Sanción 891 de 2023 — SIC

REPÚBLICA DE COLOMBIA (23 ENERO 2023) “Por la cual se impone una sanción y se imparten órdenes” Radicación: 19-192334 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que, esta Dirección tuvo conocimiento, mediante el número de radicado 19-192334-0 del 26 de agosto de 2019, de la denuncia presentada por la Titular XXXXXXXXXX. XXXXXXX XXXXXXX identificada con cédula de ciudadanía número XXXXXXXX, en la que indica que la sociedad NEXO PLUSS S.A.S. “el pasado 17 de julio [recibió] una llamada al número celular registrado [a nombre de la titular] (XXXXXXXXX) de un agente de la empresa Nexo Pluss quien [le] indicó que (…) había salido favorecida para la adquisición de un obsequio (tarjeta) por parte de dicha empresa debido a [su] buen historial crediticio (recomendado por el éxito) (…) al escuchar que la tarjeta no tendría ningún costo [aceptó] el servicio (…) el 12 de agosto [recibió] el extracto de cobro de la tarjeta éxito es tuya por el valor de $50.560 en primer pago y una totalidad de $915.825 por la compra en línea de la tarjeta obsequio”.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por la Coordinación Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1. Mediante radicado número 19-192334-3 del 13 de diciembre de 2019, le requerimos a la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. para que informará “si el extracto de la tarjeta de crédito Éxito MasterCard a nombre de la señora XXXXXXXXXX XXXXXXX XXXX, identificada con cédula de ciudadanía número XXXXXXX, registra compra a nombre de la sociedad NEXO PLUSS S.A.S. el día 17 de julio de 2019”. 2.2.

Por medio del radicado número 19-192334-4 del 13 de diciembre de 2019 le requerimos a la sociedad ALMACENES ÉXITO S.A. para que resolviera los siguientes interrogantes: “(…) 1. Informe ¿cuál es el vínculo contractual que existe entre NEXO PLUSS S.A.S. y ALMACENES ÉXITO S.A.? 2. Informe si ha suscrito contratos o convenios e virtud de los cuales comparta información personal almacenada en sus bases de datos y/o archivos con la sociedad NEXO PLUSS S.A.S. En caso de que la respuesta al anterior requerimiento sea positiva, remita los soportes correspondientes. 3.

Señale qué tipo de información personal (v.gr. correo electrónico, dirección, teléfono, etc.) de la Titular XXXXXXXXXX XXXXXXX XXXXse encuentra almacenada en su base de datos. 4. Remita copia de la autorización otorgada por la Titular XXXXXXXXXX XXXXXXX XXXX para el tratamiento de sus datos personales. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 2 5.

Remita copia de la autorización previa y expresa otorgada por la Titular XXXXX. VERSIÓN RESERVADA XXXXX XXXXXXX X para que sus datos personales sea compartidos por ALMACENES ÉXITO S.A. con otras sociedades o personas naturales. 6. Informe si ALMACENES ÉXITO S.A. compartió datos personales de la señora XXXXXXXXXX XXXXXXX XXXX a la sociedad NEXO PLUSS S.A.S. 2.3.

Que mediante el radicado número 19-192334-5 del 13 de diciembre de 2019 le requerimos a la sociedad NEXO PLUSS S.A.S. lo siguiente: “(…) 1. Informe cuál es el vínculo contractual que existe entre NEXO PLUSS S.A.S. y ALMACENES ÉXITO S.A. 2. ¿Cuáles son los mecanismos implementados por la organización para la recolección y/u obtención de la información personal de los Titulares almacenada en sus bases de datos? 3.

Señale qué tipo de información (correos electrónicos personales y/o corporativos, direcciones de domicilio, nombre, números telefónicos, etc.) se encuentra almacenada en su base de datos. Frente a lo anterior, adicionalmente informe qué datos personales (número de cédula, teléfono, tarjeta de crédito, dirección, correo electrónico y/o demás datos particulares que tenga consignados de la señora XXXXXXXXXX XXXXXXX X se encuentran almacenados en su(s) base(s) de datos(s). 4.

¿Cuál fue el mecanismo implementado por la organización para la recolección de los datos personales de la señora XXXXXXXXXX XXXXXXX XXXX? 5. En los términos del artículo 9 de la Ley 1581 de 2012, ¿cuenta con la autorización expresa, previa e informada de la señora XXXXXXXXXX XXXXXXX XXXX para el tratamiento de sus datos personales? Acredite su respuesta. 6.

Informe si el 17 de julio de 2019, vía telefónica y a través de sus empleados, se comunicó con la señora XXXXXXXXXX XXXXXXX XXXX. De ser así, señale de qué número telefónico se comunicó y en casi de conservarla, remita copia de la grabación de llamada sostenida. 7. ¿Cuáles son las políticas y procedimientos implementados por la organización para la recolección, almacenamiento, uso, circulación y supresión de datos personales? Remita copia del manual en dónde se describan las mismas. 8.

¿Cuáles son las Políticas de Tratamiento de Datos Personales desarrolladas e implementadas por la organización? Sírvase remitir copia de las mismas. 9. ¿Cuáles son los canales que tiene habilitados la organización a través de los cuales los Titulares de la información pueden presentar peticiones, consultas y reclamos? 10. Remita copia del Manual de Políticas de Seguridad implementado por la organización. 11.

Aclare a este Despacho si el tratamiento que realiza a las bases de datos que tiene almacenadas lo hace en calidad de Responsable y/o Encargado. 12. Informe qué personas tienen acceso a las bases de datos de la organización y qué protocolos de seguridad tienen implementados para los funcionarios que realizan el manejo de las mismas. 13. Sírvase manifestar si cuenta con un manual o procedimiento para la atención de consultas y reclamos.

Remita copia del mismo. 14. Informe si la Titular XXXXXXXXXX XXXXXXX XXXX presentó ante ustedes alguna petición consulta o reclamo. (…)”. 2.4. Que mediante 19-192334-7 del 09 de enero de 2020, la sociedad ALMACENES ÉXITO S.A. dio respuesta a nuestro requerimiento así: “(…) En virtud del presente requerimiento, se procedió a consultar los sistemas de la compañía donde reposan los registros de los terceros que tienen alguna relación con “Por la cual se impone una sanción y se imparten órdenes” HOJA N 3 Almacenes Éxito S.A., y a partir de la mencionada consulta no se han hallado resultados VERSIÓN RESERVADA en la búsqueda de la sociedad ‘NEXO PLUSS S.A.S.’.

En consecuencia, se informa que la compañía no posee vínculo alguno con esta entidad y en consecuencia, no existe un contrato o convenio vigente con el tercero (…)”. 2.5. Que el 09 de enero de 2020, mediante radicado número 19-192334-8 la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. respondió a nuestro requerimiento de la siguiente manera: “(…) Para el caso concreto, nos permitimos informar que luego de realizar las respectivas validaciones encontramos que en la obligación de la señora Delgado, no se registró ninguna transacción a nombre de la sociedad Nexos Plus S.A.S. No obstante, si se aplicó en la obligación de la señora Custodia una transacción con fecha de realización el día 18 de julio de 2019, en el comercio PAGO DIGITAL COLOMBIA por valor de $890.000, la cual se reflejó en el extracto con fecha de corte 25 de julio de 2019 (…) No obstante, y teniendo en cuenta que la señora Delgado nos manifestó desconocer la transacción antes detallada, procedimos a realizaba la investigación respectiva, pudiéndose determinar que la misma era susceptible de ser reversada de manera definitiva de la obligación. En consecuencia, a la fecha la obligación registra cancelada y en saldo cero (…)”. 2.6.

Así, que el 07 de septiembre de 2020, mediante radicado número 19-192334-11 se requirió nuevamente a la COMPAÑIA DE FINANCIAMIENTO TUYA S.A. lo siguiente: “(…) 1. Informe si esa sociedad tiene algún tipo de vínculo contractual y/o comercial con la sociedad NEXO PLUSS S.A.S. Acredite su respuesta. 2. Informe si esa sociedad ha compartido datos personales de la reclamante a la sociedad NEXO PLUSS S.A.S. En caso de ser afirmativo, indique en cuáles casos lo hace. 3.

Acredite prueba de la autorización (previa, expresa e informada) otorgada por la reclamante para el Tratamiento de sus datos personales. 4. Aporte prueba mediante la cual se informe a la reclamante la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 5. Indique si la reclamante ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 6.

Informar las políticas internas de seguridad bajo las cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 7. ¿Cuál fue el mecanismo implementado por esa sociedad para la recolección de los datos personales del reclamante? 8. ¿Cuáles son las Políticas de Tratamiento de la Información implementadas por ustedes para el manejo de datos personales? Remita copia de las mismas. 9.

Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012. 10. Manifieste si ha tenido algún tipo de incidente de seguridad en los que se haya accedido sin su autorización a los datos tratados por la sociedad.

En caso afirmativo, indique y acredite si lo ha puesto en conocimiento de esta Superintendencia. 2.7. Que el 22 de septiembre de 2020 la COMPAÑIA DE FINANCIAMIENTO TUYA S.A. dio respuesta a nuestro requerimiento de la siguiente manera: “(…) 1. Nos permitimos informar que Compañía de Financiamiento Tuya S.A. no posee ningún vínculo contractual con la sociedad NEXO PLUSS S.A.S. Así mismo, vale la pena anotar que la señora Custodia había adquirido con nuestra Compañía un producto “Por la cual se impone una sanción y se imparten órdenes” HOJA N 4 franquiciado, esto es, Tarjeta Éxito Gold MasterCard; razón por la cual, una vez se VERSIÓN RESERVADA cumplan con los requisitos necesarios para la realización de las transacciones, las mismas son aplicadas en la obligación, sin que esto conlleve un vínculo contractual con los establecimientos de comercio.

No obstante, reiteramos que en la obligación de la señora Delgado no registra ninguna transacción del comercio NEXO PLUSS S.A.S. 2. Nos permitimos reiterar que Compañía de Financiamiento Tuya S.A. no posee a la fecha ninguna relación con la sociedad NEXO PLUSS S.A.S., por tal razón no se ha compartido información con dicho establecimiento de comercio. 3.

Para el caso concreto, nos permitimos aclarar que el Acuerdo de Apertura suscrito por la señora Delgado, establece la autorización para el manejo de la información personal suministrada. De acuerdo a lo anterior; nos permitimos remitir copia de la solicitud de crédito con el fin de que se pueda validar la autorización y los términos de la misma (…) 4.

Nos permitimos anexar a la presente respuesta, copia de la Solicitud de Crédito suscrita por la señora Delgado, la cual se detalla en el numeral anterior, en la cual se observa la autorización y finalidad que sería dada a la información suministrada. 5. Nos permitimos informar que a la fecha la señora Delgado, solo ha presentado ante nuestra Compañía una única reclamación, la cual fue radicada el 13 de agosto de 2018, y se dio respuesta mediante mensaje de texto (…) Así las cosas, reiteramos que la transacción cuestionada por la señora Custodia, correspondía al comercio “PAGO DIGITAL COLOMBIA BOGOTA BOG” por valor de $890.000, la cual fue reversada de manera definitiva dejando la obligación en saldo cero y cancelada.

Así mismo, se reitera que en la obligación no se registró ninguna transacción del comercio NEXO PLUSS S.A.S. 6. Nos permitimos remitir las políticas de seguridad de nuestra Compañía. 7. Nos permitimos informar que nuestra Compañía recolectó la información de la señora Delgado, mediante el proceso de vinculación y de suscripción de los documentos relativos al crédito solicitado el día 29 de noviembre de 2017.

De acuerdo a lo anterior, nos permitimos anexar copia de la solicitud de crédito que fue diligenciada y suscrita por la señora Custodia Delgado. 8. Nos permitimos remitir copia de las políticas para el tratamiento de la información, implementadas por Compañía de Financiamiento Tuya S.A. 9. Es importante mencionar que nuestra Compañía es una entidad vigilada por la Superintendencia Financiera de Colombia, por lo tanto, da cabal cumplimiento a la Circular Básica Jurídica (Circular Externa 029 de 2014) con lo establecido en sus capítulos “Canales, medios, seguridad y calidad en el manejo de información en la prestación de servicios financieros” y “Requerimientos mínimos para la gestión de la seguridad de la información y ciberseguridad”.

Así mismo, aplicamos la norma ISO 27001, PCI, CSF de NIST con el fin de velar por la seguridad en la información que reposa en las bases de datos de nuestra Compañía. Así las cosas, nos permitimos informar que todas las medidas de seguridad se encuentran consignadas en nuestra política general de seguridad de la información y ciberseguridad, la cual se anexa. 10.

A la fecha no se han presentado incidentes de seguridad en mi representada. (…)”. 2.8. Mediante radicado número 19-192334-14 del 04 de marzo de 2021 se requirió a la sociedad NEXO PLUSS S.A.S. para que respondiera lo siguiente: “(…) 1. Informen y acrediten la fecha y forma de recolección de los datos personales de la Titular XXXXXXXXXX XXXXXXX XXXX 2.

En los términos del artículo 9 de la Ley 1581 de 2012, informen si cuentan con la autorización previa, expresa e informada de la Titular XXXXXXXXXX XXXXXXX X para el tratamiento de sus datos personales. Acrediten su respuesta. 3. Informen y acrediten qué datos personales (v. gr. número telefónico, dirección de residencia, número de identificación, correo electrónico, entre otros) de la Titular “Por la cual se impone una sanción y se imparten órdenes” HOJA N 5 XXXXXXXXXX XXXXXXX XXXXse encuentran almacenados en su(s) base(s) de dato(s).

VERSIÓN RESERVADA 4. Indiquen a este Despacho si el 17 de julio de 2019, un empleado de la sociedad, vía telefónica se comunicó con la señora XXXXXXXXXX XXXXXXX XXXX. De ser así, indique el número telefónico desde el que se realizó la llamada y, en caso de conservar grabación de la misma, remitan a este una copia. 5. Informen a este Despacho la razón por la cuál, le fueron solicitados a la Titular XXXXXXXXXX XXXXXXX XXXXlos datos de la tarjeta de crédito, en la que posteriormente, le fue realizado un cargo sin su autorización. 6.

Informen si actualmente existe o existió convenio o contrato de transmisión o transferencia de datos personales entre la sociedad NEXO PLUSS S.A.S. y ALMACENES ÉXITO S.A. Acrediten su respuesta. 7. Informen si la sociedad ALMACENES ÉXITO S.A. transfirió o transmitió a la sociedad NEXO PLUSS S.A.S. datos personales de la Titular XXXXXXXXXX XXXXXXX XXXX.

En caso de que la respuesta al anterior interrogante sea afirmativa, les solicitamos: a. Informen específicamente qué datos personales de la señora XXXXXXXXXX XXXXXXX fueron transferidos o transmitidos. b. Remita copia o soporte de la autorización otorgada por la Titular XXXXXXXXXX XXXXXXX Y para compartir su información personal con terceros. 8.

Informen si actualmente existe o existió convenio o contrato de transmisión o transferencia de datos personales entre la sociedad NEXO PLUSS S.A.S. y la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. Acrediten su respuesta. 9. Informen si la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. transfirió o transmitió a la sociedad NEXO PLUSS S.A.S. datos personales de la Titular XXXXXXXXXX XXXX.

En caso de que la respuesta al anterior interrogante sea afirmativa, les solicitamos: a. Informen específicamente qué datos personales de la señora XXXXXXXXXX XXXXXXX fueron transferidos o transmitidos. b. Remita copia o soporte la autorización otorgada por la Titular XXXXXXXXXX XXXXXXX X para compartir su información personal con terceros. 10.

Remitan copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la sociedad. 11. Remitan copia del Manual de Seguridad desarrollado e implementado por la sociedad para el tratamiento de datos personales para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 12. Remitan copia del Manual para la atención de consultas y reclamos desarrollado e implementado por la sociedad. 13.

Aclaren y expliquen a este Despacho si el tratamiento de datos que realiza lo hace en calidad de Responsable y/o Encargado. En caso de contar con un Encargado del tratamiento de datos, sírvanse remitir los datos de identificación y contacto de este. 14. Informen si la Titular XXXXXXXXXX XXXXXXX XXX ha presentado alguna solicitud en los últimos seis (6) meses.

De ser así, informen el trámite interno que surtió la petición y allegue a este Despacho la respuesta al mismo con el respectivo soporte de envío y/o entrega al Titular de la Información. (…)”. 2.9. Que, el 18 de marzo de 2021, mediante radicado número 19-192334-15 la sociedad NEXO PLUSS S.A.S. dio respuesta a nuestro requerimiento de la siguiente manera: “1.

(…) Nuestros mecanismos y nuestras bases de datos son conseguidas en sitios web públicos como por ejemplo http://directoriotelefonico.info/ o, directorios telefónicos, y referidos de nuestros mismos clientes, por ende, es de aclarar que no poseíamos ningún dato privado de la señora XXXXXXXXXX XXXXXXX XXXX “Por la cual se impone una sanción y se imparten órdenes” HOJA N 6 2.

(…) Según lo mencionado en el artículo 9 de la Ley 1581 de 2012, y en cuanto a VERSIÓN RESERVADA políticas internas de NEXO PLUSS SAS para el manejo de la ley mencionada anteriormente SI, contamos con la autorización de la señora XXXXXXXXXX XXXXXXX XXXX la cual podrá verificarse en la grabación de la venta telefónica, esta autorización se encuentra en el minuto 10:54seg al minuto 11:15seg. 3.

(…) Damos a conocer los datos personales que la señora XXXXXXXXXX XXXXXXX XXXX nos brindó VOLUNTARIAMENTE en la llamada telefónica en el momento en que acepto la compra de la membresía, ya que nosotros no contábamos con dicha información; en la grabación podrán confirmar los datos suministrados a continuación: NOMBRE: XXXXXXXXXX XXXXXXX XXXX,XXXXXXX XXXXXXXX XXXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXXX XXXXXXXXX XXXXXXXX XXXXXXX XXXXXX. 4.

(…) Efectivamente el 17 de julio de 2019, una exempleada de nuestra compañía se comunico en aquella fecha con la señora XXXXXXXXXX XXXXXXX XXXX; en NEXO PLUSS SAS no contamos con un número de teléfono fijo ya que nuestra operación call center funciona bajo un suministro de telefonía IP y los números de salida son aleatorios, asignados por la troncal de comunicaciones de nuestro promovedor de telecomunicaciones, posteriormente se alojan las grabaciones de cada una de las ventas realizadas en nuestros servidores donde están custodiados con todas las medidas de seguridad, cuidando la protección de la información de nuestros clientes.

Adjuntamos a este comunicado la grabación de la llamada y venta realizada con plena autorización de la señora XXXXXXXXXX XXXXXXX XXXX. 5. (…) No es cierto que le fueron solicitados a la Titular XXXXXXXXXX XXXXXXX XXX los datos de la tarjeta de crédito y posteriormente haberle realizado un cobro a su tarjeta sin su autorización, por el contrario contamos con su plena autorización, y nunca se le vulnero al derecho del HABEAS DATA, no se vulnero a la intimidad, ni a su buen nombre, como lo estipula el Artículo 15 de la Constitución Política de Colombia, así las cosas, la información no solamente era suministrada voluntariamente, sino que también se le informo a la señora XXXXXXXXXX XXXXXXX XXXX previo a la aceptación en lo que esta iba a ser utilizada y la manera en que se procedería a hacer con ella, en todo momento la señora XXXXXXXXXX XXXXXXX XXXX, ACEPTO y suministro la información solicitada por nuestro agente comercial, de manera voluntaria comenzando por la dirección de residencia, nombres completos, número de tarjeta de crédito y fecha de vencimiento, siempre autorizando a nosotros NEXO PLUSS S.A.S., el descuento a realizarle, de la misma forma especificándole tanto en la venta como en la pos venta el valor total y las cuotas a pagar por la prestación de nuestro beneficios, adicional a esto nuestro proceso de venta y para reconfirmar la decisión y aceptación voluntaria por parte de nuestros clientes, contamos con una pasarla de pagos Colombiana llamada PagoDigital Colombia SAS por la cual se confirma y se realiza la transacción y donde nuestros clientes deben terminar el proceso de compra por sus propios medios con información privada de sus productos financieros como en este caso lo es, la información (código de seguridad y fecha de vencimiento) de las tarjetas de crédito, para finalizar la transacción se les transfiere la llamada a un sistema llamado IVR transaccional, donde allí el cliente debe ingresar estos datos (código de seguridad y fecha de vencimiento) por medio de su teclado telefónico a una máquina que le va pidiendo dicha información que solo el cliente y en este caso la señora XXXXXXXXXX XXXXXXX XXXX debió suministrar al sistema de manera voluntaria y secreta, ya que con su propia voz no pedimos que nos sean suministrados estos datos por seguridad de nuestros clientes como de notros mismos como compañía, posterior a esto, se comunican con la señora XXXXXXXXXX XXXXXXX XXXX un funcionario ajeno a nuestra operación asignado por parte de PagoDigital Colombia SAS para confirmar la transacción y aceptación final de la compra que va a realizar, ya que este es un tercer filtro que se realiza para la plena confirmación de la venta, cabe resaltar que PagoDigital Colombia SAS es una pasarela de pago certificada en estándares internacionales de seguridad, modulo antifraude, certificados de seguridad, estándares PCI DSS para el procesamiento de datos sensibles y todos los requisitos legales para que una empresa realice transacciones seguras con sus clientes; todo lo aquí descrito se le fue practicado a la señora XXXXXXXXXX XXXXXXX X y podrá constarse como prueba en la grabación de la venta adjunta a este comunicado. 6.

(…) NO existe o existió convenio o contrato de transmisión o transferencia de datos personales entre la nuestra sociedad NEXO PLUSS S.A.S. y ALMACENES, ya que nuestros mecanismos y nuestras bases de datos son conseguidas en sitios web públicos como por ejemplo http://directoriotelefonico.info/ o, directorios telefónicos, y referidos de nuestros mismos clientes.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 7 7. (…) a. la sociedad ALMACENES ÉXITO S.A. NO transfirió o transmitió a nuestra VERSIÓN RESERVADA sociedad NEXO PLUSS S.A.S. datos personales de la Titular XXXXXXXXXX XXXXXXX XXX ni datos personales de ningún cliente o persona. b. Adjuntamos copia de la grabación donde la señora XXXXXXXXXX XXXXXXX XXXX otorga autorización para tratamiento de tatos personales. 9.

(…) la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A NO transfirió o transmitió a nuestra sociedad NEXO PLUSS S.A.S. datos personales de la Titular XXXXXXXXXX XXXXXXX XXXX ni datos personales de ningún cliente o persona. 10. (…) Adjuntamos a este comunicado políticas empresariales (4 archivos) de NEXO PLUSS S.A.S. 11. (…) Adjuntamos a este comunicado políticas empresariales (4 archivos) de NEXO PLUSS S.A.S. 12.

(…) Adjuntamos a este comunicado políticas empresariales (4 archivos) de NEXO PLUSS S.A.S. 13. (…) Responsable. 14. (…) En los últimos 6 meses la señora XXXXXXXXXX XXXXXXX XXXX no ha presentado ninguna solicitud a NEXO PLUSS S.A.S., más sin embargo en nuestra página web www.nexopluss.com, disponemos de un espacio específicamente para informar la política de PQRS a nuestros consumidores, informando los canales de atención y conceptos de orientación para las peticiones que se deseen radicar; en NEXO PLUSS S.A.S reconocemos la importancia de mantener e informar los canales de comunicación, toda vez que, ello nos permite garantizar una mejor prestación del servicio, ser parte de la protección de los derechos de los consumidores y continuar siendo lideres competitivos; evidenciamos que el Estatuto del Consumidor, Ley 1480 de 2011 es una herramienta que nos permite a los proveedores y productores ser aún más competitivos al ofrecer un mejor servicio orientado a la protección de los derechos del consumidor, y para ello disponemos de diferentes canales como: Vía electrónica los consumidores podrán radicar los PQRS Vía correo electrónico: pqrs@nexopluss.com Vía física los consumidores podrán radicar los PQRS A la dirección física carrera 58 No. 97-30 oficina202 en la ciudad de Bogotá D.C. Vía telefónica los consumidores podrán radicar sus PQRS al teléfono: 7626233 A su vez, por los mismos canales podrán solicitar información sobre el estado de su petición, en los tres canales de comunicación, posterior a la recepción de la PQRS, se les dará por parte de NEXO PLUSS S.A.S., numero de radicado el cual facilitará el seguimiento de aquella.”

TERCERO: Que, con base en los hechos anotados, mediante la Resolución número 69585 del 27 de octubre de 2021, se inició una investigación y en consecuencia se formuló pliego de cargos en contra de la sociedad NEXO PLUSS S.A.S., por la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: I. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

II. El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. III. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el Artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015.

CUARTO: Que, la mencionada resolución le fue notificada mediante aviso número 27474 08 de noviembre de 2021 a la investigada, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia bajo radicado número 19-192334-23 del 10 de noviembre de 2021, para que se pronunciara sobre los hechos materia de investigación y aportara “Por la cual se impone una sanción y se imparten órdenes” HOJA N 8 y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que RESERVADA ejerciera a cabalidad su derechoVERSIÓN de defensa y contradicción.

QUINTO: Que, una vez vencido el término de quince (15) días hábiles, concedido en la Resolución número 69585 del 27 de octubre de 2021 a la sociedad NEXO PLUSS S.A.S., para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta guardó silencio.

SEXTO: Que mediante Resolución número 22618 del 25 de abril de 2022, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-192334, con el valor legal que les correspondiera, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Así las cosas, las pruebas incorporadas fueron las siguientes: 6.1. Queja junto con anexos, radicada bajo el número 19-192334-0 de fecha 26 de agosto de 2019. 6.2. Requerimiento de información a la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A el día 13 de diciembre de 2019 bajo el radicado número 19-192334-3. 6.3. Requerimiento de información a la sociedad ALMACENES ÉXITO S.A. a la quejosa el día 13 de diciembre de 2019 bajo el radicado número 19-192334-4. 6.4.

Requerimiento de información a la sociedad NEXO PLUSS S.A.S. a la quejosa el día 13 de diciembre de 2019 bajo el radicado número 19-192334-5. 6.5. Requerimiento a solicitante del día 13 de diciembre de 2019 bajo el radicado número 19192334-6. 6.6. Respuesta al requerimiento de información por parte de la sociedad ALMACENES ÉXITO S.A. junto con sus anexos, del día 09 de enero de 2020 bajo el radicado número 19-1923347. 6.7.

Respuesta al requerimiento de información por parte de la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. junto con sus anexos, de los días 09 y 10 de enero de 2020 bajo el radicado número 19-192334-8 y 19-192334-9, respectivamente. 6.8. Comunicación a la señora quejosa del 16 de enero de 2020 bajo el radicado número 19192334-10. 6.9. Requerimiento de información a la sociedad COMPAÑIA DE FINANCIAMIENTO TUYA S.A. del 07 de septiembre de 2021 bajo el radicado número 19-192334-11. 6.10.

Respuesta al requerimiento de información por parte de la sociedad COMPAÑIA DE FINANCIAMIENTO TUYA S.A. junto con anexos, del 21 y 22 de septiembre de 2020 bajo el radicado número 19-192334-12 y 19-192334-13, respectivamente. 6.11. Requerimiento de información a la sociedad NEXO PLUSS S.A.S. del 4 de marzo de 2021 bajo el radicado número 19-192334-14. 6.12.

Respuesta al requerimiento de información por parte de la sociedad NEXO PLUSS S.A.S., junto con sus anexos bajo el radicado número 19-192334-15 del 17 de marzo de 2021.

SEPTIMO: Que, la Resolución número 22618 del 25 de abril de 2022, le fue comunicada a la sociedad NEXO PLUSS S.A.S., el día 25 de abril de 2021 como se evidencia en la certificación expedida por la Secretaria General Ad- Hoc de esta Superintendencia, radicada bajo el número 19192334-27.

OCTAVO: Que la sociedad NEXO PLUSS S.A.S., una vez vencido el término de diez (10) días otorgado en la Resolución número 22618 del 25 de abril de 2022, para que presentara alegatos de conclusión, la sociedad guardo silenció. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 9 NOVENO: Competencia de la Superintendencia de Industria y Comercio VERSIÓN RESERVADA El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en: a) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. b) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. c) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el Artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada, así como el conjunto de pruebas que obran en el expediente. 10.2 Valoración probatoria y conclusiones 10.2.1 Respecto al deber de solicitar y conservar la autorización previa, expresa e informada del Titular para el tratamiento de sus datos personales Frente al cargo primero, esta dirección consideró que la investigada presuntamente había incumplido el deber de solicitar y conservar la autorización previa, expresa e informada del Titular para el tratamiento de sus datos personales, de acuerdo con lo previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, los cuales disponen lo siguiente: 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 10 Ley 1581 de 2012 VERSIÓN RESERVADA “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.

(…)

ARTÍCULO

9. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. (…)

ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;” Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.2 Autorización: El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

(…) Artículo 2.2.2.25.2.5 Prueba de la autorización: Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” Así mismo, respecto a las características que debe tener una autorización de tratamiento de datos personales la Corte Constitucional en la sentencia C.748 del 2011 indicó lo siguiente: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 11 En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el VERSIÓN RESERVADA legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( ) Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso.

El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo.

La obtención del consentimiento debe ser previa a la recolección de los datos. De este modo es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por cada uno de los Titulares que se encuentre en su(s) base(s) de datos o ficheros de información y debe informar cuáles datos serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 12 Ahora bien, en el caso en concreto, preliminarmente se encontró que la sociedad NEXO PLUSS VERSIÓN mediante RESERVADA S.A.S., fue requerida por este Despacho, el oficio con radicado número 19-192334-5 del 13 de diciembre de 2019, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal Calle 103 # 64-75 Int. 11 Apto 301, Bogotá D.C., tal como se evidencia en la guía de envío RA222747753CO, expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72): En razón a que el anterior requerimiento no fue atendido por la sociedad, a través del radicado número 19-192334-14 del 04 de marzo de 2021, enviado a la dirección electrónica que aparece registrada en el Certificado de existencia y Representación Legal gerencia@nexopluss.com; se requirió nuevamente a la sociedad, para que informara, entre otras cosas: “1.

Informen y acrediten la fecha y forma de recolección de los datos personales de la Titular XXXXXXXXXX XXXXXXX XXXX 2. En los términos del artículo 9 de la Ley 1581 de 2012, informen si cuentan con la autorización previa, expresa e informada de la Titular XXXXXXXXXX XXXXXXX XXXX para el tratamiento de sus datos personales. Acrediten su respuesta.

(…) 4. Indiquen a este Despacho si el 17 de julio de 2019, un empleado de la sociedad, vía telefónica se comunicó con la señora XXXXXXXXXX XXXXXXX XXXX De ser así, indique el número telefónico desde el que se realizó la llamada y, en caso de conservar grabación de la misma, remitan a este una copia.” Frente al anterior requerimiento, la sociedad NEXO PLUSS S.A.S., a través del radicado número 19-192334-15 del 17 de marzo de 2021, indicó que: “Aclaración: Nuestros mecanismos y nuestras bases de datos son conseguidas en sitios web públicos como por ejemplo http://directoriotelefonico.info/ o, directorios telefónicos, y referidos de nuestros mismos clientes, por ende, es de aclarar que no poseíamos ningún dato privado de la señora XXXXXXXXXX XXXXXXX XXXX.

(…) Aclaración: Según lo mencionado en el artículo 9 de la Ley 1581 de 2012, y en cuanto a políticas internas de NEXO PLUSS SAS para el manejo de la ley mencionada anteriormente SI, contamos con la autorización de la señora XXXXXXXXXX XXXXXXX XXXX la cual podrá verificarse en la grabación de la venta telefónica, esta autorización se encuentra en el minuto 10:54seg al minuto 11:15seg (…) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 13 Aclaración: Efectivamente el 17 de julio de 2019, una exempleada de nuestra compañía VERSIÓN RESERVADA se comunico en aquella fecha con la señora XXXXXXXXXX XXXXXXX XXX; en NEXO PLUSS SAS no contamos con un número de teléfono fijo ya que nuestra operación call center funciona bajo un suministro de telefonía IP y los números de salida son aleatorios, asignados por la troncal de comunicaciones de nuestro promovedor de telecomunicaciones, posteriormente se alojan las grabaciones de cada una de las ventas realizadas en nuestros servidores donde están custodiados con todas las medidas de seguridad, cuidando la protección de la información de nuestros clientes.

Adjuntamos a este comunicado la grabación de la llamada y venta realizada con plena autorización de la señora XXXXXXXXXX XXXXXXX XXXX ” Por lo anterior, esta Dirección preliminarmente encontró que la sociedad NEXO PLUSS S.A.S., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Por lo que, se inició la presente investigación administrativa mediante la expedición de la Resolución número 69585 del 27 de octubre de 2021, por medio de la cual se formularon TRES (3) cargos a la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8. Resolución que fue notificada mediante el aviso 27474 del 08 de noviembre de 2021 a la sociedad NEXO PLUSS S.A.S., según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 19-192334-23 del 10 de noviembre de 2021, y dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta guardo silencio.

Posterior a ello, mediante la Resolución número 22618 del 25 de abril de 2022, se incorporaron pruebas y se corrió traslado para alegatos de conclusión, la cual le fue comunicada a la sociedad NEXO PLUSS S.A.S., el día 25 de abril de 2021 como se evidencia en la certificación expedida por la Secretaria General Ad- Hoc de esta Superintendencia, radicada bajo el número 19-192334-27; pese a ello la sociedad, guardo silencio.

Ahora bien, una vez analizados los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra probado el actuar negligente de la investigada, al no demostrar que contaban con la autorización de la Titular XXXXXXXXXX XXXXXXX XXXX, previa a efectuar el tratamiento de sus datos personales con la llamada telefónica del 17 de julio de 2019; pese a que la sociedad manifiesta que;

“ (…) no contamos con un número de teléfono fijo ya que nuestra operación call center funciona bajo un suministro de telefonía IP y los números de salida son aleatorios, asignados por la troncal de comunicaciones de nuestro promovedor de telecomunicaciones,(…)”, es pertinente indicar que al realizar la llamada en mención, la sociedad ya se encontraba realizando tratamiento de los datos personales de la Titular, sin contar con la autorización previa de la Titular, así afirmaran no conocer la identidad de la persona con quien se estaban comunicando.

Siendo, así las cosas, se encuentra demostrado que la sociedad NEXO PLUSS S.A.S. infringió su deber como Responsable del Tratamiento de solicitar y conservar la autorización del Titular para el tratamiento de sus datos personales, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá la sanción correspondiente, así como una orden administrativa. 10.2.2 Respecto al deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos Frente al cargo segundo, esta dirección consideró que la investigada presuntamente había incumplido el deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, de acuerdo con lo previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 “Por la cual se impone una sanción y se imparten órdenes” HOJA N 14 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del VERSIÓN RESERVADA Decreto Único Reglamentario 1074 de 2015, que establecen lo siguiente: Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. (…)

ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;” Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.2 Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento.” (subrayado fuera del texto original) Ahora bien, en el caso en concreto, preliminarmente se encontró que la sociedad NEXO PLUSS S.A.S., fue requerida por este Despacho, mediante el oficio con radicado número 19-192334-5 del 13 de diciembre de 2019, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal Calle 103 # 64-75 Int. 11 Apto 301, Bogotá D.C., tal como se evidencia en la guía de envío RA222747753CO, expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72).

En los términos del artículo 9 de la Ley 1581 de 2012, informen si cuentan con la VERSIÓN RESERVADA autorización previa, expresa e informada de la Titular XXXXXXXXXX XXXXXXX XXXX para el tratamiento de sus datos personales. Acrediten su respuesta. (…) 4. Indiquen a este Despacho si el 17 de julio de 2019, un empleado de la sociedad, vía telefónica se comunicó con la señora XXXXXXXXXX XXXXXXX XXX.

De ser así, indique el número telefónico desde el que se realizó la llamada y, en caso de conservar grabación de la misma, remitan a este una copia. 5. Informen a este Despacho la razón por la cual, le fueron solicitados a la Titular XXXXXXXXXX XXXXXXX XXXX los datos de la tarjeta de crédito, en la que posteriormente, le fue realizado un cargo sin su autorización.” Frente al anterior requerimiento, la sociedad NEXO PLUSS S.A.S., a través del radicado número 19-192334-15 del 17 de marzo de 2021, indicó que: “Aclaración: Según lo mencionado en el artículo 9 de la Ley 1581 de 2012, y en cuanto a políticas internas de NEXO PLUSS SAS para el manejo de la ley mencionada anteriormente SI, contamos con la autorización de la señora XXXXXXXXXX XXXXXXX XXXXXX la cual podrá verificarse en la grabación de la venta telefónica, esta autorización se encuentra en el minuto 10:54seg al minuto 11:15seg (…) Aclaración: Efectivamente el 17 de julio de 2019, una exempleada de nuestra compañía se comunico en aquella fecha con la señora XXXXXXXXXX XXXXXXX XXX; en NEXO PLUSS SAS no contamos con un número de teléfono fijo ya que nuestra operación call center funciona bajo un suministro de telefonía IP y los números de salida son aleatorios, asignados por la troncal de comunicaciones de nuestro promovedor de telecomunicaciones, posteriormente se alojan las grabaciones de cada una de las ventas realizadas en nuestros servidores donde están custodiados con todas las medidas de seguridad, cuidando la protección de la información de nuestros clientes.

Adjuntamos a este comunicado la grabación de la llamada y venta realizada con plena autorización de la señora XXXXXXXXXX XXXXXXX XXXX (…) Aclaración: No es cierto que le fueron solicitados a la Titular XXXXXXXXXX XXXXXXX XXXXXXX los datos de la tarjeta de crédito y posteriormente haberle realizado un cobro a su tarjeta sin su autorización, por el contrario contamos con su plena autorización, y nunca se le vulnero al derecho del HABEAS DATA, no se vulnero a la intimidad, ni a su buen nombre, como lo estipula el Artículo 15 de la Constitución Política de Colombia, así las cosas, la información no solamente era suministrada voluntariamente, sino que también se le informo a la señora XXXXXXXXXX XXXXXXX XXXXX previo a la aceptación en lo que esta iba a ser utilizada y la manera en que se procedería a hacer con ella, en todo momento la señora XXXXXXXXXX XXXXXXX XXXX, ACEPTO y suministro la información solicitada por nuestro agente comercial, de manera voluntaria comenzando por la dirección de residencia, nombres completos, número de tarjeta de crédito y fecha de vencimiento, siempre autorizando a nosotros NEXO PLUSS S.A.S. (…)” Por lo anterior, esta Dirección preliminarmente encontró que la sociedad NEXO PLUSS S.A.S., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2.

Por lo que, se inició la presente investigación administrativa mediante la expedición de la Resolución número 69585 del 27 de octubre de 2021, por medio de la cual se formularon TRES (3) cargos a la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 16 Resolución que fue notificada mediante el aviso 27474 del 08 de noviembre de 2021 a la sociedad VERSIÓN NEXO PLUSS S.A.S., según consta en la RESERVADA certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 19-192334-23 del 10 de noviembre de 2021, y dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta guardo silencio.

Ahora bien, una vez analizados los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra probado el actuar negligente de la investigada, al evidenciar que la autorización para el tratamiento de los datos personales de la Titular fue obtenida durante la llamada telefónica del 17 de julio de 2019, lo cual genera que la misma no fue previa, informada y expresa; adicionalmente en dicha llamada no se le informó a la Titular las finalidades del tratamiento de sus datos personales, ni los derechos que le asisten en relación con sus datos, como se pudo evidenciar en la grabación aportada por LA INVESTIGADA, en el radicado número 19-192334-15 del 17 de marzo de 2021.

Finalmente, en lo que respecta a la afirmación de la sociedad NEXO PLUSS S.A.S. que: “(…) nunca se le vulnero al derecho del HABEAS DATA, no se vulnero a la intimidad, ni a su buen nombre, como lo estipula el Artículo 15 de la Constitución Política de Colombia, así las cosas, la información no solamente era suministrada voluntariamente, sino que también se le informo a la señora XXXXXXXXXX XXXXXXX XXXXXX previo a la aceptación en lo que esta iba a ser utilizada y la manera en que se procedería a hacer con ella, (…)”, como se mencionó en líneas anteriores, el deber de comunicar las finalidades del tratamiento, se debe realizar junto con la solicitud de autorización previa, expresa e informada, y dado que en el caso en particular la autorización para el tratamiento de los datos personales de la Titular se dio posterior al tratamiento efectuado con el acto de realizar la llamada telefónica del 17 de julio de 2019, es claro que no se cumplió con este deber.

Siendo, así las cosas, se encuentra demostrado que la sociedad NEXO PLUSS S.A.S. infringió su deber como Responsable del Tratamiento de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, de acuerdo con lo previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá una orden administrativa. 10.2.3 Respecto al deber de desarrollar e implementar un manual de procedimiento para la atención de consultas y reclamos Frente al cargo tercero, esta Dirección consideró que la investigada presuntamente había incumplido el deber de desarrollar e implementar un manual de procedimiento para la atención de consultas y reclamos, de conformidad con el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el Artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

Decreto Único Reglamentario 1074 de 2015 “Por la cual se impone una sanción y se imparten órdenes” HOJA N 17 “Artículo 2.2.2.26.2.4. Canales para ejercer derechos. Son los medios de recepción y RESERVADA atención de peticiones,VERSIÓN consultas y reclamos que el Responsable del Tratamiento y el Encargado del Tratamiento deben poner a disposición los Titulares de información, con los datos de contacto respectivos, por medio de los cuales titular puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir sus datos personajes contenidos en bases de datos y revocar la autorización que haya otorgado para el Tratamiento de los mismos, cuando esto sea posible.

Estos canales deben prever, por lo menos, la posibilidad de que el titular ejerza sus derechos a través del mismo medio por el cual fue recogida su información, dejando constancia de la recepción y trámite de la respectiva solicitud. En los casos en los que el Tratamiento de datos lo realice el Encargado, el Responsable del Tratamiento registrará la información de contacto del Encargado para que el titular pueda adelantar ante este el ejercicio de sus derechos, sin perjuicio de la posibilidad que tiene de acudir directamente al Responsable del Tratamiento.

(Subrayado y negrita adicionados) Ahora bien, en el caso en concreto, preliminarmente se encontró que la sociedad NEXO PLUSS S.A.S., fue requerida por este Despacho, mediante el oficio con radicado número 19-192334-5 del 13 de diciembre de 2019, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal Calle 103 # 64-75 Int. 11 Apto 301, Bogotá D.C., tal como se evidencia en la guía de envío RA222747753CO, expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72).

En razón a que el anterior requerimiento no fue atendido por la sociedad, a través del radicado número 19-192334-14 del 04 de marzo de 2021, enviado a la dirección electrónica que aparece registrada en el Certificado de existencia y Representación Legal gerencia@nexopluss.com; se requirió nuevamente a la sociedad, para que informara, entre otras cosas: “(…) 12.Remitan copia del Manual para la atención de consultas y reclamos desarrollado e implementado por la sociedad.” Frente al anterior requerimiento, la sociedad NEXO PLUSS S.A.S., a través del radicado número 19-192334-15 del 17 de marzo de 2021, indicó que: “Aclaración: Adjuntamos a este comunicado políticas empresariales (4 archivos) de NEXO PLUSS S.A.S.” Por lo anterior, esta Dirección preliminarmente encontró que la sociedad NEXO PLUSS S.A.S., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el Artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 18 Una vez analizados los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra RESERVADA probado el actuar negligente de VERSIÓN la investigada, puesto que en su escrito con radicado número 19192334-15 del 17 de marzo de 2021, no se aportó ningún documento que contuviese el manual interno de procedimiento para la atención de consultas y reclamos, tan solo aportaron los siguientes cuatro (4) documentos: (i) Manual de Procedimiento de Políticas de Seguridad de la Información. (ii) Política de Retracto de Nexo Pluss S.A.S. (iii) Política de Reversión de Nexo Pluss S.A.S. (iv) Política Tratamiento de la Información Nexo Pluss S.A.S. Ahora bien, pese a que en el documento de “POLÍTICA TRATAMIENTO DE LA INFORMACIÓN NEXO PLUSS S.A.S.”, trae en su página 8 un acápite titulado “9.

PROCEDIMIENTO PARA EJERCER SUS DERECHOS COMO TITULAR DE LOS DATOS. NEXO PLUSS S.A.S”, esto no excluye su deber como Responsables del Tratamiento de desarrollar e implementar un manual interno de procedimiento para la atención de consultas y reclamos. Por lo anterior, es pertinente señalar, que la Política de tratamiento de datos personales es un documento diferente a los manuales internos, en la medida en que la Política de tratamiento es un documento que debe ser puesto a disposición de los titulares y que debe tener el contenido mínimo establecido en previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; de otro lado, el manual interno de atención de consultas y reclamos, es un documento internos de la sociedad, que debe ser de conocimiento de sus trabajadores y el contenido depende de las medidas, mecanismos, procesos y/o procedimientos implementados por la sociedad para cada uno de los casos que pretenda regular.

De esta manera, esta Dirección encuentra probada la negligencia frente al cumplimiento del deber que ostenta la investigada en su calidad de Responsable del Tratamiento de adoptar un manual interno de políticas y procedimientos para la atención de consultas y reclamos; incumpliendo asì el deber consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el Artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015; vulnerando así el derecho fundamental de habeas data de todos los titulares cuyos datos personales obran bajo custodia de la investigada, razón por la cual se impondrá una sanción pecuniaria y una orden administrativa.

DÉCIMO PRIMERO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  Ordenar a la sociedad NEXO PLUSS S.A.S., que implemente un modelo de autorización y establezca el mecanismo que considere adecuado para solicitar la autorización previa, expresa e informada de los titulares con antelación a realizar el tratamiento de sus datos y conserve copia de la misma, lo anterior de acuerdo con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  Ordenar a la sociedad NEXO PLUSS S.A.S., que establezca los mecanismos necesarios para informar debidamente a los Titulares sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, de acuerdo con lo previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.  Ordenar a la sociedad NEXO PLUSS S.A.S., que documente e implemente manual interno de políticas y procedimientos para la atención de consultas y reclamos, de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el “Por la cual se impone una sanción y se imparten órdenes” HOJA N 19 artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015.

El mencionado VERSIÓN RESERVADAde sus trabajadores, especialmente los que documento debe ser puesto en conocimiento realicen o intervengan en el tratamiento de datos personales. La investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de TRES (3) meses siguientes a la ejecutoria de la presente decisión.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “El Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 2.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos 2 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 20 con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con VERSIÓN RESERVADA base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝐿𝑉 UVT vigente 2022 = Multa en UVT 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional3 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”4 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros5. 3 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 4 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 5 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 21 VERSIÓN de RESERVADA La imposición de sanciones por violación la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”6.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia7. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 238 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1.

Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses 6 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 8Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparten órdenes” HOJA N 22 VERSIÓN RESERVADA De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub-examine, quedó demostrado que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable al no cumplir con su deber de: (i) solicitar y conservar copia de la autorización previo al tratamiento de los datos personales; (ii) informar las finalidades específicas del tratamiento y los derechos de los titulares: y (iii) tener implementado y de conocimiento de sus trabajadores un manual de políticas y procedimientos para la atención de quejas y reclamos.

Conductas que afectaron de forma real y concreta el derecho fundamental de los titulares cuyos datos obran bajo custodia de la investigada, incumpliendo lo establecido en:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.  El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el Artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015.

En virtud de lo expuesto se procederá a aplicar contra la sociedad NEXO PLUSS S.A.S., la sanción establecida en el literal b) del artículo 23 de la Ley 1581 de 2012. La suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses contados a partir de la ejecutoria de la presente Resolución. Dentro del término establecido la sociedad deberá adoptar los correctivos establecidos en el artículo DÉCIMO PRIMERO de la parte motiva del presente acto administrativo.

DÉCIMO TERCERO: CONCLUSIONES Se procederá a imponer una sanción pecuniaria y una orden administrativa, por cuanto: (i) Se encontró demostrado que la sociedad NEXO PLUSS S.A.S., no acreditó haber solicitado y conservado la autorización previa, expresa e informada de la Titular XXXXXXXXXX XXXXXXX XXXXXXX, previo al tratamiento efectuado en la llamada del pasado del 17 de julio de 2019.

(ii) Se encontró demostrado que la sociedad NEXO PLUSS S.A.S., no informó la finalidad del tratamiento a la Titular XXXXXXXXXX XXXXXXX XXXXXXX. (iii) Se encontró demostrado que la sociedad NEXO PLUSS S.A.S., no tiene implementada un manual interno de políticas y procedimientos para la atención de consultas y reclamos. (iv) Que la sociedad no renueva su matricula mercantil, tampoco atendió ninguno de los requerimientos efectuado por esta Dirección en la etapa de indagación preliminar y tampoco ejerció sus derechos a lo largo de la presente investigación pues no presentó descargos ni alegatos de conclusión, en consecuencia y con el fin de garantizar la protección del derecho fundamental de habeas data se procede a imponer la sanción de suspensión de actividades por tres (3) meses, y dentro del término deberá adoptar los correctivos necesarios para dar cumplimiento con las disposiciones consagradas en la Ley 1581 de 2012.

(v) Se aclara que la Política de tratamiento de datos personales es un documento puesto a disposición de los titulares y con el contenido mínimo establecido en el Régimen General de Protección de Datos Personales, Ley 1581 de 2012 y en el Decreto Único Reglamentario 1074 de 2015 y la cual es diferente del manual interno de políticas y procedimientos para la atención de consultas y reclamos.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 23 DÉCIMO CUARTO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 señala que los principios RESERVADA sobre protección de datos seránVERSIÓN aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, de ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 2015.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución número 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 24 VERSIÓN RESERVADA En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad, señor XXXXX XXXXXX XXXXX XXXXXXXX, identificado con la cédula de ciudadanía número XXXXXXX para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de:  Evitar que se repitan hechos como los que dieron origen a la presente investigación.  Respetar y garantizar los derechos de los Titulares de los datos.  Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales.  Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida, confidencialidad y seguridad.  Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO QUINTO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad NEXO PLUSS S.A.S., con Número de Identificación Tributaria 830.081.263-8, esta Dirección concedió el acceso al presente Expediente digital a esta, por intermedio de su Representante legal vinculado al correo electrónico de notificación judicial de la sociedad gerencia@nexopluss.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO

ARTÍCULO PRIMERO: IMPONER una sanción de suspensión de las actividades relacionadas con el Tratamiento de datos personales a la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8, por un término de TRES (3) meses contados a partir de la ejecutoria de la presente Resolución.

PARÁGRAFO: Los correctivos que deber adoptar la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8,, serán los ordenados en el ARTÍCULO SEGUNDO de la parte resolutiva de la presente decisión.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8, cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de TRES (3) meses siguientes a la ejecutoria de la presente decisión. Las instrucciones son las siguientes:  Ordenar a la sociedad NEXO PLUSS S.A.S., que implemente un modelo de autorización y establezca el mecanismo que considere adecuado para solicitar la autorización previa, expresa e informada de los titulares con antelación a realizar el tratamiento de sus datos y conserve copia de la misma, lo anterior de acuerdo con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo “Por la cual se impone una sanción y se imparten órdenes” HOJA N 25 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo VERSIÓN RESERVADA 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  Ordenar a la sociedad NEXO PLUSS S.A.S., que establezca los mecanismos necesarios para informar debidamente a los Titulares sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, de acuerdo con lo previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.  Ordenar a la sociedad NEXO PLUSS S.A.S., que documente e implemente manual interno de políticas y procedimientos para la atención de consultas y reclamos, de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015.

El mencionado documento debe ser puesto en conocimiento de sus trabajadores, especialmente los que realicen o intervengan en el tratamiento de datos personales.

PARÁGRAFO PRIMERO: La sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.2638, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de la orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8, acreedora de las sanciones previstas en la Ley.

ARTÍCULO TERCERO: EXHORTAR al señor XXXXXXXXX XXXXXXXX XXXXXX XXXXX, identificado con la cédula de ciudadanía número XXXXXXX, en calidad de representante legal de la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad NEXO PLUSS S.A.S., identificada con el NIT. 830.081.263-8, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: COMUNICAR a la señora XXXXXX XXXXXX XXXXXX XXXXXX, identificada con cédula de ciudadanía número XXXXXXXX, el contenido de la presente decisión.

ARTÍCULO SEXTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co “Por la cual se impone una sanción y se imparten órdenes” HOJA N 26 - Sede Principal: Avenida Carrera 7 # 31ª -36 pisos 3 y 3ª, en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.VERSIÓN RESERVADA

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 23 ENERO 2023 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUNOZ MUNOZ Fecha: 2023.01.23 09:37:24 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Elaboró: DFCR Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: NEXO PLUSS S.A.S. Nit. 830.081.263-8 XXXXXXXX XXXXXX XXXXX XXXXXX XXXXXXXXXXXXXX Carrera 58 # 97-30 Ofc. 202 Bogotá D.C.- Colombia gerencia@nexopluss.com COMUNICACIÓN: Nombre: Identificación: Dirección: Municipio: Correo electrónico: XXXXXX XXXXXX XXXXXX XXXXX C.C. No. XXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX

Resolución sancionatoria N° 891 de 2023

CONSIDERANDO

ARTÍCULO

ARTÍCULO

ARTÍCULO

ARTÍCULO

RESUELVE

ARTÍCULO PRIMERO