(06 de septiembre de 2024) “Por la cual se impone una sanción”. Radicación 22-183501 LA DIRECTOR DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, y el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que en la Resolución 62704 del 29 de septiembre de 2021, expedida por la Dirección de Investigación de Protección de Datos Personales dentro del expediente de radicado 21-184386, se ordenó lo siguiente: “ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio.”
SEGUNDO: Que en la parte motiva de la Resolución 62704 del 29 de septiembre de 2021 expedida por la Dirección de Investigación de Protección de Datos Personales, se indicó lo siguiente: “(…) Respecto al deber de comunicar previamente al efectuar el reporte negativo ante los operadores de información (artículo 12 de la Ley 1266 de 2008). (…) En el caso bajo examen, la titular afirma que fue reportado negativamente en las bases de datos de los operadores de información sin haber recibido comunicación previa de conformidad con lo establecido en el artículo 12 de la Ley 1266 de 2008.
Por lo anterior, este Despacho mediante comunicación del día 30 de agosto de 2021 requirió́ a la sociedad UKUCELA S.A.S. para que se pronunciara sobre los hechos materia de la denuncia y aportara entre otros “Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma con el término establecido en el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009.
No obstante, la sociedad investigada no logró acreditar que cuenta con la autorización de la titular para enviar la comunicación previa por otro medio que no sea la dirección física, puesto que no allegó prueba conducente y pertinente que demuestra que cuenta con dicha autorización. Debe recordarse en este caso que la autorización para recibir la comunicación previa al reporte a la que se refiere el artículo 12 de la Ley 1266 de 2008 debe ser expresa y no genérica, que por tratarse de una garantía material del Habéas Data financiero, debe ser una autorización específica en la que el usuario comprenda a la perfección su implicación. En ese orden de ideas, y según lo establecido en el artículo 12 de la Ley 1266 de 2008 la fuente debe enviar una comunicación al titular antes de efectuar el reporte negativo con 20 días de anticipación a la última dirección “Por la cual se impone una sanción” registrada por la reclamante.
Dado que dicho requisito no se corrobora en el reporte de la obligación No. xxxxxxx-xxxxxxxxxx ante el operador Experian Colombia S.A., puede decirse que la sociedad UKUCELA S.A.S. no demostró́ el cumplimiento del deber contenido en la citada norma, por lo que se observa una presunta vulneración por parte de la misma al derecho fundamental de Habeas Data de la titular.
Por las razones señaladas, este Despacho encuentra que es procedente proteger el derecho fundamental de Habeas Data de la titular, ordenando a la sociedad UKUCELA S.A.S. para que realice las diligencias correspondientes ante el operador de información Experian Colombia S.A., para el retiro de la información negativa que hubiere reportado de la titular de la información con respecto a la obligación No. xxxxxxx-xxxxxxxxxx dejando los vectores de comportamiento sin información, teniendo en cuenta que dicha sociedad presuntamente no dio cumplimiento al deber establecido en el artículo 12 de la Ley 1266 de 2008(…)”.
TERCERO: Que, en las averiguaciones preliminares realizadas por esta Superintendencia, se tiene que el 3 de mayo de 2021, la Titular XXXXXXX XXXXXXX XXXXXXXXX XXXXX identificada con C.C. N° xxxxxxxxxxxxx, presentó denuncia radicada bajo el N°. 21-184386, contra la sociedad UKUCELA S.A.S. identificada con NIT. 901.101.944-1, por los siguientes hechos: “ (…) 1.
Manifiesta que se encuentra reportada de forma negativa ante los operadores de información, por parte de la sociedad UKUCELA S.A.S. a pesar de no realizar comunicación previa al reporte. 2. Indica que presentó reclamación ante la sociedad UKUCELA S.A.S. solicitando pruebas del envío de comunicación previa. Frente a lo cual, se otorgó respuesta indicando que no se había generado ningún reporte ante las centrales de riesgo y señalando que para efectos del artículo 12 de la Ley 1266 de 2008, la mencionada respuesta se constituía como aviso de mora para proceder con su reporte ante centrales de riesgo. 3.
Expresa que presentó nueva reclamación informando que el reporte generado ante los operadores de información existía y aclarando que el envío de la comunicación no puede ser posterior al reporte. Frente a lo cual, la sociedad investigada otorgó respuesta afirmando que no se había generado ningún reporte y que en su sistema se registraba un saldo a su favor. 4.
Que dado lo anterior, solicita la eliminación de la información negativa reportada a su nombre ante las centrales de riesgo, por parte de la sociedad UKUCELA S.A.S. y se imponga las sanciones correspondientes. 5. Allega copia de: 1. Reclamaciones presentadas ante la sociedad UKUCELA S.A.S., 2. Respuestas otorgadas por la sociedad investigada, 3.
Contrato de arrendamiento para comercio, y 4. Resultado de solicitud por parte de la empresa El LIBERTADOR. (…)”
CUARTO: Que, en ejercicio de las mencionadas averiguaciones preliminares, se recolectaron además los elementos materiales de prueba que se enlistan a continuación: 4.1. Por medio de Oficios 21-184386-3 y 21-184386-4 del 26 de mayo del 2021 se requirió de a los operadores de información CIFIN S.A.S., y EXPERIAN COLOMBIA S.A para que informaran lo siguiente: “(…) 1.
Fecha en la cual el acreedor originario efectuó por primera vez el reporte negativo. 2. Si en sus registros figura la dirección de notificación judicial, el número de identificación tributaria (NIT), la razón social completa y el nombre del representante legal de dicha sociedad. 3. Si la fuente que reporta es una persona jurídica o un establecimiento de comercio.
“Por la cual se impone una sanción” 4. En qué fecha la sociedad investigada realizó el reporte negativo del Titular. 5. La fecha en la cual se reportó el pago de la obligación. 6. El tiempo de permanencia del histórico de mora. 7. La fecha de actualización o eliminación de la información negativa si tal situación se ha presentado. 8. Si la fuente de información ha solicitado la inscripción de la leyenda "reclamo en trámite" y/o "reclamo en discusión judicial" indicando la permanencia de dicha leyenda. 9.
Cómo se aplicó la permanencia respecto de la obligación. 10. Si el reclamante ha presentado, en el transcurso del presente año, una o varias peticiones ante ustedes, en caso de ser afirmativa la respuesta, favor remitir copia(s) de la misma(s) con su respectiva respuesta. (…) 4.2. Por medio de oficios 21-184386-5 del 26 de mayo de 2021 y 21-184386-8 del 30 de agosto del 2021 se envió requerimientos de información dirigido a la sociedad UKUCELA S.A.S., para que informara lo siguiente: “(…) 1.
Acreditar la fecha exacta de exigibilidad de la obligación reportada. 2. Copia de la autorización de reporte previa y expresa otorgada por el titular de la información. 3. Copia del documento donde conste la existencia de la obligación a nombre del reclamante y/o relación comercial con éste. 4. Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma en el término establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009. 5.
Documento en el que se evidencie que informó al operador que el reporte "se encuentra en discusión por parte de su titular" en los términos del numeral 8 del artículo 8 de la Ley 1266 de 2008, en caso de que el reclamo se hubiese efectuado con posterioridad al 1 de julio de 2009. 6. Certificado de existencia y representación legal. 7. Cadena de cesión o endoso del crédito a su favor, en caso de que aplique. 8.
Respuesta a la reclamación presentada por el Titular junto con la guía que demuestre el envío de la misma. (…)” 4.3. Que el 3 de junio de 2021, el operador de la información CIFIN S.A.S., por intermedio de su representante legal, presentó respuesta radicada bajo el N°. 21-184386-6 frente al requerimiento de información del 25 de mayo de 2021 en los siguientes términos: “En atención a su comunicación radicada en nuestras oficinas el 25 de mayo de 2021, referente a la señora xxxxxxx xxxxxx xxxxxxxx xxxxx, identificada con la cédula No. xxxxxxxxxxxxx, le indicamos que la entidad UKUCELA S.A.S., no se encuentra afiliada a CIFIN S.A.S., en adelante TransUnion®, razón por la cual no hay ningún reporte efectuado por esta fuente” 4.4.
Que el 8 de junio de 2021, el operador de la información EXPERIAN COLOMBIA S.A., por intermedio de su representante legal, presentó respuesta radicada bajo el No. 21-184386-7 frente al requerimiento de información del 25 de mayo de 2021 en los siguientes términos: “(…) Respetada Doctora: “Por la cual se impone una sanción” De manera atenta, damos respuesta al requerimiento de la referencia recibido en Experian Colombia S.A. el día 25 de mayo de 2021, relacionado con el Titular de la Información, XXXXXXX XXXXXXX XXXXXXXXX XXXXX identificado(a) con Cédula de Ciudadanía No. xxxxxxxxxxxxx en contra de la sociedad UKUCELA S.A.S. A continuación, se realizan algunas aclaraciones respecto a la información contenida en la presente comunicación: (i) Información asociada sobre las obligaciones citadas en esta comunicación: Corresponde a los reportes positivos y/o negativos, y/o demás registros asociados a las obligaciones reportadas por la Fuente y que se visualizan en el sistema de información de Experian Colombia S.A. al 27 de mayo de 2021, fecha en la cual se realizó el análisis correspondiente para dar respuesta al requerimiento de la referencia. (ii) Fecha en que la Fuente cargó el reporte: Corresponde a la fecha en que la fuente realizó la última actualización de la obligación en un mes respectivo.
(iii) Visualización historia de crédito: Hace referencia al corte mensual en que se visualizaba la información de la(s) obligación(es) del Titular en la historia de crédito. (iv) Fecha de corte: Corresponde a la fecha del último estado reportado por la fuente en un mes específico. (v) Estado de la obligación: Reporte positivo o negativo registrado en la historia de crédito del Titular.
Así mismo, nos permitimos aclarar que las obligaciones mencionadas en la respuesta al requerimiento de la referencia corresponden a la información reportada por la Fuente de información en un corte mensual, independientemente de la fecha en que se presentó la queja por parte del Titular de la Información. OBLIGACIÓN: xxxxxxx-xxxxxxxxxx. Fecha del primer reporte negativo efectuado por el acreedor originario: La obligación no ha sido objeto de una solicitud de migración. 2.
Fecha en que la fuente realizó el reporte negativo del titular, fecha en la cual se reportó el pago de la obligación y fecha de actualización de la información negativa: (…) El tiempo de permanencia del histórico de mora: Según la mora presentada en esta obligación, correspondiente a 09 meses, se deberá dar cumplimiento al término de permanencia determinado por la Corte Constitucional en la Sentencia C – 1011 de 2008, equivalente al doble del tiempo que dicha obligación permaneció en mora.
En consecuencia, el dato histórico negativo se dejará de visualizar en la historia de crédito del Titular con corte a julio de 2022; siempre y cuando no incurra nuevamente en mora. 4. Fecha de eliminación de la Información negativa: La Fuente no ha solicitado la eliminación de la información negativa. 5. Reclamo: La Fuente no ha solicitado la inscripción de las leyendas “reclamo en trámite” y/o “información en discusión judicial” respecto de esta obligación. 6.
Peticiones presentadas por el Titular: En el transcurso del presente año, el Titular no ha presentado peticiones en las cuales haga referencia a la Fuente de información sobre la cual se adelanta la actuación administrativa indicada en el requerimiento de la referencia, a través de los siguientes canales autorizados por Experian Colombia S.A –DataCrédito-, a saber: Formulación de consultas y/o reclamos en los centros de atención y servicios – CAShabilitados por Experian Colombia S.A (DataCrédito). • Radicación de consultas y/o reclamos por escrito ante las oficinas de Experian Colombia S.A. (DataCrédito). • Presentación de reclamos vía web por nuestra página de internet www.datacredito.com (…)” 4.5.
Que el 21 de septiembre de 2021, la sociedad UKUCELA S.A.S., por intermedio de su representante legal, presentó respuesta radicada bajo el No. 21-184386-9 frente al requerimiento de información del 26 de mayo de 2021 en los siguientes términos: “(…) 1.- La fecha exacta de exigibilidad de la obligación fue de agosto 1 de 2020. 2 - Adjuntamos copia del contrato de arrendamiento, en donde consta la autorización expresa para reportar a centrales de riesgo. 3- Adjuntamos copia del contrato de arrendamiento en donde se evidencia la existencia de la obligación y la relación comercial con el cliente.
“Por la cual se impone una sanción” 4- Se adjunta copia del comunicado en el cual se informa el estado de la obligación con la empresa. 5- Adjuntamos copia del certificado de existencia y representación legal de la empresa. 6- Adicionalmente se adjunta copia de los acuerdos propuestos e incumplidos por la arrendataria sobre el pago del canon de arrendamiento.
Igualmente, vale la pena informarle que a la señora xxxxxxx xxxxxxx xxxxxxxxx se le hizo condonación de más de tres meses de canon de arrendamiento y se le hizo un descuento del 50% del mismo canon por los meses en que estuvo ocupando el inmueble y aún así, no pudo ponerse al día en los pagos sino hasta la entrega del mismo, acto que se realizó el día 17 de febrero del año 2021 y por el cual le quedaba un saldo a favor por valor de $7.850 el cual fue consignado a la cuenta del arrendatario.
De Igual manera, se le expidió paz y salvo por todo concepto quedando cancelada totalmente la relación comercial existente con la empresa.”
QUINTO: Que, a partir del análisis de las pruebas obrantes en el expediente, este Despacho evidenció preliminarmente que se habrían ejecutado conductas presuntamente trasgresoras de las normas sobre protección de datos personales y, por lo tanto, en ejercicio de la función establecida en el numeral 6 del artículo 17 de la Ley 1266 de 2008, inició una investigación administrativa a través de la Resolución 65389 del 22 de septiembre de 2022 en contra de la sociedad UKUCELA S.A.S. identificada con NIT. 901.101.944-1, en calidad de Fuente de Información y formulando cargo único por la presunta vulneración a las siguientes normas: i) El Numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la citada Ley y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.
En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.
SEXTO: Que la Resolución 65389 del 22 de septiembre de 2022 le fue comunicada al titular denunciante el 23 de septiembre de 2022 y notificada a la investigada mediante aviso Nº 25189 del 04 de octubre de 2022, según consta en la certificación expedida por la Secretaría General de esta Superintendencia con radicación número 22-183501- -8 del 05 de mayo de 2022.
SÉPTIMO: Que, transcurrido el término señalado para presentar descargos, la investigada guardó silencio.
OCTAVO: Que, mediante Resolución N° 12208 del 13 de marzo de 2023, esta Dirección ordenó la incorporación de pruebas allegadas a la presente actuación administrativa, y con base en ello, declaró agotada la etapa probatoria y ordenó correr traslado a la investigada por el término de diez (10) días hábiles para que rindiera los alegatos de conclusión. De esta manera, las pruebas incorporadas fueron las siguientes: 8.1 Resolución N°. 62704 del 29 de septiembre de 2021. 8.2 Queja presentada por la denunciante, junto con anexos, ante esta Superintendencia bajo el radicado número 21-184386-0 del 3 de mayo de 2021. 8.3 Requerimiento de información al Operador de información CIFIN S.A.S. bajo el radicado 21- 184386-3 del 25 de mayo de 2021. 8.4 Requerimiento de información al Operador de información EXPERIAN COLOMBIA S.A. bajo el radicado 21-184386-4 del 25 de mayo de 2021.
“Por la cual se impone una sanción” 8.5 Solicitud de explicaciones a la sociedad UKUCELA S.A.S. bajo el radicado 21184386-5 del 26 de mayo de 2021. 8.6 Respuesta al requerimiento de información por parte del Operador de información CIFIN S.A.S., bajo el radicado 21-184386-6 del 3 de junio de 2021. 8.7 Respuesta al requerimiento de información por parte del Operador de información EXPERIAN COLOMBIA S.A., bajo el radicado 21-184386-7 del 8 de junio de 2021. 8.8 Segundo requerimiento de solicitud de explicaciones a la sociedad UKUCELA S.A.S. bajo el radicado 21-184386-8 del 30 de agosto de 2021. 8.9 Respuesta, junto con anexos, por parte de la sociedad UKUCELA S.A.S. bajo el radicado 21- 184386-9 del 21 de septiembre de 2021.
NOVENO: Que, la Resolución N° 12208 del 13 de marzo de 2023 le fue comunicada a la investigada el 31 de marzo de 2023, de conformidad con la certificación radicada bajo el número 22-183501- -13 del 10 de abril de 2023 expedida por la Secretaría General de esta Superintendencia.
DÉCIMO: Que, transcurrido el término para presentar alegatos, la investigada guardó silencio nuevamente.
DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO SEGUNDO: Análisis del caso 12.1. Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) encuentra la Corte que el régimen sancionatorio previsto en los artículos 18 y 19 de la Ley de hábeas data respeta, de manera general, los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.
Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;
(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria. (…)” Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: a) El artículo 9º de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de la información respecto del debido tratamiento de los datos personales de los titulares.
El incumplimiento de tales deberes dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la misma norma. b) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta “Por la cual se impone una sanción” desplegada por la investigada se concreta en la posible vulneración de las siguientes normas: - El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si las conductas desplegadas por la investigada darán lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, argumentos esgrimidos en el escrito de alegatos de conclusión, y el material probatorio obrante en el expediente. 12.2.
Valoración probatoria y conclusiones 12.2.1. Respecto del deber de comunicar previamente al Titular que será reportado ante los Operadores de información El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015, establecen un deber especial para las Fuentes de la información respecto del deber comunicar previamente al Titular que será reportado ante los Operadores de información, en el siguiente sentido: Ley 1266 de 2008 “Artículo 8.
Deberes de las fuentes de la información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) 10. Los demás que se deriven de la Constitución o de la presente ley. ( ) Artículo 12. Requisitos especiales para fuentes.
Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Titulo III de la presente ley. El reporte de la información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los Operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de tercero países, solo procederá previa comunicación al Titular de la información, con el fin de que esta pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y ésta aún no haya sido resuelta”.
(Subrayado y negrita agregados) Decreto 1074 de 2015 (…) Artículo 2.2.2.28.2 Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la “Por la cual se impone una sanción” información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible.
Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente.
En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial”. (…)”. (Subrayado fuera del texto original) Justamente, la Corte Constitucional cuando estudió la constitucionalidad de la Ley 1266 de 2008, mediante sentencia C-1011 del 16 de octubre de 2008, con ponencia del Magistrado Dr. Jaime Córdoba Triviño, consideró sobre el particular lo siguiente: “El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la informaciónpuedaejercerlascompetenciasdeactualizaciónyrectificacióndelda to.
En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad.
La previsión de trámites de esta naturaleza, que facilitan la preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. Empero, debe la Corte acotar que esta instancia de control del dato por parte del titular de la información resulta predicable, no solo de los casos en que pueda acreditarse la ausencia de mora en el pago de la deuda, sino también en aquellos eventos en que lo que se pone en cuestión es la inexistencia de la obligación que da lugar al reporte sobre incumplimientoolaconcurrenciadecualquierotrofenómenoextintivodelamism a. En ese sentido, para la Sala es claro que lo dispuesto en el inciso segundo del artículo 12 del Proyecto de Ley es apenas un listado enunciativo, en ningún caso una fórmula taxativa, de las distintas causas que puede alegar el titular de la información para oponerse la incorporación del dato sobre incumplimiento en el archivo o banco de datos correspondiente.
La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.
Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5o del artículo 8o del Proyecto de Ley”. (Resaltado fuera del texto original) Además, en concordancia con las citadas normas se ha dispuesto en el literal b) del artículo 1.3.6 del Título V de la Circular Única de esta Superintendencia, respecto del deber de comunicar al titular de la información previamente al reporte, que: en los casos en que se utilicen otros mecanismos de remisión de la comunicación, se debe allegar prueba que acredite que la fuente acordó previamente con el titular un mecanismo diferente para informar sobre el eventual reporte negativo a efectuar”.
“Por la cual se impone una sanción” De esta manera, las fuentes de información, en caso de incumplimiento de las obligaciones adquiridas por parte del titular, podrán reportar la información negativa a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, únicamente cuando se haya enviado una comunicación al titular, con el fin de que este pueda ejercer el derecho de contradicción, realizar el pago de la obligación o refutar del monto de la obligación, cuota o la fecha de exigibilidad, o inclusive la existencia misma de esta.
Para el presente caso, esta Dirección, a través de la Resolución 65389 de 2022 “Por la cual se inicia una investigación administrativa y se formulan cargos”, encontró preliminarmente el incumplimiento de este deber por parte de la sociedad investigada, al encontrar lo siguiente: “(…) mediante requerimientos de información 21-184386-5 del 26 de mayo de 2021 y 21- 184386-8 del 30 de agosto del 2021 dirigido a la sociedad UKUCELA S.A.S., para que informara lo siguiente: ‘[…] Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma en el término establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009.
Este requerimiento fue contestado por UKUCELA S.A.S., a través de comunicación 21-184386-4 del 21 de septiembre de 2021 mediante la cual informó lo siguiente: “[…]Se adjunta copia del comunicado en el cual se informa el estado de la obligación con la empresa (…)” Para el presente caso, la sociedad investigada no allegó copia de la comunicación previa dirigida a la Titular XXXXXXX XXXXXXX XXXXXXXXX XXXXX en las condiciones que señala la norma, esto es, veinte días calendario antes de reportar la información negativa, en la última dirección de domicilio de la Titular registrada en los archivos de la sociedad.
Ahora bien, la sociedad Experian Colombia S.A., por medio de su comunicación informó, que en el mes de mayo del año 2020 la investigada reportó negativamente en el historial crediticio de la titular XXXXXX XXXXXX XXXXXXXXX XXXXX respecto de la obligación xxxxxxx-xxxxxxxxxx. En consecuencia, esta Dirección advierte una presunta transgresión por parte de la sociedad UKUCELA S.A.S, al deber que ostenta en su calidad de Fuente de enviar y/o dirigir comunicación previa, al reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza que efectúe en los Operadores de Información, al Titular de la información, conforme lo establece el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015”.
Al respecto, se ha señalado previamente que la investigada guardó silencio durante las dos oportunidades que tuvo para ejercer su derecho de defensa en virtud del artículo 47 y 48 de la ley 1437 de 2011, tanto para presentar escrito de descargos como de alegatos de conclusión. Por tal razón y actuando de conformidad con lo dispuesto en el artículo 241 del Código General del Proceso, esta Dirección podría concluir indiciariamente a partir de dicho comportamiento procesal que se encuentra demostrado el presente cargo, pues los argumentos expuestos por esta Dirección nunca fueron desvirtuados por la investigada.
Aunado a lo anterior, esta Dirección en un nuevo ejercicio de revisión del material probatorio logró evidenciar nuevamente el incumplimiento de la sociedad investigada a sus deberes como Fuente de la información al verificar que: “Por la cual se impone una sanción” 1. En efecto, el operador EXPERIAN COLOMBIA S.A. mediante oficio con radicación N°. 21-184386-7, respondió al 27 de mayo de 2021 lo siguiente frente al requerimiento de información del 25 de mayo de 2021 realizado por esta Superintendencia en relación con los reportes de información negativa de la investigada UKUCELA S.A.S. en contra de la titular XXXXXXX XXXXXXX XXXXXXXX XXXXX identificado(a) con Cédula de Ciudadanía N°.xxxxxxxxxxxxx: Respecto de la obligación xxxxxxx-xxxxxxxxxx, se observa que la sociedad investigada realizó reportes de información negativa en el historial crediticio de la titular desde el corte de mayo de 2020 a enero de 2021 y al 12 de octubre de 2021, fecha en la cual se solicitó que se eliminara la información ante el operador.
Con base en lo dispuesto en las normas previamente citadas que fundamentan el presenta cargo, se establece sin lugar a duda que la sociedad investigada debió remitir a la titular una comunicación previa con 20 días calendario de anticipación antes de realizar el primer reporte de información negativa, con el objeto de que pudiera demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
Sin embargo, cuando esta Superintendencia le solicitó a la investigada copia de la mencionada comunicación a través de requerimientos de información 21184386-5 del 26 de mayo de 2021 y 21-184386-8 del 30 de agosto del 2021, esta respondió a través de comunicación 21-184386-4 del 21 de septiembre de 2021 que: “Se adjunta copia del comunicado en el cual se informa el estado de la obligación con la empresa”1.
Al revisar la documentación aportada por la investigada, se observa que ninguno de los anexos remitidos obedece a una comunicación previa que cumpla con las características señaladas en las ya citadas normas, esto es, que fuera realmente anterior al reporte de información negativa, que se remitiera a la dirección autorizada por la titular para el efecto y que se contara con una guía de envío que acredite la remisión efectiva de la comunicación a la titular.
Las presuntas comunicaciones previas que la sociedad investigada remitió a la titular son las respuestas a unos derechos de petición para los meses de febrero y marzo de 2021 en los cuales indica que para esa época ya se habían eliminado los reportes de información negativa; pero nunca se le remite a la titular peticionaria ni a esta Superintendencia las comunicaciones previas que se echan de menos y cuyo incumplimiento es objeto de investigación. 2.
Al haber guardado silencio la sociedad investigada durante toda la actuación, se confirma el incumplimiento a sus deberes como Fuente de información frente al mencionado deber de remitir comunicación previa. El incumplimiento de dicho deber por parte de la investigada le impidió a la titular conocer del eventual reporte y proceder al pago o solicitar la rectificación del a información si fuera del caso.
De esta manera, y conforme a los deberes especiales atribuidos a la investigada en su calidad de fuente de la información establecidos en el artículo 12 de la Ley 1266 de 2008, debía agotar el requisito sine qua non de remitir la comunicación previa y esperar el plazo de veinte (20) días para efectuar la respectiva anotación, y con ello permitir al titular probar el pago de la obligación, o controvertir otros aspectos de la misma como se ha señalado previamente.
De acuerdo con lo expuesto, vale la pena traer a colación que el inciso segundo del artículo 2.2.2.28.2. del Decreto Único Reglamentario 1074 de 2015 el cual indica lo siguiente: Expediente electrónico, consecutivo número 0, página 2, folio 96 “Por la cual se impone una sanción” “(…) (l)as fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente”.
En consecuencia, es claro que el envío de la comunicación previa debe ser susceptible de una consulta posterior, lo que quiere decir que se requiere que la fuente conserve la respectiva evidencia del envío como de dicha comunicación. Sin embargo, este panorama no se evidencia en el caso particular, puesto que la investigada no aportó ninguna prueba que demuestre que se comunicó previamente al titular antes del reporte efectuado desde el mes de junio de 2020 al mes de enero de 2021, lo cual hace que dichos reportes fueran ilegales al no cumplir con el requisito previo referente a la comunicación mencionada.
En virtud de lo anterior, se observa el incumplimiento del deber mencionado al no haber copia de la mencionada comunicación previa; razón por la cual, se impondrá la correspondiente sanción.
DÉCIMO TERCERO: CONCLUSIONES La investigada, en su calidad de Fuente de la información, vulneró lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma Ley, al realizar reportes de información negativa del titular ininterrumpidamente ante el Operador EXPERIAN COLOMBIA S.A. desde el mes de junio de 2020 hasta el 12 de octubre de 2021, sin haber cumplido con el deber remitirle comunicación previa antes de realizarlos.
DÉCIMO CUARTO: RESPONSABILIDAD DE LOS ADMINISTRADORES SOBRE EL CUMPLIMIENTO DE LAS NORMAS ESTABLECIDAS EN LA LEY 1266 DE 2008 El artículo 19 A de la 1266 de 2008 (adicionado Ley 2157 de 2021) establece lo siguiente: “Artículo 19 A. Responsabilidad demostrada. Los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones establecidas en la Ley 1266 de 2008 Y sus normas reglamentarias, en una manera que sea proporcional a lo siguiente: 1. 2. 3. 4.
La naturaleza jurídica del operador, fuente y usuario de información y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. La naturaleza de los datos personales objeto del tratamiento. El tipo de tratamiento. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
Quienes efectúen el tratamiento de los datos personales deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir la presente ley”. Por lo tanto, en virtud del principio de responsabilidad demostrada los Operadores, Fuentes y Usuarios de la información deben adoptar medidas apropiadas y efectivas para el cabal cumplimiento de las exigencias de la Ley 1266 de 2008 y decretos reglamentarios.
Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son “Por la cual se impone una sanción” imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personales.
Es por eso por lo que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la Ley. Ahora bien, según el artículo 22 de la Ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de junta o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1266 de 2008 y cualquier otra norma. Es por ende que el artículo 23 de la mencionada Ley 222 establece que los administradores no solo deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, sino que en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
Obsérvese que la regulación no exige cualquier tipo de cumplimiento de la Ley, sino uno calificado, es decir, riguroso o ajustado con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la Ley requiere que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real (no formal), efectiva y rigurosa.
Por eso, los administradores deben cuidar con esmero este aspecto y no sólo ser guardianes sino promotores de la correcta y precisa aplicación de la Ley. Esto, desde luego, los obliga a verificar permanentemente si la Ley se está cumpliendo en todas las actividades que realiza su empresa u organización. Nótese que el artículo 24 de la Ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad demanda que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.
En este sentido, el artículo 19 B de la Ley 1266 de 2008 (adicionado Ley 2157 de 2021) señala: “Artículo 19 B. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 Y 4 del artículo anterior, las medidas efectivas y apropiadas implementadas por los operadores, fuentes y usuarios de información deberán garantizar: 1.
La existencia de una organización administrativa proporcional a la estructura y tamaño empresarial del operador, fuente y usuario de información para la adopción e implementación de políticas consistentes con la Ley 1266 de 2008. “Por la cual se impone una sanción” 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la: atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento. La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales por parte de los operadores, fuentes y usuarios de información será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley.
Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos.” (Resaltado fuera del texto). Por lo anterior, es claro que las fuentes y usuarios de información tienen el deber implementar, desarrollar y monitorear medidas efectivas para asegurarse de cumplir a cabalidad y con especial énfasis en el cumplimiento de los deberes de veracidad o calidad del dato y de acceder al historial crediticio de los titulares en virtud de una finalidad legitima.
Todo lo anterior pone de presente no sólo el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, sino el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de lo anterior, EXHORTAMOS a la sociedad UKUCELA S.A.S., identificada con NIT. 901.101.944-1, para que se adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: i. Evitar que se repitan hechos como los que dieron origen a la presente actuación. ii.
Respetar y garantizar los derechos de los Titulares de los datos. iii. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales, en los términos señalados en la Constitución, en la Ley 1266 de 2008 y sus disposiciones reglamentarias. iv. Aplicar el principio de responsabilidad demostrada, con especial énfasis en documentar e implementar procedimientos internos y mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios y deberes que rigen el tratamiento de datos personales, especialmente respecto de los deberes de veracidad o calidad del dato, de comunicar previamente al reporte negativo y de atención de consultas y reclamos.
DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 182. Esta potestad ARTÍCULO 18. Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de.carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. “Por la cual se impone una sanción” sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 23, 44 y 65 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo6.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”7 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.
El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional8. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.
En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos. ” Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.
(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);
Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).
Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al ConsumidorIPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.
“Por la cual se impone una sanción” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional9 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”10 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros11. La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción” de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.
Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”12.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia13. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 1814 de la misma.
Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.
Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción” Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios.
Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).
Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: se aplica a los supuestos de administración de datos prohibidos.
Criterios de graduación de las sanciones (Art. 19). En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción;
(iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”; (v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.
(…)15 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.
Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19). “Por la cual se impone una sanción” En el caso sub examine, con base en el citado literal a), esta Dirección evidencia que los cargos comprobados en contra de la sociedad UKUCELA S.A.S. afectaron de forma real y concreta los intereses jurídicos consagrados en la Ley 1268 de 2008 y sus normas complementarias, debido a que en su calidad de Fuente de la información, vulneró lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma Ley, al realizar reportes de información negativa del titular ininterrumpidamente ante el Operador EXPERIAN COLOMBIA S.A. desde el mes de junio de 2020 hasta el 12 de octubre de 2021 sin haber cumplido con el deber remitirle comunicación previa antes de realizarlos.
Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 18 de la Ley 1266 de 2008, modificada por el artículo 14 de la Ley 2157 del 2021, una multa de SESENTA Y CINCO (65) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a SIETE MIL QUINIENTOS CUARENTA (7.540) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a OCHENTA Y DOS MILLONES QUINIENTOS SETENTA MIL QUINIENTOS CUARENTA PESOS M/CTE ($82.570.540)16, por la vulneración a lo dispuesto en numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma Ley.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 15.1.2 Otros criterios de graduación Por un lado, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Por otro lado, no se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la sociedad investigada, no admitió la comisión de la infracción de los hechos materia de investigación.
DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad UKUCELA S.AS identificada con NIT. 901.101.944-1, al correo electrónico de notificación judicial ukucela@gmail.com quien deberá registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrán iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-183501. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción” En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad UKUCELA S.A.S con Número de Identificación Tributaria 901.101.944-1 de SESENTA Y CINCO (65) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a SIETE MIL QUINIENTOS CUARENTA (7.540) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a OCHENTA Y DOS MILLONES QUINIENTOS SETENTA MIL QUINIENTOS CUARENTA PESOS M/CTE ($82.570.540)17, por la vulneración a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma Ley.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta N°. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico N°. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: Notificar personalmente el contenido de la presente resolución a la sociedad UKUCELA S.A.S con Número de Identificación Tributaria 901.101.944-1, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 3: COMUNICAR el contenido de la presente decisión a la titular XXXXXX XXXXXX XXXXXXXXX XXXXX, identificada con cédula de ciudadanía xxxxxxxxxxxxx ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: Correo de la Superintendencia Comercio: contactenos@sic.gov.co de Industria y - Sede Principal: Carrera 7 N°. 31A - 36, Pisos 3 y 3A en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 06 de septiembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2024.09.06 13:28:37 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: DR Revisó: AC Aprobó: CG Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción” NOTIFICACIÓN Investigada: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: UKUCELA S.A.S. Nit. 901.101.944-1 RAFAEL GUSTAVO VALERO CANOA C.C. 7.543.969 CALLE 66 # 14 - 85 OFI 501 Bogotá D.C. ukucela@gmail.com COMUNICACIÓN Titular denunciante: Nombre: Identificación: Correo electrónico: XXXXXX XXXXXX XXXXXXXXX XXXX C.C. XXXXXX XXXXX XXXXXX XXXXXX XXXX