Decisión 10998 de 2021 — SIC

(16 JUNIO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 20-135209 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, y el numeral 8 del artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 10998 del 4 de marzo de 20211, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad MARKETING PERSONAL S.A identificada con Nit. 811.018.771-1, por un valor de CIENTO CINCUENTA MILLONES TRESCIENTOS QUINCE MIL CIENTO VEINTE PESOS M/CTE ($150.315.120), equivalente a CUATRO MIL CIENTO CUARENTA (4.140) UVT, por la violación a lo dispuesto en: (i) El numeral 7) del artículo 8 de la Ley 1266 de 2008, en concordancia con los numerales 3, 4 y 5 del literal II del artículo 16 ejúsdem;

(ii) El numeral 10) del artículo 8 de la ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem; (iii) El numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem; y (iv) El numeral 5 del artículo 8 de la Ley 1266 de 2008.

SEGUNDO: Que, la Resolución 10998 del 4 de marzo de 2021 se notificó por aviso N°3767 el día 26 de marzo de 2021, a la sociedad MARKETING PERSONAL S.A, según consta en la certificación expedida por la Secretaría General de este Superintendencia, radicada bajo el número 20-135209-26 del 7 de abril de 2021.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado el 7 de abril de 2021, bajo el número 20-135209-27, la sociedad MARKETING PERSONAL S.A, a través de apoderado general, interpuso recurso de reposición y en subsidio de apelación contra la Resolución 10998 del 4 de marzo de 2021, con los siguientes argumentos: “(…)1.

OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION: CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO. (…) Frente a lo expuesto es importante tener en cuenta que la causa extraña como circunstancia exoneratoria ha sido definida por la Corte Suprema de Justicia en sentencia del 27 de febrero de 1998 MG. Dr. Rafael Romero Sierra, de la siguiente manera " La intervención de este elemento extraño configura la causal de irresponsabilidad del demandado, siempre que el hecho del tercero tenga con el daño sufrido por la victima una relación exclusiva de causalidad, pues en tal supuesto la culpa del demandado es extraña al perjuicio", para el caso concreto es claro que se cumple perfectamente con dicha relación exclusiva por parte de quien presuntamente cometió una conducta delictiva contra XXXXXXXXXXXXXXXXXX y Actuación radicada el 5 de marzo de 2021, bajo el número 20-135209-00017 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, MARKETING PERSONAL S.A, pues si no se hubiera dado tal suplantación, nunca hubiera existido un reporte negativo en centrales de información a nombre de la señora XXXX XXXXXXX y por lo tanto nunca se le hubiera dado vulneración al derecho fundamental al habeas data, el cual tiene como origen una causa delictiva mayor, que implica nada más y nada menos que una suplantación de la personalidad del titular de la información. En tenor de lo anterior, resulta inaceptable y por fuera del ámbito de la competencia del Director de Investigaciones de Protección de Datos Personales que se le exija a MARKETING PERSONAL S.A, el cumplimiento de las obligaciones establecidas en el artículo 8° de la Ley 1266 de 2008, cuando esta sociedad al también ser víctima de tal conducta delictiva por parte de un tercero nunca pudo acceder a información veraz, completa, exacta, actualizada y comprobable por parte de la señora XXXXXXXXXXXXXX Y MARKETING PERSONAL S.A. y por lo cual no le era en un principio posible ni exigible cumplir adecuadamente con tales obligaciones.

(…) En este punto se hace importante tener en cuenta que si bien la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, indica en la Resolución 10998 de 2021 que el eximente de responsabilidad por el hecho de un tercero, no está llamado a prosperar debido que el artículo 23 de la Ley 222 de 1995 ordena a los administradores obrar con la diligencia de un buen hombre de negocios, lo cual no solo les demanda actuar con profesionalismo y alto grado de diligencia, sino que les exige ser proactivos, dicha interpretación de la referida Dirección de Investigaciones, carece de total rigor jurídico teniendo en cuenta que: La Ley 222 de 1995 tiene como fin reglamentar el régimen de las sociedades y el Código de Comercio y no del régimen de protección de datos traído por la Ley 1266 de 2008. 1.

El deber de actuar como un buen hombre de negocios traído por el artículo 23 de la Ley 222 de 1995, se enmarca frente a las relaciones con el objeto social de la sociedad, el cumplimiento de las disposiciones legales y estatutarias, su relación frente a la revisoría fiscal, la reserva comercial e industrial de la sociedad, abstenerse a usar información privilegiada, dar un trato equitativo a los socios, abstenerse de participar por si o por interpuesta persona en actividades que impliquen competencia de la sociedad y no frente al régimen de protección de datos traído por la Ley 1266 de 2008 2.

Es inaceptable que la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio señale que el artículo 28 de la Ley 962 de 2005 por la cual se señala que los documentos del comerciante deben conversarse hasta por 10 años, no hace parte del normativo de protección de datos personales y no resulta aplicable para el caso objeto de estudio y en consecuencia el argumento no está llamado a prosperar, pero si es viable para la Superintendencia de Industria y Comercio, traer una norma de la Ley 222 el cual tampoco hace parte del marco normativo de protección de datos personales. 3.

No existe ninguna norma en la Ley 1266 de 2008 ni en sus normas reglamentarias que sancione al administrador de una fuente de información por haber sido víctima de una suplantación. 4. El reporte negativo únicamente tenía el valor de $XXXXX, pesos, con lo cual no tenía el potencial para afectar gravemente el derecho al habeas data ni acceso al crédito de la señora XXXXXXXXXXXXX, por tratarse de un monto ínfimo. 5.

La Causa extraña por el hecho de un tercero al asimilarse según la Jurisprudencia de la Corte Suprema de Justicia con la fuerza mayor o caso fortuito, eximiría de responsabilidad a MARKETING PERSONAL S.A, aun cuando no hubiere demostrado diligencia y cuidado, circunstancia que en todo caso no se presentó ya que como se verá más adelante MARKETING PERSONAL S.A, conserva la autorización previa y expresa del titular y los documentos soportes de la obligación que permiten determinar que la obligación es comprobable, frente a quien se hizo pasar por XXXXXXXXXXXXXXXXXXXXXX. 6.

Teniendo en cuenta lo anterior, es claro que la exclusión de responsabilidad por causa extraña, está llamada a prosperar. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, FALTA DE COMPETENCIA. Siendo aceptado por la titular de información XXXXXXXXXXXXXXXXXXXXXX y por la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio que la queja y principal vulneración al derecho al habeas data de la titular en cuestión, tenía como rigen una conducta delictiva de un tercero, es importante reiterar que nuevamente que la Resolución 76434 de 2012 de la Superintendencia de Industria y Comercio, por la cual se imparten instrucciones relativas a la protección de datos personales, en particular, acerca del cumplimiento de la Ley 1266 de 2008, establece en su numeral 1.3.5 relacionado con los casos de suplantación lo siguiente: "En los casos en que el titular reclame por suplantación de identidad, la fuente debe informar al operador para que incluya la Leyenda respectiva respecto del titular y de la obligación u obligaciones que afectan a este con la suplantación. En todo caso, la fuente debe adelantar el trámite correspondiente con el fin de establecer si hay indicios que lleven a eliminar el reporte de información, tanto positiva como negativa, en el historial crediticio.

Si como resultado del trámite determina que no procede la eliminación de la información, el titular podrá acudir a la Superintendencia de Industria y Comercio para que esta se pronuncie". (Subrayado nuestro) Teniendo en cuenta lo anterior es claro que frente estos casos de suplantación, la ente de vigilancia y control es decir la Superintendencia, se debe pronunciar, respecto si la obligación frente a la cual el titular de información alega suplantación de identidad, es en realidad fruto de tal conducta u obedece a una obligación cierta y real, sin embargo tal Resolución 76434, ni la Ley 1266 de 2008, le brindan competencia a la Superintendencia de Industria y Comercio para sancionar a una sociedad, en este caso MARKETING PERSONAL S.A, por el hecho de haber recibido información fruto de una suplantación, lo anteriormente analizado tiene plena coherencia si se tiene en cuenta que el artículo 18 de la Ley 1266 de 2008 indica que la Superintendencia podrá imponer multas por la violación de la Ley y las normas que la reglamenten, sin embargo en ningún aparte de la Ley 1266 de 2008 ni en sus normas reglamentarias se reglamenta, legisla o impone a las fuentes de información obligaciones relacionadas con la suplantación del titular de información por parte de un tercero; lo cual bajo una interpretación finalista, es coherente normativamente que frente a la suplantación, la única norma que regula tal situación es la referida en el numeral 1.3.5 de la Resolución 76434, la cual reiteramos únicamente le da competencia y facultades a dicho ente de control para pronunciarse frente a la suplantación mas no para sancionar a la fuente que también ha sido vulnerada.

CONFISCATORIEDAD Y DESPROPORCIÓN EN LA SANCIÓN La prohibición de las sanciones confiscatorias tiene entre otros fundamentos constitucionales, la protección de la propiedad, iniciativa privada y el de justicia, para el caso concreto al analizar los montos de la sanción establecidas por la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, es claro que esta reúne los requisitos de confiscatoria y desproporcionada, teniendo en cuenta que: Para la fecha de la imposición de la sanción ya no existía vulneración alguna al derecho fundamental al habeas data de la señora XXXXXXXXXXXXXXXXXXXXXXXX, pues su obligación ya había sido eliminada.

Si bien es cierto que la sociedad MARKETING PERSONAL S.A ha sido sancionada en varias ocasiones por el ente de control, también lo es que para la fecha de la imposición de la sanción MARKETING PERSONAL S.A ha demostrado la mejora y cumplimiento de sus obligaciones legales a la luz de la Ley 1266 de 2008, tal como consta en la respuesta al cumplimiento de la resolución número 41980 de 2020, la cual fue radicada ante la Dirección de Investigaciones de Protección de Datos Personales el 11 de Diciembre de 2020.

El Apoderado General de la sociedad MARKETING PERSONAL S.A, en los descargos del mes de julio de 2020 reconoció expresamente que no habíamos contestado el derecho de petición dentro de los términos establecidos en la Ley, reconocimiento que debe ser valorado por el Despacho como un factor atenuante para atenuar la sanción, tal como se ampliará más adelante.

En todo caso debe tenerse en cuenta que el hecho de haberse demorado 5 días hábiles más en dar respuesta a la petición de la titular de información, es decir haber incumplido un deber meramente formal, el cual la misma Ley 1266 de 2018, en su artículo 16 permite ampliar de los 15 días hábiles a 8 días adicionales, no representa una gravedad tal en el actuar de MARKETING PERSONAL S.A, que implique la imposición de una sanción por VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520), lo cual conlleva a la confiscatoriedad de la sanción. HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” MARKETING PERSONAL S.A, no solamente sufrió una confiscatoria sanción monetaria, sino que sufrió graves perjuicios en su imagen corporativa, al ser expuesta por la Superintendencia de Industria y Comercio en más de 14 medios de carácter nacional, por una sanción que aún no había sido debidamente notificada, tal como se demostrara más adelante y que tampoco se encontraba en firme pues se encontraban pendientes los recursos de reposición y apelación que se solicitan por medio de la presente comunicación. Al tratarse de un caso de suplantación donde la sociedad MARKETING PERSONAL S.A, también había sido víctima, a causa de un hecho exclusivo de un tercero, no era viable por parte de la Dirección de Investigaciones de Protección de Datos Personales de la Ley 1266 de 2018.

INDEBIDA NOTIFICACION Es pertinente aclarar que el contacto y dirección de correo electrónico de MARKETING PERSONAL S.A, a la cual fue notificada la Resolución Número 10998 del 2021, fue al señor XXXXXXXXXXXXXXXXXXXXXXXX y al correo electrónico zolanlli.giraldol@marketingpersonal.com a pesar de que por medio de comunicación del viernes 27 de 11 de noviembre de 2020, Radicado 20-453278 enviada al correo contactenos@sic.gov.co y habeasdata@sic.gov.co, se le informo a la Superintendencia de Industria y Comercio que el certificado de existencia y representación legal de la compañía había sido actualizado, en el sentido que el correo electrónico zolanlli.giraldol@marketingpersonal.com ya no constaba como correo para recibir notificaciones y que igualmente el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX había sido removido como apoderado general de la Sociedad, para tal efecto se adjuntó revocatoria del poder general, nuevo poder general concedido al suscrito y el certificado de existencia y representación legal actualizado, donde consta que el correo electrónico para recibir notificaciones es juridico@marketingpersonal.com.

De igual manera por medio del presente documento reiteramos que los correos electrónicos zolanlli.giraldol@marketingpersonal.com y Carlos.oquendov@marketingpersonal.com, no son válidos para realizar notificaciones de ningún tipo.

2. OBJECIONES ESPECIFICAS FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCIÓN FRENTE AL PUNTO 8.2.2 "Del deber de remitir una comunicación previa al reporte negativo ante los Operadores de Información". Teniendo en cuenta los argumentos expuestos en las objeciones generales que dan lugar a la sanción, en especial los relacionados con la CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, considerando que la sociedad MARKETING PERSONAL S.A, también fue víctima de un delito por parte de un tercero, hecho que finalmente es la causa raíz que dio lugar a la vulneración del derecho al habeas data de la señora XXXXXXXXXXXXXXXX, pues sin este hecho, la titular nunca hubiera sido reportada en centrales de riesgo, y que no es posible la aplicación de la Ley 222 de 1995 al régimen de protección de datos personales de la Ley 1266 de 2008 y la FALTA DE COMPETENCIA por parte de la Superintendencia de Industria y Comercio para imponer sanciones por el hecho que una fuente de información haya sido víctima de una conducta típica de falsedad personal y documental, ya que no existe ninguna disposición en la Ley 1266 de 2008 y sus normas reglamentarias que implique obligación y/o sanción para las fuentes de información, relacionado con las suplantaciones, limitándose la Resolución 76434 de 2012 a darle competencia a la Superintendencia para que se pronuncie sobre la suplantación o no del titular, mas no para imponer sanciones a la fuente, teniendo en cuenta lo anterior comete una arbitrariedad la Superintendencia de Industria y Comercio al exigirle a la fuente de información MARKETING PERSONAL S.A, el cumplimiento de la comunicación previa al reporte de una obligación, que desde el principio fue creada por un tercero con la plena y total intención de defraudar tanto a la señora XXXXXXXXXXXXXXX como a MARKETING PERSONAL S.A. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, PETICIÓN Con base a lo expuesto se puede evidenciar que a MARKETING PERSONAL S.A, no le era exigible el cumplimiento de la comunicación previa al reporte negativo, por tratarse de una obligación creada inicialmente con la plena intención de defraudar a la fuente de información y a la señora XXXXXXXXXXXXXXXX, teniendo en cuenta lo expuesto solicitamos que se revoque la sanción impuesta en contra de MARKETING PERSONAL S.A, equivalente a VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520).

FRENTE AL PUNTO 8.2.3 "Del deber de garantizar que la información suministrada a los Operadores sea veraz completa, exacta, actualizada y comprobable". En este cargo frente a los documentos aportados a la investigación y que son los soportes documentales de la existencia de la obligación, el Despecho manifestó lo siguiente: "Así mismo, 1) el contrato de suministro no cuenta con algún consecutivo o fecha que permita probar la existencia de la obligación No. XXXXX) el pagaré tampoco tiene algún consecutivo donde se evidencie su identificación, y no se encuentra completo; por tanto, es evidente que el material probatorio no da cuenta de la existencia de la obligación No. XXXXX contraída por la denunciante, máxime cuando ni siquiera contiene la firma de su otorgante, y en ese sentido, la información reportada ante los operadores de información no fue veraz, completa, exacta, actualizada y comprobable".

No es preciso lo manifestado por el Despecho, toda vez que los documento que fueron aportados como prueba en su momento, esto es, el contrato de suministro y el pagaré, contienen la firma y fueron suscritos por quien dijo ser la señora XXXXXXXXXXXXXX XXXXXXXXXX identificada con la cedula de ciudadanía XXXXXXX y su codeudor lo que demuestra la existencia de la obligación y el cumplimiento del requisito de ser comprobable.

El hecho de que un documento suscrito por el deudor o el contratante no contenga o no posea un número de serie o consecutivo no convierte a la obligación en inexacta, poco veraz, improbable o desvirtúa su existencia, más aún cuando en el presente caso los documentos contienen la firma y número de identificación de quien en su momento dijo ser XXXXXXXXX XXXXXXXXXXX.

Adicionalmente no existe estipulación legal o contractual que le imponga al acreedor o contratante el deber de rotular, marcar o relacionar los documentos suscritos por el deudor con un numero de obligación especifico. Es importante aclararle al Despacho que el número de obligación XXXX que figura reportado ante las centrales de riesgo hace referencia a los 6 últimos dígitos de la cédula de ciudadanía de la señora XXXXXXXXXXXXXXXXXXXXXXXX el cual es XXXXXXXXX, razón por la cual dicho número no se encuentra consignado en el contrato de suministro o en el pagare(sic).

Al momento de realizar el reporte ante las centrales de riesgo el número de obligación que reportamos corresponde al número de identificación de los titulares, para el caso concreto se puede constatar con la respuesta del 26 de junio de 2019, otorgada por la central de información financiera EXPERIAN COLOMBIA S.A., quienes informaron que la obligación reportada a nombre de la señora XXXXXXXXXXXXXXXXXXXX era la número XXXXXXXXXXXX.

Con el presente recurso adjuntamos nuevamente copia del contrato de suministro y el pagare(sic) suscrito al momento de la vinculación de la persona que dijo ser XXXXXXXXX XXXXXXXXXX documentos mediante los cuales se puede comprobar la existencia de la obligación y la debida diligencia llevada a cabo por MARKETING PERSONAL S.A al momento de entablar la relación contractual.

Con base en los documentos aportados se puede evidenciar que MARKETING PERSONAL S.A cumplió con su deber como fuente de información de garantizar que la información que se suministra a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable, incluso a pesar de haber sido víctima de una suplantación y que el hecho causa raíz violación de los derechos de la titular tiene como origen un hecho de un tercero. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, PETICIÓN Teniendo en cuenta lo expuesto previamente frente a este punto y lo señalado en las OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION, especialmente la CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, solicitamos que se revoque la sanción impuesta en contra de MARKETING PERSONAL S.A, equivalente a VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520).

FRENTE AL PUNTO 8.2.4 "Del deber de conservar copia o evidencia de la autorización otorgada por el Titular de la información". En este punto el Despacho expresó lo siguiente frente a la autorización otorgada por el titular: "Este Despacho observa que esta imagen no puede configurarse como la autorización prevista en el numeral 5 del artículo 8 de la Ley 1266 de 2008, pues es un fragmento del contrato de suministro (aludido en el cargo anterior), el cual no cuenta con algún consecutivo o fecha donde se pueda colegir que corresponde a la obligación No. XXXXXX".

En los documentos aportados como pruebas a lo largo de la investigación se puede evidenciar que en el contrato de suministro suscrito por quien dijo ser la señora XXXXXXXXXXX XXXXXXXXX, en el numeral octavo se establece la autorización expresa por parte de la titular la cual consagra: "Faculto expresamente a MP LTDA para la información suministrada en el presente documento, que tiene carácter personal y confidencial, sea consultada y verificada con terceras personas incluyendo los bancos o bases de datos igualmente para que la misma sea usada y puesta en circulación con fines exclusivamente comerciales.

También autorizo expresamente que en el caso de incumplimiento de la(s) obligación(es) sea reportada a los bancos de datos de" En el presente caso como lo hemos manifestado en varias oportunidades se trata de una obligación adquirida con anterioridad a la entrada en vigencia de la Ley 1266 de 2008 y cuya autorización de tratamiento de datos cumple con el requisito de ser expresa y otorgada por el titular.

Con fundamento en la Ley 1266 de 2008 nada obsta para que la autorización esté incluida o inmersa dentro del clausulado de algún contrato, toda vez que la obligación se limita a obtener la autorización por parte del titular y conservar prueba de esta y no que la autorización este en un documento independiente. Teniendo en cuenta lo anterior, carece de sentido jurídico el argumento del Despacho al indicar que no se puede tener en cuenta como autorización por no contener un numero de consecutivo que hiciera alusión a la obligación XXXXX, como lo mencionamos anteriormente es el numero con el que se reportaba la obligación ante las centrales de riesgo y que se trata de los 6 últimos dígitos de la cedula de ciudadanía de la titular.

Por estas razones es claro que MARKETING PERSONAL S.A cumplió con el deber que le asiste en calidad de fuente de la información, de conservar copia o evidencia de la respectiva autorización otorgada por la titular conforme a lo establecido en el artículo 8 numeral 5 de la Lay1266 de 2008. PETICIÓN Teniendo en cuenta lo expuesto previamente frente a este punto y lo señalado en las OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION, especialmente la CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, solicitamos que se revoque la sanción impuesta en contra de MARKETING PERSONAL S.A, equivalente a VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520).

FRENTE AL PUNTO 9.1.2 "Otros criterios de graduación". En este acápite el Despacho no tuvo en cuenta el literal F del artículo 19 de la Ley 1266 del 2008 que consagra: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, "ARTÍCULO

19. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar".

La superintendencia expresó en este aspecto que: Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la sociedad investigada no admitió la comisión de la infracción de los hechos materia te investigación. Al respecto, es necesario remitirse a las manifestaciones de la investigada durante la presente actuación: "Es Importante precisar que, la respuesta emitida al derecho de petición del 26 de octubre de 2018, el cual tenía como termino (sic) de respuesta el 20 de noviembre de 2018, fue resuelta por nuestra Compañía el 19 de diciembre de 2018 y no el 5 de junio de 2019, tal como lo expresa la Superintendencia en el cargo primero", citando el correspondiente extracto de la Resolución de formulación de cargos.

Debemos hacer énfasis que desde la presentación de los descargos en el mes de julio de 2020 reconocimos expresamente que no habíamos contestado el derecho de petición dentro de los términos establecidos en la Ley, reconocimiento que debe ser valorado por el Despacho como un factor atenuante para disminuir la sanción. El Despacho al momento de imponer la sanción frente al cargo primero (punto 8.2.1 Del deber como fuente de información de atender los reclamos que ante esta se presentan y la forma como deben hacerlo), tuvo como prueba del incumplimiento el reconocimiento expreso que hicimos de no haber dado respuesta el derecho de petición dentro de los términos de Ley, así: "Así pues, es evidente que la documentación allegada por la sociedad investigada en esta instancia, así como la recolectada a lo largo de la investigación, no logra desvirtuar el presente cargo, pues no se vislumbra que haya dado respuesta oportuna al derecho de petición presentado el 26 de octubre de 2018 por la señora XXXXXXXXXXXXXXXXX, en consecuencia, este cargo será objeto de sanción. Abonado a lo anterior, con esta afirmación "nuestra Compañía reconoce y acepta que contestó el derecho de petición con 20 días de retraso al termino estipulado en la Ley 1266 de 2008" se comprueba una vez más el incumplimiento del presente cargo".

(subrayado fuera del texto). No es claro por qué el Despacho tiene en cuenta el reconocimiento al momento de imponer la sanción, pero lo descarta como atenuante para graduar la sanción, alegando que al haber ejercido nuestro derecho de defensa estábamos contradiciendo el reconocimiento. En este punto en ningún momento existió una contradicción, lo que verdaderamente hubo fue una aclaración a la Superintendencia, quien adelantó la investigación desde el supuesto que el derecho de petición había sido contestado en junio de 2019, cuando en realidad la respuesta se había notificado en diciembre de 2018, teniendo en cuenta que los términos ya se encontraban vencidos razón por la cual hicimos el reconocimiento expreso de la falta según lo estipulado en la Ley 1266 de 2008.

En todo caso es pertinente reiterar que la demora en 5 días hábiles para dar respuesta a un derecho de petición, respecto del cual incluso la misma Ley 1266 de 2008, permite ampliar el termino en 8 días más, no es proporcional, ni razonable con una sanción por valor de VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520).

PETICIÓN Teniendo en cuenta los argumentos expuestos en este punto y en las OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION, especialmente en aquellas denominadas, "CONFISCATORIEDAD Y DESPROPORCION EN LA SANCION", solicitamos que se dé aplicación al literal F del artículo 19 de la Ley 1266 del 2008 y consecuencialmente se proceda a disminuir el valor de la sanción impuesta en contra de MARKETING PERSONAL S.A. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Por último, queremos manifestar que como fuente de información siempre hemos acatado las órdenes impartidas por la Superintendencia de Industria y Comercio, lo anterior según consta en el cumplimiento de la Resolución Numero 41980 de 2020 con radicación interna de la Superintendencia Numero XXXXXXX.

FRENTE AL PUNTO 9.1.3 Reincidencia en la comisión de la infracción, solicitamos que se tenga en cuenta todo lo antes expuesto, especialmente lo relacionado con las OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION, principalmente en lo relacionado con LA CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, LA FALTA DE COMPETENCIA, INDEBIDA NOTIFICACION, y a la aplicación del principio constitucional y general del derecho "Ne bis in idem", que implica que nadie podrá ser sancionado más de una vez por un mismo hecho, siempre que se trate del mismo sujeto y fundamento, solicitamos se revoque el aumento de la sanción de CIEN MILLONES DOSCIENTOS DIEZ MIL OCHENTA PESOS M/CTE ($100.210.080).”

CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

QUINTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el apoderado especial de la recurrente, este Despacho procede a realizar las siguientes consideraciones: Frente a los argumentos presentados por la sociedad MARKETING PERSONAL S.A, se encuentra que los mismos se concretan en los siguientes aspectos (i) causa extraña por el hecho de un tercero ii) falta de competencia iii) la supuesta confiscatoriedad y desproporción en la sanción iv) indebida notificación v) los argumentos en contra de la resolución recurrida y (vi) respecto de las pretensiones. 5.1 CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO. En primer lugar, el apoderado general de la recurrente señala que “(…)Frente a lo expuesto es importante tener en cuenta que la causa extraña como circunstancia exoneratoria ha sido definida por la Corte Suprema de Justicia en sentencia del 27 de febrero de 1998 MG.

Dr. Rafael Romero Sierra, de la siguiente manera " La intervención de este elemento extraño configura la causal de irresponsabilidad del demandado, siempre que el hecho del tercero tenga con el daño sufrido por la victima una relación exclusiva de causalidad, pues en tal supuesto la culpa del demandado es extraña al perjuicio", para el caso concreto es claro que se cumple perfectamente con dicha relación exclusiva por parte de quien presuntamente cometió una conducta delictiva contra XXXXXXXXXXXXXXX XXXXXXXXX y MARKETING PERSONAL S.A, pues si no se hubiera dado tal suplantación, nunca hubiera existido un reporte negativo en centrales de información a nombre de la señora XXXXXXXXXXXXXX y por lo tanto nunca se le hubiera dado vulneración al derecho fundamental al habeas data, el cual tiene como origen una causa delictiva mayor, que implica nada más y nada menos que una suplantación de la personalidad del titular de la información. En tenor de lo anterior, resulta inaceptable y por fuera del ámbito de la competencia del Director de Investigaciones de Protección de Datos Personales que se le exija a MARKETING PERSONAL S.A, el cumplimiento de las obligaciones establecidas en el artículo 8° de la Ley 1266 de 2008, cuando esta sociedad al también ser víctima de tal conducta delictiva por parte de un tercero nunca pudo acceder a información veraz, completa, exacta, actualizada y comprobable por parte de la señora XXXXXXXXXXXXXX Y MARKETING PERSONAL S.A. y por lo cual no le era en un principio posible ni exigible cumplir adecuadamente con tales obligaciones.” Este argumento no es del recibo por este Despacho, puesto que, la Corte Constitucional ha manifestado que según el principio de veracidad, los datos personales deben obedecer a “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos"2 A este respecto, es oportuno traer a colación la sentencia C-1011 de 2008, por medio de la cual se analizó la Constitucionalidad de la Ley 1266, así: En relación con el artículo 4 de la citada ley “La Corte considera que estos preceptos reiteran el contenido y alcance de los principios que, en términos de la jurisprudencia constitucional, definen el contenido y alcance del derecho fundamental al hábeas data.

En este sentido, se muestran en todo compatibles con la Carta Política. Además, debe resaltarse que los principios para la administración de datos personales incorporados por el legislador estatutario están construidos a partir de una fórmula amplia, en especial para el caso del principio de interpretación integral de derechos constitucionales, lo cual permite la eficacia de las distintas libertades y garantías aplicables a los procesos de recolección, tratamiento y circulación de datos personales”.

En el mismo sentido, la Alta Corporación ha señalado, en punto del deber contemplado en el numeral 1 del artículo 8 de la Ley 1266 de 2008, a cargo de las Fuentes de información que “(…) debe señalarse que los procesos de administración de datos personales están signados por un deber de objetividad. Esta condición implica que la información no debe ser presentada en forma inductiva, sesgada o sugestiva.

La jurisprudencia constitucional al respecto también ha señalado que la veracidad supone una correspondencia entre el registro efectuado y las condiciones empíricas del sujeto pasivo. Por ello, en tanto la fuerza de los presupuestos de veracidad y actualidad se refleja en esta norma, la Corte la encuentra ajustada a la Constitución”. Ha de concluirse, entonces, que el principio de veracidad impide que circule información que no corresponde con la realidad, es decir cuando la misma sea inexacta o imprecisa.

A partir de lo anterior, surge el deber de la fuente de información de rectificar la información cuando sea incorrecta o exista una evidente falta de certeza sobre las obligaciones que fundamentan los reportes e informar lo pertinente a los operadores, señalado en el numeral 1 del artículo 8 de la Ley 1266 de 2008. Una vez revisadas nuevamente las pruebas, este Despacho encuentra que efectivamente MARKETING PERSONAL S.A reportó información del titular ante los operadores, sin contar con los soportes que acreditaran la obligación, afectando gravemente el derecho fundamental de habeas data del titular.

Por tal motivo, no hay duda alguna que con las conductas de la investigada se pusieron en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008, pues tal y como se demostró en la Resolución N°10998 del 4 de marzo de 2021, la investigada vulneró el derecho fundamental de la denunciante, no solo por el hecho de no haber contestado el reclamo presentado por esta, sino también por haber efectuado desde un principio el reporte de información sin contar con los soportes que dan fe de la existencia de la obligación, ni contar con el consentimiento por parte del titular, así como no haber remitido la comunicación previa al reporte negativo.

Dicha situación resulta absolutamente inadmisible para este Despacho, ya que aún no se puede entender como los procedimientos internos implementados por la sociedad investigada sigan siendo insuficientes e inaplicables en la práctica, y siga pasando por alto este tipo de situaciones al momento de efectuar los reportes ante las centrales de riesgo, pues es evidente que cada día es más frecuente la comisión del delito de suplantación personal, y por ende las compañías deberán estar actualizando y mejorando sus sistemas de detección. Además, lo que resulta aún más grave para esta Dirección es que siga reportando información ante las centrales de información sin contar con los requisitos exigidos por la Ley estatutaria 1266 del 2008 que llevan aplicando y que han sido motivos de las sanciones impuestas por esta Superintendencia en reiteradas ocasiones.

Por otro lado, señala la Recurrente que: Corte Constitucional. Sentencia T-729 de 2002. M.P. Eduardo Montealegre Lynett. Este criterio ha sido reiterado, entre otras, en la Sentencia C1011 de 2008. M.P. Jaime Córdoba Triviño y en la Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, “En este punto se hace importante tener en cuenta que si bien la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, indica en la Resolución 10998 de 2021 que el eximente de responsabilidad por el hecho de un tercero, no está llamado a prosperar debido que el artículo 23 de la Ley 222 de 1995 ordena a los administradores obrar con la diligencia de un buen hombre de negocios, lo cual no solo les demanda actuar con profesionalismo y alto grado de diligencia, sino que les exige ser proactivos, dicha interpretación de la referida Dirección de Investigaciones, carece de total rigor jurídico teniendo en cuenta que: La Ley 222 de 1995 tiene como fin reglamentar el régimen de las sociedades y el Código de Comercio y no del régimen de protección de datos traído por la Ley 1266 de 2008. 2.

No existe ninguna norma en la Ley 1266 de 2008 ni en sus normas reglamentarias que sancione al administrador de una fuente de información por haber sido víctima de una suplantación. 4. El reporte negativo únicamente tenía el valor de $XXXXXX, pesos, con lo cual no tenía el potencial para afectar gravemente el derecho al habeas data ni acceso al crédito de la señora XXXXXXXXXXXXXXX, por tratarse de un monto ínfimo. 5.

Respecto lo anterior, frente a los numerales 1, 2 y 3 de dichos argumentos, estos no son del recibo por este Despacho, puesto que, según el artículo 22 de la Ley 222 de 19953 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1266 de 2008 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”4 (Subrayado fuera del texto original) Nótese que el artículo 245 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” Crf. Numeral 2 del artículo 23 de la ley 222 de 1995 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23.

Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”6. En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En este punto, este Despacho se sirve traer a colación los pronunciamientos de la Corte Constitucional y de la Corte Suprema de Justicia relativos a la responsabilidad del representante legal ante el régimen de culpabilidad consagrado en el régimen comercial. Sobre la responsabilidad del representante legal, la Corte Constitucional se pronunció en sentencia C 123 del 20067, cuando conceptuó que: “(…) 3.

La responsabilidad de los administradores. Constitucionalidad de la presunción de culpa establecida para los casos contemplados en el artículo 24 de la Ley 222 de 1995 Debe la Corte recordar en primer lugar, que con la expedición de la Ley 222 de 1995, se modificó el libro segundo del Código de Comercio referente a las sociedades comerciales, como también se expidió un nuevo régimen de procesos concursales, y se dictaron otras disposiciones sobre esta materia.

Al respecto de la nueva regulación de las sociedades, tuvo como fin el legislador adaptarla a las nuevas circunstancias del país, especialmente a los nuevos principios que introdujo la Constitución de 1991, que modifican el papel del Estado y el modelo económico, así como las funciones de sus distintos estamentos, lo que a su vez cambia la orientación en cuanto a su función e intervención en la órbita de los particulares, a fin de que éstos puedan participar de manera ágil en las distintas fases de la actividad económica; y, para que la empresa, como base del desarrollo, pueda cumplir adecuadamente la función social que se le encomendó8.

Y, en relación con los administradores, dada la importante labor que desempeñan, por los inmensos poderes que hoy en día detentan, consideró necesario el legislador someterlos a un estricto código de conducta, para lo cual se precisó el marco general de sus actividades, sus funciones y responsabilidad, estableciendo, además, normas que agilizaran y facilitaran las consecuentes acciones para el establecimiento de dicha responsabilidad.

Así lo recordó el legislador durante el trámite legislativo de la Ley 222 de 1995, cuando señaló en la ponencia para segundo debate en la Cámara de Representantes que: “La necesidad de abandonar los modelos tradicionales de responsabilidad referidos al buen padre de familia, que hoy resultan disueltos, para acoger como nuevo patrón el del correcto y leal empresario, ha llevado a proponer un acápite sobre administradores.

Una mejor protección del crédito, del público, de los trabajadores y de los mismos socios hace indispensable detallar y precisar las funciones y responsabilidades de los administradores así como las consecuentes acciones de responsabilidad, puesto que es claro que tales funcionarios detentan hoy inmensos poderes y adoptan decisiones de profundas implicaciones sociales, que como es de esperar deben ceñirse a un estricto código de conducta, que resulta concordante con las normas de rendición de cuentas previstas en el capítulo de estados financieros.

(…) Confiamos que con estas nuevas disposiciones no sea difícil, como hasta ahora, establecer las responsabilidades de los administradores y lograr el reconocimiento de las respectivas Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.

Crf. Parte inicial del artículo 24 de la ley 222 de 1995 Cfr. Corte Constitucional, sentencia C 123 del 2006, M.P.: Clara Inés Vargas Hernández Gaceta del Congreso No. 381 de 4 de noviembre de 1993, exposición de motivos al proyecto de ley que culminó con la expedición de la Ley 222 de 1995. HOJA N 12, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” indemnizaciones, con la seguridad que a los buenos administradores el régimen no les impone obligaciones distintas de las que ya tienen.” (Subrayas fuera del texto)9.

En efecto, en el Libro I de la Ley 222 de 1995, se estableció el Régimen de Sociedades, y en el Capítulo IV, de los Órganos Sociales, se consagra en la Sección II lo referente a los administradores (artículos 22 al 25), señalando quienes tienen esta calidad, sus deberes y responsabilidades, y lo relacionado con la acción social de responsabilidad contra éstos.

En efecto, el art. 22 de la citada ley, indica que son administradores el representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes conforme a los estatutos ejerzan o detenten dichas funciones. Así mismo, respecto de la conducta de los administradores, el art. 23 de la ley, señala que deben obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios, así como que sus actuaciones se cumplirán en interés de la sociedad y observando los intereses de sus asociados.

Además, de manera específica se establecen, los deberes de los administradores en el cumplimiento de su función así: “En el cumplimiento de su función los administradores deberán: 1. Realizar los esfuerzos conducentes al adecuado desarrollo del objeto social. 2. Velar por el estricto cumplimiento de las disposiciones legales o estatutarias. 3.

Velar porque se permita la adecuada realización de las funciones encomendadas a la Revisoría Fiscal. 4. Guardar y proteger la reserva comercial e industrial de la sociedad. 5. Abstenerse de utilizar indebidamente información privilegiada. 6. Dar un trato equitativo a todos los socios y respetar el ejercicio del derecho de inspección de todos ellos. 7.

Abstenerse de participar por sí o por interpuesta persona en interés personal o de terceros, en actividades que impliquen competencia con la sociedad o en actos respecto de los cuales exista conflicto de intereses, salvo autorización expresa de la junta de socios o asamblea general de accionistas. En estos casos, el administrador suministrará al órgano social correspondiente toda la información que sea relevante para la toma de la decisión. De la respectiva determinación deberá excluirse el voto del administrador, si fuera socio.

En todo caso, la autorización de la junta de socios o asamblea general de accionistas sólo podrá otorgarse cuando el acto no perjudique los intereses de la sociedad.” Por su parte, el artículo 24 de la mencionada ley, consagra la responsabilidad solidaria e ilimitada de los administradores por los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros, a la que no estarán sujetos los que no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

Además, se establece la presunción de culpabilidad para ciertos casos expresamente mencionados, de los cuales se ocupará esta providencia más adelante. Finalmente, el artículo 25 de la citada ley, consagra la acción social de responsabilidad contra los administradores, señalando expresamente que: “ACCION SOCIAL DE RESPONSABILIDAD. La acción social de responsabilidad contra los administradores corresponde a la compañía, previa decisión de la asamblea general o de la junta de socios, que podrá ser adoptada aunque no conste en el orden del día. En este caso, la convocatoria podrá realizarse por un número de socios que represente por lo menos el veinte por ciento de las acciones, cuotas o partes de interés en que se halle dividido el capital social.

Ver Gaceta del Congreso No. 61 del 25 de abril de 1995. Pag. 4 HOJA N 13, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La decisión se tomará por la mitad más una de las acciones, cuotas o partes de interés representadas en la reunión e implicará la remoción del administrador. Sin embargo, cuando adoptada la decisión por la asamblea o junta de socios, no se inicie la acción social de responsabilidad dentro de los tres meses siguientes, ésta podrá ser ejercida por cualquier administrador, el revisor fiscal o por cualquiera de los socios en interés de la sociedad.

En este caso los acreedores que representen por lo menos el cincuenta por ciento del pasivo externo de la sociedad, podrán ejercer la acción social siempre y cuando el patrimonio de la sociedad no sea suficiente para satisfacer sus créditos. Lo dispuesto en este artículo se entenderá sin perjuicio de los derechos individuales que correspondan a los socios y a terceros.” Puede concluir la Corte, que en materia de sociedades, dada la importante labor que desempeñan sus administradores, en razón a la gran responsabilidad que asumen y la repercusión que sus actuaciones pueden tener en el desarrollo social, ha sido la ley la que les ha impuesto de manera general a éstos, ejercer sus funciones con sujeción a los principios de lealtad y buena fe, así como actuar con la diligencia de un buen hombre de negocios, en interés de la sociedad y teniendo en cuenta los intereses de sus asociados.

En tal medida, la actuación de los administradores debe ir más allá de la diligencia común y corriente, pues su gestión profesional de carácter comercial debe orientarse al cumplimiento de las metas propuestas por la sociedad. Cabe recordar, que la Ley 222 de 1995, impuso a los administradores un grado de diligencia y prudencia superiores a la mediana que hasta entonces tenían10, la de un buen padre de familia, pues ahora deberán actuar con la diligencia propia de un buen hombre de negocios, es decir, con la que pondría un comerciante normal en sus propios asuntos, lo que supone una mayor exigencia en la administración de los asuntos propios de la sociedad.

Dicho marco general anotado, así como las reglas específicas que imponen deberes a los administradores, se complementan en la citada Ley 222, con las normas relativas a la responsabilidad solidaria e ilimitada en que éstos pueden incurrir por los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. Responsabilidad en la que se presumirá la culpa del administrador en los casos de incumplimiento o extralimitación de funciones, violación de la ley o de los estatutos, o cuando hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

(…) En relación con las presunciones, ha considerado esta Corporación11 con fundamento en lo previsto en el artículo 66 del Código Civil12, que éstas pueden ser de derecho o juris et de jure y simplemente legales o juris tantum. Además, que es un asunto que toca de lleno con el aspecto probatorio de determinado supuesto de hecho. En efecto, en el caso de las presunciones simplemente legales y de derecho, al probarse los antecedentes o circunstancias conocidos, resulta probado el hecho al cual se refiere la presunción. Así pues, a quien favorece una presunción solo corresponde demostrar estos antecedentes o circunstancias y la ley infiere de ellos la existencia del hecho presumido y del derecho subsiguiente, correspondiéndole a la parte que se opone demostrar la inexistencia del hecho que se presume o de los antecedentes o circunstancias de donde se infirió, si la presunción es simplemente legal, o solamente la inexistencia de éstos últimos, si la presunción es de derecho.

(…) En el caso que nos ocupa, cabe recordar que el legislador consagró la presunción de culpa del administrador solamente para cuando ésta se origine por incumplimiento o extralimitación de funciones, violación de la ley o de los estatutos, y para cuando hayan El artículo 200 del Código de Comercio, sin las modificaciones introducidas por la Ley 222 de 1995 consagraba: Los administradores responderán de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros.

Al respecto de la modificación a éste artículo ver comentario, OSPINA FERNÁNDEZ Guillermo. Teoría general de los actos o negocios jurídicos, vol. 2. Editorial Temis, Bogotá, 1983, pág. 332 Sentencia C-238 de 1997 M.P. Vladimiro Naranjo Mesa Código Civil, art. 66: “Se dice presumirse el hecho que se deduce de ciertos antecedentes o circunstancias conocidas.

Si estos antecedentes o circunstancias que dan motivo a la presunción son determinados por la ley, la presunción se llama legal. Se permitirá probar la no existencia del hecho que legalmente se presume, aunque sean ciertos los antecedentes o circunstancias de que lo infiere la ley, a menos que la misma ley rechace expresamente esta prueba, supuestos los antecedentes o circunstancias.

Si una cosa, según la expresión de la ley, se presume de derecho, se entiende que es inadmisible la prueba contraria, supuestos los antecedentes o circunstancias”. HOJA N 14, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas correspondientes.

Al respecto de la presunción de culpa consagrada para los casos citados, coincide la Corte con la Vista Fiscal en cuanto a que se trata de presunciones simplemente legales, conclusión a la que se llega analizando el contenido mismo del artículo que las contiene, en el que no se hizo la consagración expresa de tratarse de aquellas de derecho; por el contrario, después de sentarse la regla general de que los administradores responderán solidaria e ilimitadamente de los perjuicios que por el dolo o culpa ocasionen a la sociedad a los socios o a terceros, se dispuso la posibilidad expresa de prueba en contrario al consagrarse, que no estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

(…) En el caso concreto, en el que se presume la culpa de los administradores por incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, y cuando hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia, éstos tiene la posibilidad de desvirtuar la presunción probando que cumplieron con sus funciones o no se extralimitaron en ellas, que no violaron la ley o los estatutos, o que no tuvieron conocimiento de la acción o la omisión, o votaron en contra de la decisión o no la ejecutaron.

(…)” De esta manera, este Despacho no puede aceptar las afirmaciones del apoderado por cuanto, la sociedad MARKETING PERSONAL S.A, debe establecer medidas legítimas, útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrá que evidenciar y demostrar el correcto cumplimiento de sus deberes. Ahora bien, frente al numeral 4 en el cual manifiestan lo siguiente: (…)” 4.

No existe ninguna norma en la Ley 1266 de 2008 ni en sus normas reglamentarias que sancione al administrador de una fuente de información por haber sido víctima de una suplantación.” Este argumento no es del recibo por este Despacho, en tanto se trata de una violación de la Ley 1266 del 2008, ya que se infringe el principio de veracidad de la información porque esta fue tratada, difundida o reportada sobre una deuda adquirida por un suplantador, no por la persona suplantada ya que ella no fue quien adquirió dicha obligación. Así las cosas, la sociedad debe contar con los documentos para demostrar la existencia de la obligación referida de aquella persona con quien en su momento entabló la relación contractual.

Así las cosas, utilizar datos que no corresponden a los de la Titular que adquirió la obligación inducen a error porque faltan a la realidad y presentan como obligada o morosa a una persona respecto de una deuda que no adquirió. Recuérdese que el tratamiento de este tipo de datos está proscrito por la ley 1266 de 2008 cuando expresamente prohíbe "el registro y divulgación de datos ( ) que induzcan a error"13.

En línea con lo anterior, es claro que proteger la información es una condición crucial del tratamiento de datos personales, no obstante, en la resolución recurrida se demostró que MARKETING PERSONAL S.A no utilizó medidas necesarias para evitar situaciones indeseadas que afectaron los derechos de la titular. Frente al numeral 5 en el cual señalan: (…)” 5.

El reporte negativo únicamente tenía el valor de $XXXXX, pesos, con lo cual no tenía el potencial para afectar gravemente el derecho al habeas data ni acceso al crédito de la señora XXXXXXXXXXXXXXXXX, por tratarse de un monto ínfimo. Cfr. Parte final del literal a) del artículo 4 (Principio de veracidad o calidad de los registros o datos) de la ley 1266 de 2008.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, El anterior argumento es inadmisible por este Despacho, pues en la presente investigación hubo una afectación efectiva al Derecho de habeas data de la Titular, la cual no puede considerarse irrelevante teniendo en cuenta que, aunque se trate de un monto ínfimo por el valor de $XXXXXX, como lo manifiesta la recurrente, se está ante la vulneración de: (i) un derecho fundamental autónomo.

Además, considerando que este derecho fundamental puede ser afectado por el creciente poder informático que ha sido reconocido por la jurisprudencia de la Corte Constitucional, es claro que la recurrente debe implementar todos los mecanismos útiles, pertinentes, demostrables y efectivos para salvaguardar este derecho fundamental. Aunado a lo anterior, la sentencia C-748 de 2011 especificó lo siguiente frente a este derecho fundamental y la influencia del poder informático sobre este: “En resumen, como lo muestra el anterior recuento, el reconocimiento del derecho al habeas data –identificado como un derecho fundamental autónomo tanto en el plano nacional como internacional- persigue la protección de los datos personales en un mundo globalizado en el que el poder informático es creciente.

Esta protección responde a la importancia que tales datos revisten para la garantía de otros derechos como la intimidad, el buen nombre y el libre desarrollo de la personalidad. (…)”14. Finalmente, frente al numeral 6 en el cual afirman: (…)” 6. La Causa extraña por el hecho de un tercero al asimilarse según la Jurisprudencia de la Corte Suprema de Justicia con la fuerza mayor o caso fortuito, eximiría de responsabilidad a MARKETING PERSONAL S.A, aun cuando no hubiere demostrado diligencia y cuidado, circunstancia que en todo caso no se presentó ya que como se verá más adelante MARKETING PERSONAL S.A, conserva la autorización previa y expresa del titular y los documentos soportes de la obligación que permiten determinar que la obligación es comprobable, frente a quien se hizo pasar por XXXXXXXXXXXXXXXXXXXXXXXX.” Dicho argumento no es compartido por esta Dirección, debido a que, la sociedad MARKETING PERSONAL S.A, allegó el mismo formato de autorización al presente recurso, el cual ya había sido valorado para tomar la decisión mediante Resolución 10998 del 4 de marzo de 2021, en la cual quedó demostrado que, la imagen aportada como la autorización se trataba de un fragmento del contrato de suministro, el cual no cuenta con algún consecutivo o fecha donde se pueda colegir que corresponde a la obligación No. XXXXXX.

Además de lo anterior, es importante poner de presente que este Despacho encuentra que la exposición del apoderado especial de la recurrente no es admisible, puesto que, la ausencia de autorización previa y expresa otorgada por el titular de la información, implica que los datos asociados al reclamante no pueden ser reportados ante un operador de información, por ser la autorización el núcleo esencial del derecho fundamental de habeas data, pues a través de ella el titular del derecho manifiesta su voluntad frente al tercero para el manejo de su información, de ello se desprende la obligación para las fuentes de contar con la misma, y que la información que reportan del comportamiento comercial del titular sea veraz, actualizada y comprobable.

Al respecto, la Corte Constitucional en sentencia C-1011 de 2008, por medio de la cual adelantó el estudio de exequibilidad de la ley 1266 de 2008, señaló lo siguiente: “El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en banco de datos y en archivos de entidades públicas y privadas.

La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los derechos fundamentales, no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que (e)n la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución (…).

De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al registrarse Corte Constitucional, Sala Plena. C-748 de 2011. MP Jorge Ignacio Chaljub.

Considerado 2.1.1.1.8. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley. La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales (…)”.

(Subrayado fuera del texto original) Así las cosas, dicho argumento no es del recibo por esta Dirección en el sentido de lo que fue acreditado y de que no se aportaron nuevas pruebas, con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad MARKETING PERSONAL S.A contaba con la autorización otorgada por el Titular de la información, en estricto cumplimiento de la Ley 1266 de 2008. 5.2 Respecto de la supuesta falta de competencia. En este aparte del recurso, la Recurrente sostiene que “(…) Teniendo en cuenta lo anterior es claro que frente estos casos de suplantación, la ente de vigilancia y control es decir la Superintendencia, se debe pronunciar, respecto si la obligación frente a la cual el titular de información alega suplantación de identidad, es en realidad fruto de tal conducta u obedece a una obligación cierta y real, sin embargo tal Resolución 76434, ni la Ley 1266 de 2008, le brindan competencia a la Superintendencia de Industria y Comercio para sancionar a una sociedad, en este caso MARKETING PERSONAL S.A, por el hecho de haber recibido información fruto de una suplantación, lo anteriormente analizado tiene plena coherencia si se tiene en cuenta que el artículo 18 de la Ley 1266 de 2008 indica que la Superintendencia podrá imponer multas por la violación de la Ley y las normas que la reglamenten, sin embargo en ningún aparte de la Ley 1266 de 2008 ni en sus normas reglamentarias se reglamenta, legisla o impone a las fuentes de información obligaciones relacionadas con la suplantación del titular de información por parte de un tercero; lo cual bajo una interpretación finalista, es coherente normativamente que frente a la suplantación, la única norma que regula tal situación es la referida en el numeral 1.3.5 de la Resolución 76434, la cual reiteramos únicamente le da competencia y facultades a dicho ente de control para pronunciarse frente a la suplantación mas no para sancionar a la fuente que también ha sido vulnerada.” Es imperioso resaltar que, el mismo no es del recibo de esta Dirección, ya que el artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1815. Esta potestad sancionatoria, que es manifestación del poder punitivo del Estado, derivado de los artículos 216, 417 y 618 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 19.

Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). HOJA N 17, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”20 (negrita añadida) En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. De manera inicial, este Despacho se sirve recordarle a la recurrente que en los procesos administrativos sancionatorios se está ante una investigación amparada en la facultad sancionatoria del Estado21, consagrada en el artículo 209 de la Constitución Política de 1991, en el cual busca garantizar el orden público, más específicamente, garantizar el adecuado cumplimiento del Derecho de habeas data dispuesto en la Ley 1266 de 2008.

La facultad sancionatoria de vigilancia y control que ejerce esta entidad fue explicada por la Corte Constitucional en sentencia C 703 del 201022, en la cual determinó que: “(…) En cuanto hace a la administración, la filiación de su potestad sancionadora se suele situar en la función de policía que pretende asegurar el orden público y en el poder de policía que, con la finalidad de garantizar el orden público, permite regular el ejercicio de las libertades individuales e imponer sanciones orientadas al cumplimiento de las medidas de policía1.

En cualquier caso, el fundamento de la potestad sancionadora de la administración actualmente se encuentra en una pluralidad de disposiciones constitucionales que van desde el señalamiento de los fines del Estado, contemplados en el artículo 2º, hasta el establecimiento, en el artículo 209, de los principios que guían la función administrativa y, señaladamente, el de eficacia, pasando por el artículo 29 superior que, al estatuir la aplicación del debido proceso “a toda clase de actuaciones judiciales y administrativas”, reconoce, de modo implícito, que la administración está facultada para imponer sanciones.

(…)” La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1823. Esta potestad sancionatoria, que es manifestación del poder punitivo del Estado, derivado de los artículos 224, 425 y 626 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 27.

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Artículo 209. La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones.

Las autoridades administrativas deben coordinar sus actuaciones para el adecuado cumplimiento de los fines del Estado. La administración pública, en todos sus órdenes, tendrá un control interno que se ejercerá en los términos que señale la ley. Cfr. Sentencia C 703 del 2010, M.P.: Gabriel Eduardo Mendoza Martelo Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 18, La imposición de sanciones por violación de la Ley 1266 del 2008, tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991.

Frente a los argumentos de la recurrente sobre la carga probatoria, este Despacho se sirve hacer claridad sobre la actuación de la recurrente como Fuente de la Información: La Ley Estatutaria 1266 de 2008 regula el denominado Hábeas Data Financiero, el cual, en los términos de la Corte Constitucional, es “el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información públicas o privadas que tienen como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero de su titular Igualmente, importante resulta relevante mencionar que el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad.

Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental al habeas data, toda Fuente de Información de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Así las cosas, la Ley 1266 de 2008 y sus decretos reglamentarios están dispuestos para proteger el derecho fundamental de habeas data con el que cuenta todo Titular y garantizar que las Fuentes de Información cumplan a cabalidad los deberes que recaen sobre ellos sin tener que recurrir a razonamientos complejos, ya que debería ser de fácil entendimiento que los deberes de ley son de obligatoria observancia para garantizar la protección de este derecho fundamental.

En esta medida, este Despacho se sirve recordarle a la recurrente que existen varios tipos normativos en el ordenamiento jurídico colombiano, las cuales se clasifican en: (i) las normas de orden público; (ii) las normas imperativas, (iii) las normas prohibitivas y (iv) las normas facultativas. En línea con esta clasificación, la jurisprudencia y la doctrina han definido estas normas, así: (i) Para la Corte Suprema de Justicia, amparada en la doctrina, ha definido las normas de orden público así “las leyes imperativas en el derecho privado, las cuales no pueden ser desconocidas o derogadas por convenciones entre particulares (…) Estas leyes imperativas o de orden público tienen validez permanente y se oponen a las meramente supletivas o interpretativas de la voluntad de las partes que sólo rigen a falta de estipulaciones de los contratantes que modifican sus previsiones1”;

(ii) Por su parte, para la Corte Constitucional las normas imperativas son aquellas que se imponen sin posibilidad de pacto o decisión en contra pues sus efectos deben producirse con independencia del querer de las personas; (iii) Por otro lado, la Sala de Consulta y Servicio Civil del Consejo de Estado 28 reitero y compilo reiterada jurisprudencia constitucional, contencioso-administrativa y de la Corte Suprema de Justicia en relación con los mandatos legales de contenido prohibitivo, así: “No está de más recordar que las prohibiciones, en tanto limitan la libertad y los derechos de las personas, son de origen constitucional y legal; la tipificación de sus causas, vigencia, naturaleza y efectos es rígida y taxativa; y su aplicación es restrictiva, de manera que excluye la analogía legis o iuris y la interpretación extensiva.

Las Consejo de Estado, sentencia 11001-03-06-000-2013-00407-00 Consejero de Ponente: ÁLVARO NAMÉN VARGAS “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 19, normas legales de contenido prohibitivo hacen parte de un conjunto de disposiciones que integran un régimen jurídico imperativo y de orden público, razón por la cual no son disponibles ni pueden ser derogadas, modificadas, ampliadas o adicionadas por acuerdo o convenio o acto unilateral.

La jurisprudencia de la Corte Constitucional y del Consejo de Estado, coinciden en que las normas que establecen prohibiciones deben estar de manera explícita en la Constitución o en la ley y no podrán ser excesivas ni desproporcionadas. No pueden interpretarse extensivamente sino siempre en forma restrictiva o estricta; es decir, en la aplicación de las normas prohibitivas, el intérprete solamente habrá de tener en cuenta lo que en ellas expresamente se menciona y, por tanto, no le es permitido ampliar el natural y obvio alcance de los supuestos que contemplan, pues como entrañan una limitación -así fuere justificada- a la libertad de actuar o capacidad de obrar, sobrepasar sus precisos términos comporta el desconocimiento de la voluntad del legislador.

Así, en esta materia cobra importancia la regla de hermenéutica consagrada en el artículo 31 del Código Civil, según la cual, “[l]o favorable u odioso de una disposición no se tomará en cuenta para ampliar o restringir su interpretación. La extensión que deba darse a toda ley se determinará por su genuino sentido, y según las reglas de interpretación…” (“favorabilia sunt amplianda, odiosa sunt restringenda”); y de ahí la proscripción de las interpretaciones extensivas de las normas prohibitivas, tal y como lo precisó la Corte Suprema de Justicia, al señalar que “[e]n la interpretación de las leyes prohibitivas no deben buscarse analogías o razones para hacerlas extensivas a casos no comprendidos claramente en la prohibición. En consecuencia, la interpretación y aplicación restrictiva es una regla que rige tratándose de normas prohibitivas, dado que consagran limitaciones al ejercicio de un derecho o de competencias señaladas en la ley, criterio hermenéutico que responde al principio de taxatividad, de acuerdo con el cual solo operan las prohibiciones que en forma precisa establece el legislador.”” (iv) Finalmente, las normas de carácter facultativo han sido definidas por la jurisprudencia constitucional como aquellas que se aplican al caso concreto, cuando no existe o se evidencia “falta de legislación positiva”29; es decir, cuando no hay legislación directa aplicable al caso, se usan las normas de carácter supletivo por medio de la analogía para dar solución especifica al caso.

De tal claridad es lo anterior que a los actores a los que concierne la ley objeto de estudio se les exige el cumplimiento de unos deberes o reglas especiales de acuerdo con sus calidades; deberes que, por ser de obligatorio cumplimiento, no son facultades que puedan dejar de cumplirse, precisamente por tratarse de un derecho fundamental.

Así las cosas, al no ser la Ley 1266 de 2008 una de carácter facultativo, la Fuente no puede dejar de cumplir con los deberes a los que se encuentra obligada por la decisión de la misma entidad de obligarse a tal cumplimiento cuando esta decidió ser Fuente del Tratamiento. Por estas razones, y teniendo en cuenta el principio de legalidad30 establecido en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA, se le recuerda a la recurrente que esta Dirección observó con debida diligencia el cumplimiento de los deberes establecidos en la Ley 1266 de 2008 para aplicar la sanción. Por eso, las actuaciones y decisiones proferidas se rigen siempre por dicho principio y por la veracidad en sus actuaciones aunado a que en las resoluciones expedidas siempre se tienen en cuenta los descargos, pruebas y alegatos de la investigada.

La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991.

Corte Constitucional Sentencia No. C-224/94, M.P JORGE ARANGO MEJIA Cfr. Sentencia C 412 del 2015. M.P.: Alberto Rojas Ríos. Considerando 4 y 5 HOJA N 20, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Por lo tanto, esta Dirección cuenta con total competencia respecto de los temas de protección de datos, especialmente en cuanto a la veracidad de la información, la cual no solo debe ser veraz sino comprobable, de acuerdo con lo establecido en los artículos anteriormente citados. 5.3 Respecto de la supuesta confiscatoriedad y desproporción en la sanción En el escrito de recurso, la recurrente solicita sea aplicado el principio de proporcionalidad de la sanción manifestando que "(…)La prohibición de las sanciones confiscatorias tiene entre otros fundamentos constitucionales, la protección de la propiedad, iniciativa privada y el de justicia, para el caso concreto al analizar los montos de la sanción establecidas por la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, es claro que esta reúne los requisitos de confiscatoria y desproporcionada, teniendo en cuenta que: Para la fecha de la imposición de la sanción ya no existía vulneración alguna al derecho fundamental al habeas data de la señora XXXXXXXXXXXXXXXXXXXXXXXX, pues su obligación ya había sido eliminada.

En todo caso debe tenerse en cuenta que el hecho de haberse demorado 5 días hábiles más en dar respuesta a la petición de la titular de información, es decir haber incumplido un deber meramente formal, el cual la misma Ley 1266 de 2018, en su artículo 16 permite ampliar de los 15 días hábiles a 8 días adicionales, no representa una gravedad tal en el actuar de MARKETING PERSONAL S.A, que implique la imposición de una sanción por VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520), lo cual conlleva a la confiscatoriedad de la sanción. MARKETING PERSONAL S.A, no solamente sufrió una confiscatoria sanción monetaria, sino que sufrió graves perjuicios en su imagen corporativa, al ser expuesta por la Superintendencia de Industria y Comercio en más de 14 medios de carácter nacional, por una sanción que aún no había sido debidamente notificada, tal como se demostrara más adelante y que tampoco se encontraba en firme pues se encontraban pendientes los recursos de reposición y apelación que se solicitan por medio de la presente comunicación. 10 Al tratarse de un caso de suplantación donde la sociedad MARKETING PERSONAL S.A, también había sido víctima, a causa de un hecho exclusivo de un tercero, no era viable por parte de la Dirección de Investigaciones de Protección de Datos Personales de la Ley 1266 de 2018." Dicho argumento se enmarca en la proporcionalidad de la sanción impuesta, por lo que esta Dirección le aclara a la investigada que al momento de proferir la Resolución N°10998 del 4 de marzo de 2021 tomó en cuenta los criterios dispuestos en el artículo 19 de la Ley 1266 de 2008, los cuales son: 'ARTÍCULO

19. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. El beneficio económico que se hubiere obtenido por el infractor o para terceros. por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. 3.

La reincidencia en la comisión de la infracción. 4. La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la 1. 2. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 21, La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. 6.

El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar." 5. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-015 del 18 de agosto de 2005: "( ) la proporcionalidad no esté determinada porta argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos".

Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008, como sucedió en este caso si se envió una comunicación al titular, pero esa comunicación no atendió los requisitos previstos en la Ley 1266 de 2008.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la entidad investigada vulneró la regla contenida en el artículo 12 de la ley 1266 de 2008, violentando con ello el derecho fundamental de habeas data del titular.

Dicha vulneración se concretó al no realizar la notificación previa al Titular de manera previa reporte ante los Operadores de Información dentro de los términos de ley, ya que aun cuando la denunciante sí pudo tener conocimiento previo de las consecuencias que traería el no pago de su obligación, ello no exime a la recurrente del cumplimiento de su deber legal.

Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1266 de 2008 y que exige de las fuentes de información la mayor diligencia en su actuar.

Se analizó la dimensión del daño o peligro a los intereses jurídicos tutelados, teniendo en cuenta el tamaño de la empresa, sus ingresos patrimonio y en general su información financiera, determinando que para las vulneraciones especificas corresponde la suma de cuatro mil ciento cuarenta (4.140) UVT. Por ende, es claro que al momento de impartir la sanción se analizaron los criterios de graduación establecidos en el artículo 19 de la Ley 1266 de 2008, y para el caso en específico se encontró que. de los criterios agravantes de la sanción, el literal a) era aplicable al caso y que, en la medida en que no hubo reconocimiento de la infracción previa a la imposición de la sanción, el literal f) no fue tenido en cuenta.

Finalmente, cabe recordarle a la recurrente que la Ley 1266 de 2008 no estableció en el artículo 19 ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer por violaciones al Régimen de Habeas Data. Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 1500 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda. 5.4 Sobre la supuesta indebida notificación. Señala la Recurrente que “(…) Es pertinente aclarar que el contacto y dirección de correo electrónico de MARKETING PERSONAL S.A, a la cual fue notificada la Resolución Número 10998 del 2021, fue al señor XXXXXXXXXXXXXXXXXXXXXXXXXXX y al correo electrónico zolanlli.giraldol@marketingpersonal.com a pesar de que por medio de comunicación del viernes 27 de 11 de noviembre de 2020, Radicado 20-453278 enviada al correo “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 22, contactenos@sic.gov.co y habeasdata@sic.gov.co, se le informo a la Superintendencia de Industria y Comercio que el certificado de existencia y representación legal de la compañía había sido actualizado, en el sentido que el correo electrónico zolanlli.giraldol@marketingpersonal.com ya no constaba como correo para recibir notificaciones y que igualmente el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX había sido removido como apoderado general de la Sociedad, para tal efecto se adjuntó revocatoria del poder general, nuevo poder general concedido al suscrito y el certificado de existencia y representación legal actualizado, donde consta que el correo electrónico para recibir notificaciones es juridico@marketingpersonal.com.

Así las cosas, es clara que la notificación realizada por la Superintendencia de Industria y Comercio es nula y por lo tanto afecta totalmente la validez del acto administrativo. La indebida notificación implico que MARKETING PERSONAL S.A, conociera de la sanción por medio de la estrategia mediática de la Superintendencia de Industria y Comercio, donde se expuso a nuestra Compañía en más de 14 medios nacionales, sin garantizar el derecho a la contradicción y la defensa, lo cual reiteramos implica la nulidad e invalidez del acto administrativo.” Este argumento no es del recibo por este Despacho, puesto que, mediante escrito de descargos31 se adjuntó certificado de existencia y representación legal del 2 de julio de 2020 de la sociedad MARKETING PERSONAL S.A el cual indicó que el correo de notificación judicial es zolanlli.giraldo@marketingpersonal.com, y el apoderado es XXXXXXXXXXXXXXXXXXXXXXXX, como se evidencia a continuación: Así las cosas, contrario a lo afirmado por MARKETING PERSONAL S.A. la Resolución N°10998 del 4 de marzo de 2021, fue debidamente notificada mediante aviso N°3767 el día 26 de marzo de 202132, por cuanto, esta Superintendencia actuó de conformidad con en el artículo 68 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual establece que: “Si no hay otro medio más eficaz de informar al interesado, se le enviará una citación a la dirección, al número de fax o al correo electrónico que figuren en el expediente o puedan obtenerse del registro mercantil, para que comparezca a la diligencia de notificación personal.

El envío de la citación se hará dentro de los cinco (5) días siguientes a la expedición del acto, y de dicha diligencia se dejará constancia en el expediente. Cuando se desconozca la información sobre el destinatario señalada en el inciso anterior, la citación se publicará en la página electrónica o en un lugar de acceso al público de la respectiva entidad por el término de cinco (5) días.” De acuerdo con lo anterior esta Dirección realizó la notificación en debida forma, con base en la información obrante en el expediente.

Ahora bien, respecto del argumento de MARKETING PERSONAL S.A., mediante los cuales solicita la declaratoria de nulidad de la Resolución N°10998 del 4 de marzo de 2021 es importante resaltar que en vía administrativa la falta de notificación o la notificación irregular de los actos administrativos, no es causal de nulidad, toda vez que la misma constituye un requisito de eficacia más no de validez del acto administrativo.

Escrito de descargos radicado bajo N° 20-135209-10 Certificación de notificación por aviso radicado bajo N° 20-135209- -26 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 23, Este tema la sección cuarta del Consejo de Estado manifestó que: "( ) si un acto nace válido, no pierde validez porque se haya cumplido con la obligación de notificarlo legalmente o se haya prescindido de dicha diligencia pues el control de legalidad se efectúa para el momento de su nacimiento, de modo que las circunstancias posteriores no afectan su situación inicial ( )"33.

Adicionalmente, el medio de control propuesto, sólo procede ante la Jurisdicción de lo Contencioso Administrativo34, cuando esté en firme el acto administrativo de conformidad con el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo –Ley 1437 de 2011-. Ahora bien, el mencionado cuerpo normativo, está compuesto por dos partes y establece el ámbito de aplicación del mencionado código en el artículo 2, en el cual se establece: “Artículo 2o.

Ámbito de aplicación. Las normas de esta Parte Primera del Código se aplican a todos los organismos y entidades que conforman las ramas del poder público en sus distintos órdenes, sectores y niveles, a los órganos autónomos e independientes del Estado y a los particulares, cuando cumplan funciones administrativas. A todos ellos se les dará el nombre de autoridades (…)” La parte segunda del código en mención, que comprende del artículo 103 en adelante y trata de la organización de la jurisdicción de lo contencioso administrativo y de sus funciones jurisdiccional y consultiva.

Así las cosas, las actuaciones administrativas que en ejercicio de sus funciones de inspección y vigilancia adelanta esta Superintendencia de Industria y Comercio, con miras a determinar la ocurrencia de posibles infracciones por violación al régimen de protección de datos personales y/o el posible desacato a instrucciones impartidas por esta entidad, atendiendo a los mismos fines señalados, corresponden y se rigen por la parte primera parte del ordenamiento mencionado, según los establece su artículo segundo. De igual manera, se precisa que en la primera parte del Código de Procedimiento Administrativo y de lo Contencioso Administrativo no se contempla la competencia de las autoridades administrativas para declarar la nulidad de los actos administrativos.

En cuanto al procedimiento administrativo sancionatorio de que trata el artículo 47 del reseñado Código, no sobra recordar que en tanto mediante providencia judicial no se declare lo contrario, la actuación adelantada y los actos administrativos proferidos se encuentran revestidos de presunción de legalidad. Establecido lo anterior, es claro para este Despacho que las consideraciones de la sociedad MARKETING PERSONAL S.A, no prosperan pues está debidamente probado que el trámite de notificación se realizó en concordancia con lo establecido por la Ley, garantizando siempre el derecho al debido proceso de la sociedad recurrente.

De igual modo, la Dirección de protección de datos personales, no accede a la solicitud de nulidad propuesta por la sociedad recurrente. 5.5.OBJECIONES ESPECIFICAS FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCIÓN 5.5.1 FRENTE A LAS PRETENSIONES FRENTE AL PUNTO 8.2.2 “Del deber de remitir una comunicación previa al reporte negativo ante los Operadores de Información”.

Señala la Recurrente que: “(…)Teniendo en cuenta los argumentos expuestos en las objeciones generales que dan lugar a la sanción, en especial los relacionados con la CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, considerando que la sociedad MARKETING PERSONAL S.A, también fue víctima de un delito por parte de un tercero, hecho que finalmente es la causa raíz que dio lugar a la vulneración del derecho al habeas data de la señora XXXXXXXXXXXXXXXX, pues sin este hecho, la titular nunca hubiera sido reportada en centrales de riesgo, y que no es posible la aplicación de la Ley 222 de 1995 al régimen de protección de datos personales de la Ley 1266 de 2008 y la FALTA DE COMPETENCIA por parte de la Superintendencia de Industria y Comercio para imponer sanciones por el hecho que una fuente de información haya sido Consejo de Estado.

Sala de lo Contencioso Administrativo. Sección Cuarta M.P. Ligia López Díaz. Sentencia del 29 de Septiembre de 2003.

ARTÍCULO 104. DE LA JURISDICCIÓN DE LO CONTENCIOSO ADMINISTRATIVO. La Jurisdicción de lo Contencioso Administrativo está instituida para conocer, además de lo dispuesto en la Constitución Política y en leyes especiales, de las controversias y litigios originados en actos, contratos, hechos, omisiones y operaciones, sujetos al derecho administrativo, en los que estén involucradas las entidades públicas, o los particulares cuando ejerzan función administrativa.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 24, víctima de una conducta típica de falsedad personal y documental, ya que no existe ninguna disposición en la Ley 1266 de 2008 y sus normas reglamentarias que implique obligación y/o sanción para las fuentes de información, relacionado con las suplantaciones, limitándose la Resolución 76434 de 2012 a darle competencia a la Superintendencia para que se pronuncie sobre la suplantación o no del titular, mas no para imponer sanciones a la fuente, teniendo en cuenta lo anterior comete una arbitrariedad la Superintendencia de Industria y Comercio al exigirle a la fuente de información MARKETING PERSONAL S.A, el cumplimiento de la comunicación previa al reporte de una obligación, que desde el principio fue creada por un tercero con la plena y total intención de defraudar tanto a la señora XXXXXXXXXXXXXXXX como a MARKETING PERSONAL S.A. PETICIÓN Con base a lo expuesto se puede evidenciar que a MARKETING PERSONAL S.A, no le era exigible el cumplimiento de la comunicación previa al reporte negativo, por tratarse de una obligación creada inicialmente con la plena intención de defraudar a la fuente de información y a la señora XXXXXXXXXXXXXXX, teniendo en cuenta lo expuesto solicitamos que se revoque la sanción impuesta en contra de MARKETING PERSONAL S.A, equivalente a VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520).” Este argumento no es del recibo por este Despacho, pues como quedó demostrado en la resolución recurrida la sociedad MARKETING PERSONAL S.A, incumplió con el deber que le asiste en su calidad de Fuente de Información de remitir una comunicación previa a la realización del reporte negativo en el historial crediticio de la denunciante, por lo menos con veinte (20) días de antelación, con el fin de permitirle discutir aspectos como existencia, pago o exigibilidad de la obligación objeto de reporte.

Además de lo anterior, es importante poner de presente que este Despacho encuentra que la exposición del apoderado especial de la recurrente no es admisible, puesto que es importante resaltar que, el primer cargo objeto de sanción hace referencia al incumplimiento del artículo 12 de la Ley 1266 de 2008, el cual no puede ser entendido como una simple formalidad, teniendo en cuenta que se trata de la materialización de la garantía del derecho fundamental de habeas data, en el sentido que le permite al titular ejercer aspectos como, demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Por esta razón, el legislador estableció que las fuentes de información en caso de incumplimiento de las obligaciones adquiridas por parte del titular podrán reportar la información negativa a los operadores, únicamente cuando se haya enviado una comunicación con 20 días calendario de anticipación a efectuar el reporte de la obligación en la historia de crédito del titular.

Así las cosas, se debe tener claro que la figura jurídica de la comunicación previa es un deber legal en cabeza de la fuente de información, que tiene como fin último garantizar el pleno ejercicio de habeas data de los titulares, y salvaguardar el derecho de actualización, rectificación y eliminación de la información a que tienen derecho.

Al respecto, la Corte Constitucional en la sentencia C-1011 de 2008 señaló que el procedimiento establecido en el artículo 12 de la Ley 1266 de 2008 se configura como una herramienta adecuada para que el titular pueda ejercer sus derechos de actualización y rectificación de los datos, siendo enfática al analizar este requisito establecido para las fuentes y en su momento expuso: “(…) El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad.

La preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 25, (…)”35 Igualmente, es importante resaltar que la Ley Estatutaria 1266 del 2008 regula el derecho fundamental de habeas data en cuanto al manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países por lo que es necesario que este Despacho analice el concepto de “ley estatutaria”.

Dicho tipo de ley, según la sentencia C-687 de 2002, está dispuesto para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Por ello, esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos en lo que se refiere a la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países, todo actor que trate información financiera y crediticia, comercial, de servicios y la proveniente de terceros países debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Teniendo en cuenta lo expuesto anteriormente, esta Dirección no encuentra procedente REVOCAR la Resolución 10998 del 4 de marzo de 2021, la cual impuso sanción de multa en virtud de la vulneración de lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem. FRENTE AL PUNTO 8.2.3 ”Del deber de garantizar que la información suministrada a los Operadores sea veraz completa, exacta, actualizada y comprobable”.

Señala la Recurrente que: “(…) Con base en los documentos aportados se puede evidenciar que MARKETING PERSONAL S.A cumplió con su deber como fuente de información de garantizar que la información que se suministra a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable, incluso a pesar de haber sido víctima de una suplantación y que el hecho causa raíz violación de los derechos de la titular tiene como origen un hecho de un tercero. PETICIÓN Teniendo en cuenta lo expuesto previamente frente a este punto y lo señalado en las OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION, especialmente la CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, solicitamos que se revoque la sanción impuesta en contra de MARKETING PERSONAL S.A, equivalente a VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520) ” Dicho argumento no es del recibo por este Despacho, pues como quedó demostrado en la resolución recurrida la sociedad MARKETING PERSONAL S.A, no cuenta con los documentos idóneos para demostrar la existencia de la obligación No.XXXXXX, y en ese sentido incumple el deber de garantizar que la información suministrada a los Operadores sea veraz completa, exacta, actualizada y comprobable.

En este punto, es oportuno traer a colación la sentencia C-1011 de 2008, por medio de la cual se analizó la Constitucionalidad de la Ley 1266 de 2008, la cual respecto del numeral 1 del artículo 8 de la ley en cita expuso: “(…) debe señalarse que los procesos de administración de datos personales están signados por un deber de objetividad.

Esta condición implica que la información no debe ser presentada en forma inductiva, sesgada o sugestiva. La jurisprudencia constitucional al respecto también ha señalado que la veracidad supone una correspondencia entre el registro Cfr. Corte Constitucional, sentencia C 1011 del 2008 de fecha 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.4.3.

Requisitos especiales para fuentes “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 26, efectuado y las condiciones empíricas del sujeto pasivo. Por ello, en tanto la fuerza de los presupuestos de veracidad y actualidad se refleja en esta norma, la Corte la encuentra ajustada a la Constitución”.

“ARTÍCULO 4o. PRINCIPIOS DE LA ADMINISTRACIÓN DE DATOS. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen: a) Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error…” Así las cosas, el deber de veracidad del dato, implica por parte de la fuente de la obligación, que la información contenida en el reporte que se suministre a los operadores de los bancos de datos sea veraz, completa, exacta, actualizada y comprobable, es decir la Fuente de Información, debe contar con documentación que lo legitime como acreedor de la obligación, en consecuencia, para fungir como Fuente de información, a la luz de la definición dada por el artículo 3 de la Ley 1266 de 2008, Teniendo en cuenta lo expuesto anteriormente, esta Dirección no encuentra procedente REVOCAR la Resolución 10998 del 4 de marzo de 2021, la cual impuso sanción de multa en virtud de la vulneración de lo dispuesto en el numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem.

FRENTE AL PUNTO 8.2.4 “Del deber de conservar copia o evidencia de la autorización otorgada por el Titular de la información”. Señala la Recurrente que: “(…) Teniendo en cuenta lo anterior, carece de sentido jurídico el argumento del Despacho al indicar que no se puede tener en cuenta como autorización por no contener un numero de consecutivo que hiciera alusión a la obligación XXXXXX, como lo mencionamos anteriormente es el numero con el que se reportaba la obligación ante las centrales de riesgo y que se trata de los 6 últimos dígitos de la cedula de ciudadanía de la titular.” “(…) solicitamos que se revoque la sanción impuesta en contra de MARKETING PERSONAL S.A, equivalente a VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520)” El anterior argumento no es compartido por este Despacho, pues como quedó demostrado en la resolución recurrida la sociedad MARKETING PERSONAL S.A, no aportó un documento idóneo al plenario que demostrara que contaba con la autorización de la titular.

De igual modo, es importante precisar que la recurrente allegó el mismo formato de autorización al presente recurso, el cual ya había sido valorado para tomar la decisión mediante resolución 10998 del 4 de marzo de 2021. En la cual quedó demostrado que, la imagen aportada como la autorización se trataba de un fragmento del contrato de suministro, el cual no cuenta con algún consecutivo o fecha donde se pueda colegir que corresponde a la obligación No. XXXXXX.

En relación con la importancia constitucional de la autorización previa la Corte en Sentencia C 1011 de 16 de octubre de 2008, Magistrado Ponente Doctor Jaime Córdoba Triviño que efectúa el control de constitucionalidad de la Ley 1266 de 2008, sostuvo "La segunda condición que se infiere del análisis sistemático de los preceptos analizados, está relacionada con la vigencia del principio de libertad en la administración de datos personales que, como se ha insistido en esta decisión, se concreta en la autorización que realiza el titular ante la fuente para la incorporación de sus datos personales en archivos y bancos de datos administrados por los operadores de información A este respecto, debe recabarse en que la autorización previa, libre, especifica y suficiente es un atributo que debe concurrir siempre (en ausencia de mandato judicial), en función de la efectividad de la garantía de autodeterminación de ¡a persona Además, debe reiterarse que el otorgamiento de consentimiento por parte del titular no exime al sistema de administración del dato financiero de asegurar el cumplimiento de los demás principios, come el de finalidad legitima, compatible con aquella para la cual los datos han sido recogidos.

De esta manera la Corte ha establecido que el núcleo esencial del derecho de habeos data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular pues, como lo ha establecido éste podría verse vulnerado al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 27, sido autorizados por parte del Titular o por la Ley.

Así: la autodeterminación es la posibilidad de que dispone el Titular para permitir que sus datos se almacenen, circulen y sean usados conforme la regulación legal y su autorización De igual modo, hace parte del derecho al babeas data la previa autorización expresa y voluntaria que debe dar el Titular de la información, para que un tercero pueda disponer de ésta, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarla, actualizarla o revocarla Como se advierte, el precepto constitucional establecido en el artículo 15 de la Constitución Política determina que las personas en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos se recaude pueda ser incluida en un banco de datos.

En consecuencia, la ausencia de dicha autorización implica necesariamente que los datos personales asociados al Titular no podrán ser reportados a un operador de información Teniendo en cuenta lo expuesto anteriormente, esta Dirección no encuentra procedente REVOCAR la Resolución 10998 del 4 de marzo de 2021, la cual impuso sanción de multa en virtud de la vulneración de lo dispuesto en el numeral 5 del artículo 8 de la Ley 1266 de 2008.

FRENTE AL PUNTO 9.1.2 “Otros criterios de graduación” Indica la Recurrente que: “(…) Debemos hacer énfasis que desde la presentación de los descargos en el mes de julio de 2020 reconocimos expresamente que no habíamos contestado el derecho de petición dentro de los términos establecidos en la Ley, reconocimiento que debe ser valorado por el Despacho como un factor atenuante para disminuir la sanción.” “(…) solicitamos que se dé aplicación al literal F del artículo 19 de la Ley 1266 del 2008 y consecuencialmente se proceda a disminuir el valor de la sanción impuesta en contra de MARKETING PERSONAL S.A” Teniendo en cuenta lo expuesto anteriormente, esta Dirección encuentra procedente aplicar el literal f) del artículo 19 de la Ley 1266 de 2008 frente al primer cargo, dado el reconocimiento de la infracción por parte de la sociedad MARKETING PERSONAL S.A así:”(…)Con base a lo expuesto, nuestra Compañía reconoce y acepta que contestó el derecho de petición con 20 días de retraso al termino estipulado en la ley 1266 de 200836.” En consecuencia, este Despacho reconoce que hubo un error al momento de la tasación de la sanción, por cuanto, debido a un error involuntario se pasó por alto la manifestación de la investigada en cuanto a su reconocimiento de que contesto de forma extemporánea el reclamo presentado por la titular el 26 de octubre de 2018, razón por la cual se procederá a modificar el acto administrativo, reduciendo el monto de la sanción impuesta frente al primer cargo a MARKETING PERSONAL S.A de seiscientos noventa 690 Unidades de Valor Tributario Vigentes a Trescientos cuarenta y cinco 345 Unidades de Valor Tributario Vigentes.

En esta medida, aun cuando no hay alteración del sentido material de la decisión, esta Dirección considera pertinente aclarar el artículo noveno de la parte considerativa de la Resolución 10998 del 4 de marzo de 2021, el cual quedará así: “(…) 9.1.2 Otros criterios de graduación (…) Se tendrá en cuenta el criterio de atenuación señalado en el literal f), debido al reconocimiento expreso acerca de la comisión de la infracción que realizó la investigada sobre el cargo primero en la medida en que manifestó:”(…)Con base a lo expuesto, nuestra Compañía reconoce y acepta que contestó el derecho de petición con 20 días de retraso al termino estipulado en la ley 1266 de 200837.”Por lo tanto, este Despacho reducirá el valor de la sanción a imponer de veinticinco millones cincuenta y dos mil quinientos veinte pesos M/CTE ($25.052.520), equivalente a seiscientos noventa (690) Unidades de Valor Tributario (UVT) a Escrito de descargos radicado bajo N° 20-135209-10 Ibídem “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 28, un valor de doce millones quinientos veintiséis mil doscientos sesenta pesos M/CTE ($12.525.260), equivalente Trescientos cuarenta y cinco (345) Unidades de Valor Tributario (UVT).

En consecuencia, teniendo en cuenta que se aplicó el literal f) del artículo 19 frente al cargo primero, la multa que corresponde por la vulneración de lo establecido en la siguiente normatividad: i) numeral 7) del artículo 8 de la Ley 1266 de 2008, en concordancia con los numerales 3, 4 y 5 del literal II del artículo 16 ejúsdem; ii) numeral 10) del artículo 8 de la ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem; iii) numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem; y iv) el numeral 5 del artículo 8 de la Ley 1266 de 2008 será reducida de a la suma ochenta y siete millones seiscientos ochenta y tres mil ochocientos veinte pesos M/CTE ($87.683.820) equivalente a dos mil cuatrocientos quince (2415) UVT.

(…) 9.1.3 Reincidencia en la comisión de la infracción Se tiene que la sanción impuesta por la vulneración de lo establecido en la siguiente normatividad: i) numeral 7) del artículo 8 de la Ley 1266 de 2008, en concordancia con los numerales 3, 4 y 5 del literal II del artículo 16 ejúsdem; ii) numeral 10) del artículo 8 de la ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem; iii) numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem; y iv) el numeral 5 del artículo 8 de la Ley 1266 de 2008, de acuerdo con la aplicación del literal f) antes mencionada, corresponde a ochenta y siete millones seiscientos ochenta y tres mil ochocientos veinte pesos M/CTE ($87.683.820) equivalente a dos mil cuatrocientos quince (2415) UVT.

Así las cosas, este Despacho aumentará la sanción en un valor equivalente a cincuenta millones ciento cinco mil cuarenta pesos M/CTE (50.105.040), para un total de ciento treinta y siete millones setecientos ochenta y ocho mil ochocientos sesenta pesos M/CTE ($137.788.860), equivalente a tres mil setecientos noventa y cinco (3795) UVT, teniendo en cuenta el criterio contenido en el literal c) del artículo 19 de la Ley 1266 de 2008 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por las mismas conductas violatorias de la ley.” Así las cosas, en el artículo primero de la parte resolutiva quedara así: "IMPONER una sanción pecuniaria a la sociedad MARKETING PERSONAL S.A identificada con Nit.811.018.771-1, de ciento treinta y siete millones setecientos ochenta y ocho mil ochocientos sesenta pesos M/CTE ($137.788.860), equivalente a tres mil setecientos noventa y cinco.

(3.795) UVT, por la violación a lo dispuesto en la siguiente normatividad."

SEXTO: CONCLUSIÓN 6.1 Respecto de la “causa extraña por el hecho de un tercero” refiriéndose al hecho de suplantación, del cual fue víctima la titular, se precisa que esta situación no exonera a la sociedad MARKETING PERSONAL S.A de cumplir la Ley 1266 de 2008, por el contrario, la sociedad debe tomar medidas reales y efectivas con el fin de que hechos como este se vuelvan a repetir, con el fin de garantizar el derecho fundamental de habeas data. 6.2 Respecto de la responsabilidad del administrador, quedó claro que el representante legal de la sociedad no cuenta con medidas legítimas, útiles, apropiadas y efectivas para cumplir sus obligaciones legales. 6.3 Respecto de la falta de competencia, quedo claro que esta Dirección cuenta con competencia para proteger los datos de los Titulares que estén contenidos en bases de información financiera relativos al nacimiento, ejecución y extinción de obligaciones de carácter dinerario, en virtud del artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley. 6.4 Respecto de la proporcionalidad de la sanción, quedó claro que la sanción impuesta obedeció a los parámetros dictados por la Ley 1266 de 2008, teniendo en cuenta que, el daño al derecho de habeas data del Titular fue vulnerado por la sociedad al no contestar de manera oportuna la petición presentada por la titular, no remitir la comunicación previa al reporte negativo ante los “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 29, Operadores de la información, no contar con los documentos idóneos para demostrar la existencia de la obligación, no contar con la autorización de la titular.

SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución 10998 del 4 de marzo de 2021y en consecuencia trasladará la presente actuación al Despacho del Superintendente Delegado para la protección de Datos Personales.

OCTAVO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

(ii) Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: MODIFICAR el ARTÍCULO NOVENO de la parte considerativa de la Resolución No. 10998 del 4 de marzo de 2021, de conformidad con lo expuesto en la parte motiva de la presente resolución, el cual quedará así: “9.1.2 Otros criterios de graduación (…) Se tendrá en cuenta el criterio de atenuación señalado en el literal f), debido al reconocimiento expreso acerca de la comisión de la infracción que realizó la investigada sobre el cargo primero en la medida en que manifestó:”(…)Con base a lo expuesto, nuestra Compañía reconoce y acepta que contestó el derecho de petición con 20 días de retraso al termino estipulado en la ley 1266 de 200838.” Por lo tanto, este Despacho reducirá el valor de la sanción a imponer de veinticinco millones cincuenta y dos mil quinientos veinte pesos M/CTE ($25.052.520), equivalente a seiscientos noventa (690) Unidades de Valor Tributario (UVT) a un valor de doce millones quinientos veintiséis mil doscientos sesenta pesos M/CTE ($12.525.260), equivalente Trescientos cuarenta y cinco (345) Unidades de Valor Tributario (UVT).

En consecuencia, teniendo en cuenta que se aplicó el literal f) del articulo 19 frente al cargo primero, la multa que corresponde por la vulneración de lo establecido en la siguiente normatividad: i) numeral 7) del artículo 8 de la Ley 1266 de 2008, en concordancia con los numerales 3, 4 y 5 del literal II del artículo 16 ejúsdem; ii) numeral 10) del artículo 8 de la ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem; iii) numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem; y iv) el numeral 5 del artículo 8 de la Ley 1266 de 2008 será reducida de a la suma ochenta y siete millones Escrito de descargos radicado bajo N° 20-135209-10 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 30, seiscientos ochenta y tres mil ochocientos veinte pesos M/CTE ($87.683.820) equivalente a dos mil cuatrocientos quince (2415) UVT.

(…) “9.1.3 Reincidencia en la comisión de la infracción Se tiene que la sanción impuesta por la vulneración de lo establecido en la siguiente normatividad: i) numeral 7) del artículo 8 de la Ley 1266 de 2008, en concordancia con los numerales 3, 4 y 5 del literal II del artículo 16 ejúsdem; ii) numeral 10) del artículo 8 de la ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem; iii) numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem; y iv) el numeral 5 del artículo 8 de la Ley 1266 de 2008, de acuerdo con la aplicación del literal f) antes mencionada, corresponde a ochenta y siete millones seiscientos ochenta y tres mil ochocientos veinte pesos M/CTE ($87.683.820) equivalente a dos mil cuatrocientos quince (2415) UVT.

ARTÍCULO SEGUNDO: MODIFICAR el ARTÍCULO PRIMERO de la parte resolutiva de la Resolución No. 10998 del 4 de marzo de 2021, de conformidad con lo expuesto en la parte motiva de la presente resolución, el cual quedará así: "IMPONER una sanción pecuniaria a la sociedad MARKETING PERSONAL S.A identificada con Nit.811.018.771-1, de ciento treinta y siete millones setecientos ochenta y ocho mil ochocientos sesenta pesos M/CTE ($137.788.860), equivalente a tres mil setecientos noventa y cinco.

(3.795) UVT, por la violación a lo dispuesto en la siguiente normatividad."

ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MARKETING PERSONAL S.A identificada con Nit. 811.018.771-1, a través de su representante legal y de su apoderado, entregándoles copia de la misma.

ARTÍCULO QUINTO: COMUNICAR el contenido de la presente resolución a la señora XXXXX XXXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía número C.C. No. XXXXXXX.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C.,16 JUNIO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.06.16 16:50:11 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: SRB Aprobó: CESM “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: Apoderado: Identificación: Correo electrónico: MARKETING PERSONAL S.A Nit. 811.018.771-1 JUAN SEBASTIAN ROLDAN CORRALES C.C. No. 1037590551 CALLE 10 SUR 51 C 77 PISO 2 Medellín – Antioquia juridico@marketingpersonal.com catalina.boteror@marketingpersonal.com ANDRES ALBERTO GONZALEZ OBANDO C.C. 1152184014 juridico@marketingpersonal.com catalina.boteror@marketingpersonal.com COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXX C.C. XXXXXXXXXX XXXXXXXXXXXXX XXXXXXX XXXXXXXXXXXXX HOJA N 31,

Resolución sancionatoria N° 10998 de 2021

CONSIDERANDO

RESUELVE