Decisión 46328 de 2020 — SIC

(11 AGOSTO 2020) “Por la cual se impone una sanción administrativa” Radicación 18-26450 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 7 y 9 del artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que, mediante la Resolución 53886 del 11 de octubre de 2019 1, la Dirección de Investigación de Protección de Datos Personales decidió abrir investigación y formular pliego de cargos contra la sociedad CREDIVALORES-CREDISERVICIOS S.A., (en adelante investigada), identificada con NIT 805.025.964-3 por la presunta contravención de las normas de protección de datos personales, en particular en: i. El literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; ii.

El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iii. El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iv.

El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; v. El literal j) del artículo 17, en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012; vi. El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012; y, vii. El literal o) del artículo 17 de la Ley 1581 de 2012.

De la denuncia presentada por la Titular XXXXXXX XXXXXXX XXXXXXXX 2 se extrajeron los siguientes hechos: 1.1 Manifestó que el día 26 de junio de 2016 adquirió una tarjeta de crédito “CREDIUNO”, para lo cual suministró la dirección de residencia, correo electrónico y teléfono celular, con el fin de que le enviaran los extractos o fuera contactada para cualquier novedad relacionada con el producto. 1.2 Indicó que 17 de octubre de 2017, le fue informado que el extracto de la tarjeta había sido enviado al correo xxxxxxxxxxxxxxxxxxxxxxxxxx, correo el cual nunca había suministrado. 1.3 Expresó que: “…fue contactado el jefe de mi pareja, para informarle alguna novedad del pago de la tarjeta, del cual, nuevamente manifiesto NUNCA suministré el teléfono de él, (…)”. 1.4 Señaló que envió una petición a www.credivalores.com/Servcio al Cliente/ContáctenosSQL, solicitando los datos y correos que tienen como referencia a su información. Resolución 53886 del 11 de octubre de 2019, radicada bajo el número 18-26450-11 del 16 de octubre de 2019 Denuncia, radicada bajo el número 18-26450-0 del 19 de enero de 2018, “Por la cual se impone una sanción administrativa” 1.5 Afirmó que: “… el día Veintiséis (26) de Octubre recibí mediante correo electrónico respuesta con radicado No. 2693599 donde me manifestaron que los datos habían sido actualizados, pero no dieron respuesta a lo que realmente se había solicitado.” 1.6 Indicó que: “Nuevamente el día Dos (2) de Noviembre del año en curso, solicite (sic) la misma información que ya había solicitado pero que no me dieron respuesta, a la fecha todavía me encuentro esperando dicha información”. 1.7 Informó que: “El día 9 de diciembre realizo un derecho de petición solicitando lo siguiente:1.

Solicito cordialmente me sea informado de que fuente adquirieron datos de otras personas para suministrarle mi información relacionada con los servicios que tengo con ustedes. 2. En atención a la petición anterior, solicito que dichos datos sean eliminados y suprimidos teniendo en cuenta que no corresponden a la suscrita.” 1.8 Afirmó que: “En ninguna de las respuestas se cumple la primer (sic) solicitud, no obstante el día Dieciseis (sic) (16) de Enero de Dos Mil Dieciocho (2.018) con extrañeza me fue informado que el extracto de la tarjeta había sido enviado nuevamente al correo xxxxxxxxxxxxxxxxxxxxxxxxxx, el cual reitero NUNCA suministre (sic) a la entidad.

Me preocupa mucho que no tengo conocimiento de quién mas (sic) está recibiendo mi información privada.” En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara las pruebas que pretendiera hacer valer en la presente actuación.

SEGUNDO: Que la Resolución 53886 del 11 de octubre de 2019 se notificó mediante Aviso 21735 a la señora ELIANA ANDREA ERAZO RESTREPO, en representación de la sociedad CREDIVALORES-CREDISERVICIOS S.A., el 25 de octubre de 2019, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 18-26450 - -20 del 18 de noviembre de 2019.

TERCERO: Que, vencido el término concedido de quince (15) días hábiles para rendir los respectivos descargos, la sociedad investigada guardó silencio.

CUARTO: Que mediante Resolución 8643 del 28 de febrero de 20203 se ordenó incorporar y tener como pruebas, las obrantes a la fecha en el expediente, con el valor legal que les corresponda. En el mismo acto administrativo, se corrió traslado a la sociedad CREDIVALORESCREDISERVICIOS S.A., por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

QUINTO: Que la Resolución 8643 del 28 de febrero de 2020 fue comunicada el 28 de febrero de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 18-26450- -24 del 12 de marzo de 2020.

SEXTO: Que, transcurrido el término concedido de diez (10) días hábiles para presentar alegatos de conclusión, la sociedad investigada guardó silencio.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el Resolución 8643 del 28 de febrero de 2020, radicada bajo el número 18-26450-21 del 28 de febrero de 2020 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011)., “Por la cual se impone una sanción administrativa” incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: i. El literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; ii.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante y el conjunto de pruebas allegadas al expediente, en razón a que la investigada guardó silencio en la oportunidad procesal para presentar los descargos y los alegatos de conclusión. 8.2.Valoración probatoria y conclusiones 8.2.1.

Del deber de garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. El título ll de la Ley 1581 de 2012 contiene los principios rectores del Régimen General de Protección de Datos Personales, los cuales deben ser interpretados y aplicados armónicamente al momento de realizar una investigación por infracciones al mencionado régimen.

Específicamente el literal d) del artículo 4 se encuentra relacionado con el caso en concreto, que expresamente señala: "Artículo 4. Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error;” Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, así:, “Por la cual se impone una sanción administrativa” “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad. a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…)” En relación, la Corte Constitucional ha definido el derecho de hábeas data en los siguientes términos: "El derecho fundamental al hábeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales".

(Negrita fuera de texto). De igual manera, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realizó el análisis constitucional de la Ley estatutaria 1531 de 2012, manifestó: “'De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas — contenidos mínimos- que se desprenden de este derecho encontramos por 10 menos las siguientes: (i) el derecho de las personas a conocer —acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella o por simple voluntad del titular —salvo las excepciones previstas en la normativa.” Es importante traer a colación el artículo 2.2.2.25.4.3 del Decreto Reglamentario 1074 de 2015, el cual dispone lo siguiente: Artículo 2.2.2.25.4.3.

Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento.

En la presente causa, la señora XXXXXXX XXXXXXX manifestó en la denuncia presentada ante esta Superintendencia, que: “…envíe (sic) una petición mediante la página web www.credivalores.com/Servicio al cliente/ContáctenosSQL, solicitando información de los datos y correos que tienen en referencia con mi información.” “…el día Veintiséis (26) de Octubre recibí mediante correo electrónico respuesta con radicado No. 2693599 donde me manifestaron que los datos habían sido actualizados, pero no dieron respuesta a lo que realmente se había solicitado.”, “Nuevamente el día Dos (2) de Noviembre del año en curso, solicite (sic) la misma información que ya había solicitado pero que no me dieron respuesta, a la fecha todavía me encuentro esperando dicha información.”, “El día 9 de diciembre realizo un derecho de petición solicitando lo siguiente: 1.

(…) me sea informado de que fuente adquirieron datos de otras personas para suministrarle mi información relacionada con los servicios que tengo con ustedes. 2. (…) solicito que dichos datos sean eliminados y suprimidos teniendo en cuenta que no corresponden a la suscrita.”, “(…) el día Dieciseis (sic) (16) de Enero de Dos Mil Dieciocho (2.018) con extrañeza me fue informado que el extracto de la tarjeta había sido enviado nuevamente al correo xxxxxxxxxxxxxxxxxxxxxxxxxx, el cual reitero NUNCA suministre (sic) a la entidad.” (Negrita adicionada) En relación con el precitado deber, se encuentra en el acervo probatorio adjuntado a la denuncia5, lo siguiente: 1.

Derecho de petición radicado por la señora XXXXXXX XXXXXXX el 18 de octubre de 2017 a través de la página web “www.credivalores.com/ServicioalCliente/ContàctenosSQL” por medio del formulario contáctenos, solicitó: “(…) necesito que me envíen una copia de los datos y Denuncia radicada bajo el número 18-26450- -00000-000 del 19 de enero de 2018, “Por la cual se impone una sanción administrativa” correos PERSONALES que tienen ya que le llegó un extracto a una persona que no tengo contacto hace años (…)” 6, como se muestra a continuación: Para lo cual, el 23 de octubre de 2017, la sociedad CREDIVALORES-CREDISERVICIOS S.A. emitió la siguiente respuesta: “(…) con respecto a su solicitud del enviò (sic) de sus datos personales que nos registra en nuestro sistema, le informamos que no es posible cumplir con su requerimiento ya que se debe validar unas políticas de seguridad que no se pueden tramitar por este medio, motivo por el cual es necesario que se comunique con nuestras líneas de atención al cliente para actualización de datos.”7 (negrilla adicionada) Pantallazo extraído prueba aportada en denuncia radicada bajo el número 18-26450- -00000-000 del 19 de enero de 2018 Pantallazo extraído prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018, “Por la cual se impone una sanción administrativa” Igualmente, el 26 de octubre de 2017, la sociedad investigada emitió respuesta al radicado No. 2693599 donde le informó “(…) se procedió a realizar la actualización de sus datos personales en nuestro sistema (…).”, como se muestra a continuación: Imagen extraída prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2, “Por la cual se impone una sanción administrativa” 2.

Derecho de petición del 5 de diciembre de 20178, en el cual, la denunciante le solicitó a la sociedad investigada entre otras cosas lo siguiente:

CUARTO: (…), envíe (sic) una petición mediante la página web www.credivalores.com/Sevicio al Cliente/ContáctenosSQL, solicitando información de los datos y correos que tienen en referencia con mi información.

QUINTO: En relación (sic) al acápite anterior, el día Veintiséis (26) de octubre recibí mediante correo electrónico con radicado No. 2693599 donde me manifestaron que los datos habían sido actualizados, pero no dieron respuesta a lo que realmente se había solicitado.

SEXTO: Nuevamente el día Dos (2) de Noviembre del año en curso, solicite (sic) la misma información que ya había solicitado pero que no me dieron respuesta, a la fecha todavía me encuentro esperando dicha información. PETICIONES PRIMERO: Solicito cordialmente me sea informado de que fuente adquirieron datos de otras personas para suministrarle mi información relacionada con los servicios que tengo con ustedes.

SEGUNDO: En atención a la petición anterior, solicito que dichos datos sean eliminados y suprimidos teniendo en cuenta que no corresponden a la suscrita.” (Negrita adicionada) En respuesta a la citada petición, la sociedad CREDIVALORES-CREDISERVICIOS S.A., a través de comunicación de fecha 12 de diciembre de 2017 manifestó lo que a continuación se cita: Imagen extraída prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 Por lo anterior, adjunta la respuesta donde le informa “(…)Debido a un cruce en nuestras bases de datos se originaron envíos de comunicaciones a un correo diferente al establecido por usted, no obstante, se procedió a generar la respectiva actualización para que este tipo de situaciones no se vuelvan a presentar y toda comunicación sea enviada al correo xxxxxxxxxxxxxxxxxxxxxxxxxx.”, como a continuación, se cita: Prueba aportada en la denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018, “Por la cual se impone una sanción administrativa” No obstante, pese a las solicitudes presentadas por la denunciante, con las cuales buscaba conocer la información que sobre ella registraba y lograr la supresión del dato errado asociado a su nombre en las bases de datos de la sociedad CREDIVALORES-CREDISERVICIOS S.A., y a las respuestas que al respecto le fueron suministradas por parte de esta última, mediante las cuales le fue informado el despacho favorable de sus peticiones, nuevamente, para el 16 de enero de 2018, la sociedad investigada envió el “Extracto Credivalores Crediuno” a la dirección de correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx a nombre del señor xxxxx xxxxxxx, el cual fue reenviado por este último como se expone a continuación: Pantallazo extraído prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 Respecto de la prueba referenciada se concluye lo siguiente:, “Por la cual se impone una sanción administrativa” Este Despacho encuentra probado que la denunciante, en ejercicio de su derecho de hábeas data solicitó a la sociedad investigada a través de petición con radicado No. 2693599 del 18 de octubre de 2017, la información de los datos que sobre ella tenían registrados, para lo cual, la sociedad respondió “se procedió a realizar la actualización de sus datos personales en nuestro sistema”.

Posteriormente, mediante petición con radicado No. 2726758 del 5 de diciembre de 2017 solicitó la supresión del dato errado asociado a su cuenta; como respuesta, la sociedad indicó “se procedió a generar la respectiva actualización para que este tipo de situaciones no se vuelvan a presentar”. A pesar de ello, la sociedad envió nuevamente el extracto al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx el cual la denunciante había manifestado de manera clara e inequívoca que no correspondía a ella.

Asi que, la señora XXXXXXX XXXXXXX no logró que su petición fuera atendida de manera diligente y oportuna, en razón a que la sociedad no suprimió el dato errado asociado a su información. En atención a lo anterior, es importante destacar que en el desarrollo, interpretación y aplicación de la Ley 1581 de 2012 se encuentra el principio de veracidad o calidad del dato, el cual dispone que los Responsables de la información están en la obligación de comprobar la calidad del dato, toda vez que como ocurre en el presente caso, dicha falla de diligencia afectó el derecho de hábeas data de la Titular.

Igualmente, se debe precisar que tal como lo manifiesta la Corte Constitucional, el derecho de hábeas data, otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, actualización y eliminación de su información, por Io que resulta apenas claro, que los Responsables de la información, deben proceder de conformidad, implementando las medidas y procedimientos correctos, dirigidos a la protección de los datos personales y su adecuado tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que el mismo haga respecto de su información. En este orden de ideas, está plenamente demostrado que el Responsable de la información no atendió la solicitud de la señora XXXXXXX XXXXXXX respecto de la supresión del dato errado asociado a su información, toda vez que la sociedad continuó enviando el extracto a un correo electrónico que no correspondia a la Titular.

Además, la sociedad investigada pese a que corroboró que efectivamente estaba enviando la información a un correo diferente al establecido por la Titular, no procedió de manera inmediata a suprimir el dato. Por lo anterior, la sociedad CREDIVALORES-CREDISERVICIOS S.A., no garantizó el derecho de la Titular se suprimir el dato errado a su información, por lo cual, infringió el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, consignado en el literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

Razón por la cual, se impondrá la sanción pecuniaria de CUARENTA Y TRES MILLONES NOVECIENTOS TRES MIL CUATROCIENTOS TREINTA Y UN PESOS M/CTE ($43.903.431), equivalente a 1233 (UVT) Unidad de Valor Tributario. 8.2.2. Del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.

Sobre el particular, este Despacho considera pertinente señalar que la Constitución Política reconoce el derecho de las personas a decidir libremente frente al uso de la información que sobre ellas se haya recogido en banco de datos o archivos de entidades públicas o privadas, al artículo en cuestión establece: "Artículo 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De Igual modo, tienen derecho a conocer actualizar y rectificar las Informaciones que se hayan recogido sobre ellas en bancos de datos v en archivos de entidades públicas y privadas En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” Al respecto la Corte Constitucional ha señalado lo siguiente:, “Por la cual se impone una sanción administrativa” “Principio de libertad: El tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la Información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no solo desarrolla el objeto fundamental de la protección del hábeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su imagen Informática.”9 Igualmente, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)” Es importante indicar que, en virtud del principio de libertad, citado líneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Así, se tiene entonces que el derecho al hábeas data se concreta en la facultad del Titular de la información de decidir, voluntariamente, que la Información sobre sí mismo sea sometida a Tratamiento por parte de terceros. Por ello mismo, es que en el literal c) del artículo 4 de la Ley 1581 de 2012 se señala como principio de libertad que "El tratamiento sólo puede ejercerse con consentimiento, previo, expreso, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización o en ausencia de mandato legal o judicial que revele el consentimiento" (Subrayado fuera del texto original). A su vez, el artículo 9 del mismo precepto normativo, establece: “Artículo 9°. Autorización del titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Frente a este deber, el Decreto Único Reglamentario 1074 de 2015 en el inciso primero del artículo 2.2.2.25.2.2 establece: “Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.” Ahora bien, en el caso concreto, la Coordinación del Grupo de Trabajo de Investigaciones requirió a la sociedad investigada a través del oficio radicado bajo el número 18-26450- -10-1 el cual tal como consta en la guía de envío RA106857562CO - Certificado de Mensajería de Servicios Postales Nacionales S.A. 472 el día 12 de abril de 2019, donde le solicitó entre otras cosas: “2. 9 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub., “Por la cual se impone una sanción administrativa” ¿Cuenta con autorización expresa, previa e informada de la Titular XXXXXXX XXXXXXX XXXXXXXX, para la recolección y tratamiento de sus datos personales? Sírvase remitir copia de la misma.”. Sin embargo, la sociedad CREDIVALORES-CREDISERVICIOS S.A., no suministró respuesta a este Despacho.

En este punto es importante señalar que la sociedad investigada no presentó escrito de descargos, ni aportó pruebas, tampoco presentó alegatos de conclusión y ante el requerimiento 10 de información realizado por esta Dirección no brindó respuesta. Por ello, la presente investigación se basará en el análisis de la información presentada por la denunciante y pruebas allegadas al proceso.

Por consiguiente, dentro de la actuación administrativa se encuentra probado que la sociedad investigada no acreditó contar con la autorización expresa e informada de la Titular para el tratamiento de sus datos personales. Por lo anterior, esta Dirección encuentra que la sociedad CREDIVALORES-CREDISERVICIOS S.A., incumplió con el deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4, y el artículo 9 de la Ley 1581 de 2012, así como el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que no acreditó prueba de la autorización previa e informada de la señora XXXXXXX XXXXXXX.

Razón por la cual, se impondrá la sanción pecuniaria de SETENTA MILLONES DOSCIENTOS DIECISIETE MIL CUATRO PESOS M/CTE ($70.217.004), equivalente a 1972 (UVT) Unidad de Valor Tributario. 8.2.3. Del deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Respecto del deber de informar la finalidad del tratamiento, el artículo 12 y el literal c) del artículo 17 de la Ley Estatutaria 1581 de 2012 establece lo siguiente: "Artículo

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas (sic) versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite entregarle copra de esta.” “Artículo

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” A su vez, en el literal b) del artículo 4º establece: “Artículo 4º.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular” Como puede observarse, el principio de finalidad que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el 10 Requerimiento de información radicado bajo el numero 18-26450- -10-1 del 10 de abril de 2019, “Por la cual se impone una sanción administrativa” Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente previstas (…)”11 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que esta se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 201512 "el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".

Por lo indicado, el Responsable de la información a más tardar, al momento de la recolección de los datos personales y previo al tratamiento de los mismos debe informar a los Titulares: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Ahora bien, abordando estos aspectos la Corte Constitucional en sentencia de constitucionalidad C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos, Sin embargo, debe hacerse algunas precisiones.

Por una parte, los datos personales deben ser procesados con un propósito específico y explicito, En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular, por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la Información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la Jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)".

Al respecto, en el caso concreto, la Coordinación del Grupo de Trabajo de Investigaciones requirió a la sociedad investigada a través del oficio radicado bajo el número 18-26450- -10-1 el cual tal como consta en la guía de envío RA106857562CO - Certificado de Mensajería de Servicios Postales Nacionales S.A. 472 el día 12 de abril de 2019, en el cual, se solicitó entre otras cosas: “3.

Señale cuál es la finalidad de la recolección de la información personal de los Titulares”. Sin embargo, la sociedad CREDIVALORES-CREDISERVICIOS S.A., no suministró respuesta a este Despacho. Corte Constitucional. sentencia C-748 de 2011. MP María Victoria Calle Correa. Norma que compiló el Decreto 1377 de 2013 “Por el cual se reglamenta parcialmente la Lev 1581 de 2012", “Por la cual se impone una sanción administrativa” En este sentido es importante aclarar que la investigada no presentó escrito de descargos, ni aportó pruebas, tampoco presentó alegatos de conclusión y ante el requerimiento 13 de información realizado por esta Dirección no emitió respuesta.

Por ello, la presente investigación se basará en el análisis de la información presentada por la denunciante y pruebas allegadas al proceso. Por consiguiente, dentro de la actuación administrativa se encuentra probado que la sociedad investigada no acreditó el deber que le asiste en su calidad de Responsable de informar a la Titular la finalidad dispuesta para el tratamiento de sus datos personales, ni los derechos que como titular le asistía. Por Io indicado, concluye esta Dirección que la sociedad CREDIVALORES-CREDISERVICIOS S.A., incumplió con el deber contenido en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma norma y los artículos y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Razón por la cual, se impondrá la sanción pecuniaria de CUARENTA Y TRES MILLONES NOVECIENTOS TRES MIL CUATROCIENTOS TREINTA Y UN PESOS M/CTE ($43.903.431), equivalente a 1233 (UVT) Unidad de Valor Tributario. 8.2.4. Del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En cuanto al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, la ley 1581 de 2012 establece en el literal g) del artículo 4 y en el literal d) del artículo 17, lo siguiente: Artículo 4º. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES.

En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…) Artículo

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…) De igual forma, cuando se estudia el deber de seguridad con respecto a accesos o usos no autorizados o fraudulentos, también se debe tener en cuenta que el artículo 13 de la Ley 1581 de 2012 establece las personas a quienes se les puede suministrar información personal así "La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley." Sobre el principio de seguridad, la Corte Constitucional en la sentencia C-748 de 2011 señaló: "De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto "diluvio de datos", a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior(sic) Requerimiento de información radicado bajo el numero 18-26450- -10-1 del 10 de abril de 2019, “Por la cual se impone una sanción administrativa” transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las ledes sociales, el comercio a través de la red. La prestación de servicios, entre muchos otros. ( ) Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

(negrita añadida) Por su parte, sobre el desarrollo del deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional precisó: "En relación con el responsable del tratamiento, es declr, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario se establecen deberes que responden a los principios de la administración de datos y a los derechos-intimidad y hábeas data-del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuere de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento-literal a), como Informar oponunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares-literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad Jurídica.

" (negrita original) Frente a este cargo, sostuvo la denunciante que la sociedad CREDIVALORES-CREDISERVICIOS S.A. “El día Diecisiete (17) de Octubre de Dos Mil Diecisiete (2.017) con extrañeza me fue informado que el extracto de la tarjeta había sido enviada al correo xxxxxxxxxxxxxxxxxxxxxxxxxx, el cual NUNCA suministre (sic) a la entidad, toda vez que corresponde a una persona de la cual no tengo contacto hace más de dos años.”, “(…) el día Dieciseis (16) de Enero de Dos Mil Dieciocho (2.018) con extrañeza me fue informado que el extracto de la tarjeta había sido enviado nuevamente al correo xxxxxxxxxxxxxxxxxxxxxxxxxx, el cual reitero NUNCA suministre (sic) a la entidad.

Me preocupa mucho que no tengo conocimiento de quién mas está recibiendo mi información privada.” Al respecto, la Coordinación del Grupo de Trabajo de Investigaciones requirió a la sociedad en referencia a través del oficio radicado bajo el número 18-26450- -10-1 el cual tal como consta en la guía de envío RA106857562CO - Certificado de Mensajería de Servicios Postales Nacionales S.A. 472 el día 12 de abril de 2019, en el cual, se solicitó entre otras cosas: “7.

¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir a esta Superintendencia copia de las mismas. 8. Bajo qué políticas internas de seguridad conserva la información de los Titulares contenida en su base de datos, a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Sírvase aportar copia de la misma”. Sin embargo, la sociedad CREDIVALORES-CREDISERVICIOS S.A., no suministró respuesta a este Despacho. En el presente caso, el cargo formulado se basó en las siguientes circunstancias fácticas: 1. El 17 de octubre de 2017, la sociedad investigada envió el “Extracto Credivalores Crediuno” de la señora XXXXXXX XXXXXXX X. al correo electrónico “xxxxxxxxxxxxxxxxxxxxxxxxxx”, evidenciado así:, “Por la cual se impone una sanción administrativa” Pantallazo extraído prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 2.

El 11 de diciembre de 2017, la sociedad CREDIVALORES-CREDISERVICIOS S.A., mediante oficio de respuesta le informó entre otras cosas a la señora XXXXXXX XXXXXXX lo siguiente: “(…) Ref.: RESPUESTA RADICADO ESCRITO No. 2726758 (…) debido a un cruce en nuestras bases de datos se originaron envíos de comunicaciones a un correo diferente al establecido por usted, no obstante, se procedió a generar la respectiva actualización para que este tipo de situaciones no se vuelvan a presentar y toda comunicación sea enviada al correo xxxxxxxxxxxxxxxxxxxxxxxxxx”.14 3.

El 16 de enero de 2018 la sociedad investigada envió nuevamente el “Extracto Credivalores Crediuno” de la señora XXXXXXX XXXXXXX X al correo electrónico “xxxxxxxxxxxxxxxxxxxxxxxxxx”, como se muestra a continuación: Pantallazo extraído prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 Prueba adjunta en Denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2, “Por la cual se impone una sanción administrativa” Es importante indicar que la investigada no presentó escrito de descargos, ni aportó pruebas, tampoco presentó alegatos de conclusión, así mismo, ante el requerimiento 15 de información realizado por esta Dirección no emitió respuesta.

Por consiguiente, la presente investigación se basará en el análisis de la información presentada por la denunciante y pruebas allegadas al proceso. Ahora bien, es importante determinar si el uso de una dirección de correo electrónico requiere la autorización de su Titular, a la luz de la clasificación de los datos personales elaborada por la jurisprudencia y recogida en la Ley 1266 de 200816, entonces, según el artículo 3 de la citada ley, los datos personales se clasifican de la siguiente forma: (…) e) Dato Personal.

Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal.

Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados de conformidad con la presente ley. Son públicos entre otros los datos contenidos en documentos públicos, sentencias Judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede Interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Titulo IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza intima o reservada sólo es relevante para el Titular. (…) Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: "El dato público, en los términos de la norma estatutaria: corresponde a aquellos que sean calificados de esa manera por la Constitución y la ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado Civil de las personas.” Los datos semiprivados corresponden a aquellos que no tienen naturaleza intima, reservada, ni pública y que, por ende, su conocimiento puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que, como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dato privado es aquel que por su naturaleza intima o reservada solo es relevante para el Titular.” La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011 al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012.

En la referida sentencia dijo esa Corporación lo siguiente: “la clasificación de los datos personales no es un elemento indispensable de la regulación y dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente el artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto” (Subrayado fuera de texto).

Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: Requerimiento de información radicado bajo el numero 18-26450- -10-1 del 10 de abril de 2019 Por la cual se dictan disposiciones generales del Hábeas Data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países”., “Por la cual se impone una sanción administrativa” "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un temero de manera lícita o ilícita y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación" Como se observa, el dato personal conlleva un componente (en mayor o menor medida) que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su Titular, lo cual, además, le brinda un grado tal de individualización que lo hace excluyente respecto de la Información recogida de personas distintas.

En otras palabras, el dato personal determina o permite determinar al titular del mismo a partir de su individualización. Para el presente caso, es preciso señalar que, el correo electrónico como servicio de red que permite recibir y enviar mensajes a través de sistemas de comunicación electrónica, requiere para su funcionamiento, que el mismo se dirija a un destinatario para cumplir con su finalidad comunicativa, esto es, debe remitirse a una persona o institución específica.

Este destinatario es entonces el dueño o administrador de la cuenta de correo pues es él quien tiene acceso a la misma y puede verificar el contenido del mensaje de datos. Precisado lo anterior, en el caso concreto quedó evidenciado que la sociedad CREDIVALORESCREDISERVICIOS S.A. remitió los extractos de la tarjeta de crédito de la señora XXXXXXX XXXXXXX al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx., dirección de correo del cual la denunciante manifestó nunca haber suministrado a la sociedad.

Además, el mensaje enviado "Extracto Credivalores Crediuno" fue efectivamente entregado al tercero no autorizado, en razón a que éste fue quien remitió los correos a la denunciante. Igualmente, la sociedad investigada confirmó que había enviado comunicaciones a un correo diferente al establecido por la Titular debido a un cruce en las bases de datos.

En igual sentido, al haberse abstenido de dar respuesta a los requerimientos de esta Dirección, tampoco aportó documentos donde consten la implementación de procesos para una adecuada administración de datos personales, situación que se suma al hecho de que la sociedad CREDIVALORES- CREDISERVICIOS S.A. no detectó a tiempo la falla de seguridad, en este caso, remitir el "Extracto Credivalores Crediuno" a una persona distinta de la Titular, ni mucho menos que haya mitigado el riesgo asociado a que ese tercero conociera la información del Titular.

Sobre los hechos investigados en este caso, la sociedad CREDIVALORES- CREDISERVICIOS S.A., manifestó que “debido a un cruce en nuestras bases de datos se datos originaron envíos de comunicaciones a un correo diferente al establecido por usted”, como se cita a continuación:, “Por la cual se impone una sanción administrativa” Así las cosas, esta Dirección aprecia la anterior afirmación como una aceptación del envío de información personal de la denunciante a una dirección electrónica que no fue suministrada por ella y sobre la cual no autorizó envío de información personal.

Por esta razón, en este caso se censura las condiciones de seguridad de la información tratada por la sociedad CREDIVALORESCREDISERVICIOS S.A., que como Responsable debe garantizar que la información sujeta a tratamiento, la maneja bajo estrictas medidas de seguridad con el fin de evitar adulteración, pérdida, consulta, uso o acceso no autorizado fraudulento.

El reproche de esta Dirección recae en el actuar negligente de la sociedad CREDIVALORESCREDISERVICIOS S.A, pues en primer lugar, el 17 de octubre de 2017 remitió información personal de la denunciante a un correo electrónico de un tercero no autorizado; en segundo lugar, el 26 de octubre de 2017 le informó que actualizaron los datos en el sistema y el 11 de diciembre de 2017 afirmó que por un cruce en las bases de datos enviaron la información a un correo diferente y que procedieron a la actualización; y, en tercer lugar, a pesar de conocer que existía un cruce en la base de datos y supuestamente hicieron la actualización, el 16 de enero de 2018 remitió nuevamente información personal a correo electrónico no autorizado.

En este orden, queda probado la falta de control y adopción de las medidas de seguridad para proteger los datos personales tratados bajo la administración de la sociedad investigada, por cuanto, conociendo que a causa del error en la base de datos se remitió el “Extracto Credivalores Crediuno” de la denunciante al correo electrónico de un tercero no autorizado, por consiguiente persistió en el error, sin proceder a adoptar medidas eficientes para garantizar el cumplimiento de este deber.

Por todo lo anteriormente expuesto, a juicio de esta Dirección la sociedad CREDIVALORESCREDISERVICIOS S.A. incumplió el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, contenido en el literal d) del artículo 17 de la Ley 1581 de 2012.

Razón por la cual, se impondrá la sanción pecuniaria de CIENTO SETENTA Y CINCO MILLONES QUINIENTOS CUARENTA Y DOS MIL QUINIENTOS DIEZ PESOS M/CTE ($175.542.510), equivalente a 4930 (UVT) Unidad de Valor Tributario. 8.2.5. Del deber de tramitar las consultas formuladas en los términos señalados en la presente ley., “Por la cual se impone una sanción administrativa” El artículo 14 de Ley 1581 de 2012, establece el término máximo con el que cuentan los Responsables y Encargados del tratamiento para atender las consultas que ante estos se presentan y la forma cómo deben hacerlo, así: “Artículo 14.

Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

PARÁGRAFO. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal.” El literal j) del artículo 17 de la Ley 1581 de 2012, establece que uno de los deberes de los responsables del Tratamiento es “tramitar las consultas y reclamos formulados en los términos señalados en la presente ley” A su vez, el literal e) del artículo 4 de la ley 1581 de 2012, indica como uno de los Principios para el Tratamiento de Datos Personales, es el Principio de transparencia, el cual consiste en que “el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan” Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la sentencia C-748 de 2011 cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, se manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargados del tratamiento señalando Io siguiente: "Este artículo regula un procedimiento similar al que contempla el artículo 16, ll, numerales 112 y 3 de la Ley 1266 de 2008, hallado exequible por Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transportar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del hábeas data.” De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del Tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de hábeas data.

Al respecto, se debe traer a colación el siguiente aparte de la Sentencia C-748 de 2011, que reza: "En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están abogados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.”, “Por la cual se impone una sanción administrativa” Por tanto, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las solicitudes de los titulares, sin dilaciones ni atrasos y especialmente, de manera completa y de fondo.

En el particular, observa este Despacho que la Titular XXXXXXX XXXXXXX XXXXXXXX, manifestó en los hechos de la denuncia lo siguiente: “(…)

CUARTO: (…) envíe (sic) una petición mediante la página web www.credivalores.com/Servicio al Cliente/ContáctenosSQL, solicitando información de los datos y correos que tienen en referencia con mi información.

QUINTO: (…) el día Veintiséis (26) de Octubre recibí mediante correo electrónico respuesta con radicado No. 2693599 donde me manifestaron que los datos habían sido actualizados, pero no dieron respuesta a lo que realmente se había solicitado.

SEPTIMO: El día 9 de diciembre realizo un derecho de petición solicitando lo siguiente: 1. (…) de que (sic) fuente adquirieron datos de otras personas para suministrar mi información relacionada con los servicios que tengo con ustedes”.

OCTAVO: En ninguna de las respuestas se cumple con la primer (sic) solicitud (…)”17 (negrita adicionada) Frente a este cargo se encontraron las siguientes evidencias aportadas con la denuncia, así: 1. Derecho de petición del 18 de octubre de 2017, presentado por la señora XXXXXXX XXXXXXX, através de la página “www.credivalores.com/ServicioalCliente/ContàctenosSQL”, mediante el cual solicitó a la sociedad investigada: “(…) necesito que me envíen una copia de los datos y correos PERSONALES que tienen ya que le llegó un extracto a una persona que no tengo contacto hace años.

(…)”, como se evidencia a continuación: En respuesta a la citada petición, la sociedad CREDIVALORES-CREDISERVICIOS S.A., a través de comunicación de fecha 23 de octubre de 2017, manifestó lo que a continuación se indica: 17 Denuncia radicada bajo el número 18-026450- - 00000-000 del 19 de enero de 2018, “Por la cual se impone una sanción administrativa” “(…) con respecto a su solicitud del envió (sic) de sus datos personales que nos registra en nuestro sistema, le informamos que no es posible cumplir con su requerimiento ya que se debe validad unas políticas de seguridad que no se pueden tramitar por este medio, motivo por el cual necesario que se comunique con nuestras líneas de atención al cliente para actualización de datos.”18 (negrita adicionada) Igualmente, para el 26 de octubre de 2017, la sociedad investigada emitió respuesta al radicado No. 2693599, donde le informó “(…) se procedió a realizar la actualización de sus datos personales en nuestro sistema (…).”, como se muestra a continuación: Imagen extraída prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 2.

Derecho de petición del 5 de diciembre de 2017, mediante el cual la señora XXXXXXX XXXXXXX, le manifestó a la sociedad investigada que: Pantallazo extraído de prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2, “Por la cual se impone una sanción administrativa” “CUARTO: (…), envìe (sic) una petición mediante la página web www.credivalores.com/Sevicio al Cliente/ContàctenosSQL, solicitando información de los datos y correos que tienen en referencia con mi información.

(…) (Negrita adicionada) El 12 de diciembre de 2017, la sociedad investigada le informó a la denunciante que el requerimiento No. 2726758 radicado el 09 de diciembre de 2017, fue resuelto como se cita a continuación: Imagen extraída prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 Por lo anterior, adjuntó la respuesta del 11 de diciembre de 2017, donde le informó “(…)Debido a un cruce en nuestras bases de datos se originaron envíos de comunicaciones a un correo diferente al establecido por usted, no obstante, se procedió a generar la respectiva actualización para que este tipo de situaciones no se vuelvan a presentar y toda comunicación sea enviada al correo xxxxxxxxxxxxxxxxxxxxxxxxxx.”, como se evidencia:, “Por la cual se impone una sanción administrativa” En este orden y de acuerdo con las piezas probatorias obrantes en el expediente, la solicitud de la señora XXXXXXX XXXXXXX XXXXXXXX estaba encaminada a obtener información de los datos y correos registrados en su cuenta o registro individual en las bases de datos administradas por dicha sociedad.

Pero la sociedad CREDIVALORES-CREDISERVICIOS S.A., no suministró tal información, dejando en evidencia su actuar negligente al evadir el objeto de la petición realizada por la Titular, restringiendo así, el principio de transparencia en el tratamiento de datos personales. Por lo anterior, se encuentra probado que la sociedad CREDIVALORES-CREDISERVICIOS S.A. respecto de la consulta realizada, no cumplió con el deber establecido en el literal j) del artículo 17, en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012, puesto que no suministró los datos y correos asociados a la denunciante en dicha sociedad, no tramitó de fondo la consulta.

Razón por la cual, se impondrá la sanción pecuniaria de VEINTIÚN MILLONES NOVECIENTOS TREINTA Y TRES MIL NOVECIENTOS DOCE PESOS M/CTE ($21.933.912), equivalente a 616 (UVT) Unidad de Valor Tributario. 8.2.6. Del deber de tramitar los reclamos formulados en los términos señalados en la presente ley. El artículo 15 de Ley 1581 de 2012, señala que el Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión pueden presentar un reclamo ante el Responsable y/o Encargado del tratamiento, quienes contarán con el término de quince (15) días hábiles para atenderlo, contados a partir de la fecha de recibo del mismo y plazo que podrá prorrogarlo por el término de ocho (8) días hábiles más, previa comunicación al reclamante.

El artículo 17 Ley 1581 de 2012, establece como uno de los deberes de los responsables del tratamiento, el “Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;” Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la Sentencia C-748 de 2011 cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, se manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargados del tratamiento señalando Io siguiente:, “Por la cual se impone una sanción administrativa” "Este artículo regula un procedimiento similar al que contempla el artículo 16, ll, numerales 112 y 3 de la Ley 1266 de 2008, hallado exequible por Corte en la sentencia C-1011 de 2008.

Al respecto, se debe traer a colación el siguiente aparte de la Sentencia C-748 de 2011, que reza: "En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están abogados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.” Por tanto, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las solicitudes de los titulares, sin dilaciones ni atrasos y especialmente, de manera completa y de fondo.

Respecto de este cargo, la señora XXXXXXX XXXXXXX XXXXXXXXX en la denuncia manifestó que: “(…) SEPTIMO (sic): El día 9 de diciembre realizo un derecho de petición solicitando lo siguiente: (…). 2. (…) solicito que dichos datos sean eliminados y suprimidos teniendo en cuenta que no corresponden a la suscrita.

OCTAVO: (…), no obstante el día Dieciseis (sic) (16) de Enero de Dos Mil Dieciocho (2.018) con extrañeza me fue informado que el extracto de la tarjeta había sido enviado nuevamente al correo xxxxxxxxxxxxxxxxxxxxxxxxxx, el cual reitero NUNCA suministré a la entidad. Me preocupa mucho que no tengo conocimiento de quien mas (sic) está recibiendo mi información privada.” (Negrita adicionada) Frente a este cargo, la señora XXXXXXX XXXXXXX aportó como prueba en la denuncia, el derecho de petición del 5 de diciembre de 2017 mediante el cual, le solicitó a la sociedad CREDIVALORESCREDISERVICIOS S.A., “(…) dichos datos sean eliminados y suprimidos teniendo en cuenta que no corresponden a la suscrita.” Al respecto, la sociedad investigada respondió el 11 de diciembre de 2017 19, así: “(…) nos permitimos reiterar la información enviada a su dirección de correo electrónico el pasado 26 de Octubre (sic) del presente año en el cual se procedió a realizar la actualización de sus datos personales (…).

Debido a un cruce en nuestras bases de datos se originaron envíos de comunicaciones a un correo diferente al establecido por usted, no obstante, se procedió a generar la respectiva actualización para que este tipo de situaciones no se vuelvan a presentar y toda comunicación sea enviada al correo xxxxxxxxxxxxxxxxxxxxxxxxxxxxx.” (Negrita adicionada) No obstante, a pesar de que la sociedad investigada sabía del error cometido y de informarle reiteradamente sobre la actualización de sus datos personales, nuevamente el 16 de enero de 2018 Copia respuesta aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2, “Por la cual se impone una sanción administrativa” envió el “Extracto Credivalores Crediuno” a una dirección distinta a la suministrada por la Titular, como se muestra a continuación: Imagen extraída prueba aportada en denuncia radicada bajo el número 18-26450-0 del 19 de enero de 2018 página 2 Es claro que el reclamo de la señora XXXXXXX XXXXXXX XXXXXXXX buscaba la eliminación de la dirección de correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxx para que no estuviera asociado a su información y no le fuera enviado el “Extracto Credivalores” a dicho correo no autorizado.

Pero, la sociedad investigada no brindó una respuesta congruente y eficaz al objetivo principal del reclamo. Por lo tanto, queda probado que la sociedad CREDIVALORES-CREDISERVICIOS S.A., no tramitó el reclamo de actualización y supresión de la información errada asociada a la denunciante contenida en sus bases de datos, por lo tanto, incumplió el deber establecido en el literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012.

Razón por la cual, se impondrá la sanción pecuniaria de VEINTIÚN MILLONES NOVECIENTOS TREINTA Y TRES MIL NOVECIENTOS DOCE PESOS M/CTE ($21.933.912), equivalente a 616 (UVT) Unidad de Valor Tributario. 8.2.7. Del deber cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. El artículo 17 de la Ley 1581 de 2012 señala los deberes que le asiste a los Responsables del tratamiento de información, entre ellos, determina el siguiente: “Artículo 17.

Deberes de los responsables del tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. Al respecto, la Corte Constitucional en Sentencia C-748 de de 2011se refirió así:, “Por la cual se impone una sanción administrativa” “El artículo 19 del proyecto de ley estatutaria regula la autoridad de protección de datos, y designa como tal a la Superintendencia de Industria y Comercio, a través de una Delegatura para la protección de datos personales, lo que implica la creación dentro de la estructura de la superintendencia, de un despacho para un Superintendente Delegado para ejercer las funciones de Autoridad de Protección de Datos, resultando claro que la protección de los datos personales requiere no solo de una regulación que consagre los principios que rigen el tratamiento del dato, los derechos de su titular, los deberes y responsabilidades de los sujetos que intervienen en su tratamiento, sea cual sea la denominación que éstos reciban, sino de un régimen sancionatorio expreso, como de una institucionalidad que permita un control y ámbito de garantía efectivo del derecho al hábeas data.

Las superintendencias, pese a que están en el ámbito de la rama ejecutiva del poder público y dependen del Presidente de la República poseen un carácter independiente y autónomo por tratarse de organismos técnicos con autonomía administrativa y obligados a satisfacer en ejercicio de sus competencias los principios que, en los términos del artículo 209 de la Constitucional, rigen la función administrativa, características éstas que garantizan el cumplimiento de los estándares internacionales fijados sobre las autoridades encargadas de la protección de datos.” Al respecto, la Coordinación del Grupo de Trabajo de Investigaciones requirió a la sociedad en referencia a través del oficio radicado bajo el número 18-26450- -10-1 el cual tal como consta en la guía de envío RA106857562CO - Certificado de Mensajería de Servicios Postales Nacionales S.A. 472 el día 12 de abril de 2019, en el cual, se solicitaba: 1.

De conformidad con los hechos narrados por la señora XXXXXXX XXXXXXX XXXXXXXX, quien manifiesta que los extractos de su tarjeta de crédito "CREDIUNO" habían sido enviados en dos oportunidades a la dirección de correo electrónico " xxxxxxxxxxxxxxxxxxxxxxxxxxxx" perteneciente a un tercero con quien no guarda relación. Indique que tipo de datos de la señora XXXXXXX XXXXXXXX figuran en los extractos remitidos a la dirección de correo electrónico el día 16 de enero de 2018. 2.

¿Cuenta con autorización expresa, previa e informada de la Titular XXXXXXX XXXXXXX XXXXXXXX, para la recolección y tratamiento de sus datos personales? Sírvase remitir copia de la misma. 3. Señale cuál es la finalidad de la recolección de la información personal de los Titulares. 4. Informar la razón por la cual se envió el extracto de la tarjeta de crédito de la señora XXXXXXX XXXXXXX XXXXXXXX al correo "xxxxxxxxxxxxxxxxxxxxxxxxxxxx". 5.

Indique cuál fue la respuesta dada por la sociedad CREDIVALORES CREDISERVICIOS S.A.S., al derecho de petición radicado por la señora XXXXXXX XXXXXXX XXXXXXXX a través de la página web "www.credivalores.com/ServicioalCliente/ContactenosSQL" por medio del formulario contáctenos. 6. Informe el motivo por el cual se continuó enviando información de la Titular al correo de un tercero "xxxxxxxxxxxxxxxxxxxxxxxxxxxx" el día 16 de enero de 2018. 7.

¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir a esta Superintendencia copia de las mismas. 8. Bajo qué políticas internas de seguridad conserva la información de los Titulares contenida en su base de datos, a fin de impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento.

Sírvase aportar copia de la misma. 9. De conformidad con el artículo 2.2.2.25.4.4 sección 4 º capítulo 25 del Decreto Único Reglamentario 1074 de 2015; ¿quién es la persona o área designada por el Responsable y Encargado que asuma la función de protección de datos personales, que dará trámite a las solicitudes de los Titulares, para el ejercicio de los derechos a que se refiere la Ley 1581 de 2012 y el decreto antes citado? 10.¿Cuáles son los canales habilitados al público y a los Titulares de la información para garantizar el cumplimiento de su derecho de Hábeas Data? Sin embargo, la sociedad CREDIVALORES-CREDISERVICIOS S.A., no suministró respuesta a este Despacho.

En el caso bajo examen se evidencia que la sociedad CREDIVALORES-CREDISERVICIOS S.A., no dio respuesta al requerimiento de información solicitado mediante oficio 18-26450- -10-1 del 10 de abril de 2019, entregado según guía de envió mencionado. Por lo tanto, se concluye que la sociedad investigada incumplió el deber de atender los requerimientos de esta Superintendencia, contenido en el literal o) del artículo 17 de la Ley 1581 de 2012.

NOVENO: Imposición y graduación de la sanción 9.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la misma ley, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 20.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND., “Por la cual se impone una sanción administrativa” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional21 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”22 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de hábeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de hábeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros23. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas., “Por la cual se impone una sanción administrativa” La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”24.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia25. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2326 de la misma ley.

Así mismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y E ncargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.”, “Por la cual se impone una sanción administrativa” 9.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: "En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad Implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.27 También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la sociedad investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Para el caso que nos ocupa, quedó demostrado que la sociedad CREDIVALORESCREDISERVICIOS S.A. vulneró los deberes contemplados en: i. El literal a) del artículo 17, en concordancia con el literal d) del 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.4 del Decreto Único Reglamentario 1074 de 2015, se demostró el actuar negligente de la investigada al no suprimir el dato asociado o vinculado a su registro individual o cuenta en la base de datos de la sociedad. ii.

El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que la sociedad no aportó copia de la respectiva autorización previa e informada de la Titular para el Tratamiento de la información. iii.

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, la sociedad no aportó prueba que diera cuenta que informó las Finalidades de la recolección a la Titular de la información. Ley 1581 de 2012 "Artículo 23 La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista al inc umplimiento que las originó, b) Suspensión de las actividades relacionadas con e/ Tratamiento hasta por un término de seis (6) meses.

En acto do Suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con Tratamiento una vez trans currido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de ja presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.", “Por la cual se impone una sanción administrativa” iv.

El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, la sociedad no adoptó las condiciones de seguridad necesarias para impedir el acceso y consulta no autorizados a la información de la Titular. v. El literal j) del artículo 17, en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012, la sociedad no tramitó de fondo la consulta formulada por la denunciante respecto de obtener información de los datos y correo electrónico asociados a su registro individual que dicha sociedad tiene bajo su custodia. vi.

El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012, la sociedad no tramitó de fondo la petición respecto de la supresión del dato errado a su información y actualización de datos personales. vii. El literal o) del artículo 17 de la Ley 1581 de 2012, en razón a que la sociedad no suministró respuesta al requerimiento de información que este Despacho le solicitó mediante oficio 1826450-10 del 10 de abril de 2019. 9.1.2 Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que dentro de la investigación realizada (i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción Investigativa de la Superintendencia y, (IV) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que el investigado no reconoció o aceptó la comisión de la infracción.

DÉCIMO: CONCLUSIÓN Una vez analizada toda la actuación administrativa y documentos que conforman el expediente se encuentra probado que la sociedad CREDIVALORES-CREDISERVICIOS S.A. incumplió su deber, por las siguientes razones: 1. No suprimió el dato errado asociado con la cuenta en la base de datos. 2. No aportó copia de la respectiva autorización previa e informada de la Titular para el Tratamiento de la información. 3.

No aportó prueba que diera cuenta que informó las Finalidades de la recolección a la Titular de la información. 4. No adoptó las condiciones de seguridad necesarias para impedir el acceso y consulta no autorizados a los datos personales de la denunciante. 5. No tramitó de fondo la consulta formulada por la denunciante respecto de obtener los datos y correo electrónico asociados a su registro individual que dicha sociedad tiene bajo su custodia. 6.

No tramitó de fondo la petición respecto de la supresión del dato errado a su información y actualización de datos personales. 7. No suministró respuesta al requerimiento de información solicitada por esta Superintendencia mediante oficio 18-26450- -10-1 del 10 de abril de 2019. Por lo anterior, este Despacho impone como sanción una multa de CUATROCIENTOS VEINTIÚN MILLONES TRESCIENTOS TREINTA Y SIETE MIL SEISCIENTOS TREINTA Y UN PESOS M/CTE ($421.337.631), equivalentes a 11833 (UVT) Unidad de valor Tributario, por su actuar negligente, generando la vulneración de los deberes establecidos en la Ley 1581 de 2012.

En mérito de lo expuesto este Despacho

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CREDIVALORESCREDISERVICIOS S.A., identificada con NIT 805.025.964-3 de CUATROCIENTOS VEINTIÚN MILLONES TRESCIENTOS TREINTA Y SIETE MIL SEISCIENTOS TREINTA Y UN PESOS M/CTE ($421.337.631), equivalente a 11833 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en:, “Por la cual se impone una sanción administrativa” i. El literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; ii.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad CREDIVALORES-CREDISERVICIOS S.A., identificada con Nit. 805.025.964-3, a través de su representante legal y/o apoderado, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXXXXXX, identificada con la C.C. XXXXXXXXXXXXX, el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 11 AGOSTO 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2020.08.12 12:33:17 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MGR Revisó: LMRZ Aprobó: CESM, “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Entidad: CREDIVALORES-CREDISERVICIOS S.A. Identificación: 805.025.964-3 Representante Legal: ELIANA ANDREA ERAZO RESTREPO Identificación: 52.189.858 Dirección: Carrera 7 #76-35 Piso 7 Ciudad: Bogotá D.C., Colombia Correo electrónico: impuestos@credivalores.com COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXX, X XXXXXXXXXXXXX, CalleXX C # XX-XX XXXX-XXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 46328 de 2020

CONSIDERANDO

RESUELVE