas llevada a cabo el 23 de agosto de 2016, pese a que se decretó la prueba testimonial de la señora Liliana Cubides, la parte demandante desistió de dicha prueba. Del desconocimiento del principio de proporcionalidad De la no causación del daño 129.
Manifiesta la parte demandante que la sanción que le fue impuesta no es consecuente con las circunstancias particulares que rodearon los hechos y con la finalidad perseguida por la Ley 1266, pues, por un lado, no se causó un daño a los titulares de la información y, por el otro, fue diligente al aplicar los correctivos necesarios. 130.
El artículo 19 de la Ley 1266, prevé como criterios para graduar las sanciones, los siguientes: 64 “[…] Por la cual se resuelve un recurso de apelación […]” 65 Cfr. índice 27 del Sistema de Gestión Judicial, SAMAI. Archivo denominado “[…] ED_C01_OTROS- CUADERNO 01 PRINCIPAL (.pdf) NroActua 27 […]”. 46 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co “[…] a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar. […]” 131.
En consideración a lo anterior, se tiene que la norma en mención establece, entre otros criterios de graduación, la dimensión del daño o peligro a los intereses jurídicos tutelados, lo cual no implica necesariamente que deba asignársele una dimensión al daño producido producto de su cuantificación, sino que solamente la puesta en peligro es criterio suficiente para determinar el monto de la sanción. 132.
En el sub examine, se pudo establecer que con ocasión de que los ejecutivos tuvieron acceso a los usuarios y claves y que exhibieron la información personal para un objeto distinto al permitido, establecido en el artículo 15 de la Ley 126666, se generó un riesgo al interés jurídico tutelado en dicha norma, que corresponde a los derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales. 133.
En conclusión, no le asiste razón a la parte demandante, por cuanto, independientemente de que se hubiera materializado o no un daño, con su conducta infringió los deberes establecidos en el artículo 7.º de la Ley 1266 y vulneró, principalmente, los principios de seguridad y confidencialidad previstos en la misma norma67. 66 “[…]
ARTÍCULO 15. ACCESO A LA INFORMACIÓN POR PARTE DE LOS USUARIOS. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información. […]” 67 “[…] f) Principio de seguridad.
La información que conforma los registros individuales constitutivos de los bancos de datos a que se refiere la ley, así como la resultante de las consultas que de ella hagan sus usuarios, se deberá manejar con las medidas técnicas que sean necesarias para 47 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co De la diligencia 133.
El artículo 14 de la Ley 1266, advierte que “[…] El Gobierno Nacional establecerá la forma en la cual los bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, deberán presentar la información de los titulares de la información. Para tal efecto, deberá señalar un formato que permita identificar, entre otros aspectos, el nombre completo del deudor, la condición en que actúa, esto es, como deudor principal, deudor solidario, avalista o fiador, el monto de la obligación o cuota vencida, el tiempo de mora y la fecha del pago, si es del caso. […]”. 134.
En tal sentido, la Corte Constitucional manifestó lo siguiente:68 “[…] La norma estudiada es un desarrollo propio del principio de integridad, conforme a dos argumentos definidos. En primer lugar, establece que cuando el usuario consulte la información personal del sujeto concernido, los operadores de los bancos de datos deberán dar información exacta y completa sobre el actual estado de cumplimiento en las obligaciones, aunado a la posibilidad de consultar los demás datos que conforman el historial crediticio del deudor.
Esto implica que los usuarios tendrán acceso a aquella información que se muestra relevante para otorgar una visión completa del estado de cumplimiento comercial y crediticio del sujeto concernido. En segundo término, el parágrafo 4º proscribe la administración de información exclusivamente desfavorable, prohibición que facilita que los datos financieros sean completos e incorporen toda la información pertinente, tanto la que da cuenta de la mora, como la que confiere situaciones ventajas para el titular, en tanto lo califican como un agente económico cumplidor de sus obligaciones crediticias y comerciales.
Esto último, por supuesto, desarrolla el principio de incorporación, identificado por la jurisprudencia constitucional dentro del contenido y alcance del derecho fundamental al hábeas data. […]” 135. Si bien, conforme a las pruebas allegadas, la Sala observa que la parte demandante dispuso un protocolo seguro y confiable en aras de cumplir con el deber dispuesto en la normativa aplicable, relacionado con la guarda estricta de la información para garantizar la privacidad y uso adecuado de la misma, también lo es que, para el momento de la ocurrencia de los hechos69, tales previsiones no garantizar la seguridad de los registros evitando su adulteración, pérdida, consulta o uso no autorizado; g) Principio de confidencialidad.
Todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan la naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende la administración de datos, pudiendo sólo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma. 68 “[…] Corte Constitucional; sentencia C-1011 de 16 de octubre de 2008;
M.P. Jaime Córdoba Triviño […]”. 69 Noviembre de 2010. 48 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co existían, dado que según lo indica la parte demandante dentro de la investigación, el protocolo se implementó en enero de 2011, lo que quiere decir que para el año 2010 sí era posible acceder a la información completa del titular de información a través de la consulta realizada por el ejecutivo de ventas de la empresa. 136.
Adicionalmente, debe resaltarse que la diligencia en aplicar los correctivos necesarios no hace parte dentro de los criterios establecidos en el artículo 19 de la Ley 1266 para graduar la sanción y, por lo tanto, no era un elemento que debía analizar la parte demandante al momento de imponer el monto de la multa. Conclusión de la Sala 137.
La Sala considera que, en el caso sub examine, los argumentos expuestos por la parte demandante en el recurso de apelación no están llamados a prosperar, por cuanto no desvirtúa la presunción de legalidad de los actos administrativos acusados y, por lo tanto, la Sala confirmará la sentencia apelada. Condena en costas 138. Vistos los artículos 18870 de la Ley 1437 y 365 de la Ley 1564, sobre la condena en costas y atendiendo al criterio objetivo valorativo de las mismas y a que en el expediente no aparecen causadas ni probadas, la Sala no condenará en costas a la parte demandante.
En mérito de lo expuesto, el Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Primera, administrando justicia en nombre de la República y por autoridad de la Ley III.
RESUELVE
PRIMERO: CONFIRMAR la sentencia proferida, en primera instancia, por la Subsección A de la Sección Primera del Tribunal Administrativo de Cundinamarca, el 3 de febrero de 2017, por las razones expuestas en la parte motiva de esta providencia.
SEGUNDO: NO CONDENAR en costas en esta instancia, por las razones expuestas en la parte motiva de esta providencia. 70 Adicionado por el artículo 47 de la Ley 2080. 49 Núm. único de radicación: 250002341000201500040-01 Demandante: Experian Colombia S.A. Calle 12 No. 7-65 – Tel: (57-1) 350-6700 – Bogotá D.C. – Colombia www.consejodeestado.gov.co TERCERO: Reconocer personería jurídica a la abogada Mónica Rugeles Martínez, como apoderada de la parte demandante, de acuerdo a los documentos aportados.
CUARTO: En firme esta providencia, devolver el expediente al Tribunal de origen. CÓPIESE,
NOTIFÍQUESE Y CÚMPLASE Se deja constancia que la anterior sentencia fue leída, discutida y aprobada por la Sala en la sesión de la fecha. NUBIA MARGOTH PEÑA GARZÓN Consejera de Estado Presidenta GERMÁN EDUARDO OSORIO CIFUENTES Consejero de Estado HERNANDO SÁNCHEZ SÁNCHEZ Consejero de Estado CONSTANCIA: La presente sentencia fue firmada electrónicamente por los integrantes de la Sección Primera en la sede electrónica para la gestión judicial SAMAI.
En consecuencia, se garantiza la autenticidad, integridad, conservación y posterior consulta, de conformidad con la ley.