(25 de noviembre 2024) “Por la cual se resuelve un recurso de apelación” Radicado 22-166684 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022)
CONSIDERANDO
PRIMERO: Queja. Que el señor XXXXXX XXXXXXXX XXXXXXXX XXXXXXX, mediante oficio radicado con el número 20-337864-0 de fecha 14 de septiembre de 2020, presentó ante esta Superintendencia una queja en contra de ADCORE S.A.S., por la presunta vulneración de su derecho de Habeas Data, toda vez que la sociedad lo reportó negativamente ante los Operadores de información sin cumplir con lo establecido en la Ley.
SEGUNDO. Decisión Habeas Data. Que, de conformidad con la citada queja, la Dirección de Investigaciones de Protección de Datos Personales, mediante Resolución No. 25035 del 29 de abril de 2021, impartió a ADCORE S.A.S. la siguiente orden: “ARTÍCULO PRIMERO: Ordenar a la sociedad Adcore S.A.S., identificada con Nit. 900.966.455-8, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, adelante el procedimiento pertinente ante los operadores de Información Experian Colombia S.A. y Cifin S.A.S. para que en sus bases de datos se elimine toda la información reportada respecto a las obligaciones Nos. XXXXXX y XXXXXX, endilgadas a nombre del señor XXXXXX XXXXXXXX XXXXXXXX XXXXXXX, identificado con C.C No. XX.XXX.XXX, toda vez que la sociedad Adcore S.A.S., presuntamente incumplió los deberes contenidos en los numerales 1 y 5 del artículo 8 y el artículo 12 de la Ley 1266 de 2008.” Así mismo, a través del Grupo de Habeas Data, remitió la actuación para que el Grupo de Investigaciones Administrativas iniciara una actuación de carácter sancionatorio.
TERCERO. Apertura de la investigación administrativa y formulación del pliego de cargos. Que, con ocasión del traslado la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 25069 del 29 de abril de 2022, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en: (i) El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita;
(ii) El numeral 5 del artículo 8 de la Ley 1266 de 2008; (iii) El numeral 7 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 16 de la misma Ley; (iv) El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015; y (v) El numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el numeral 4 del artículo 16 de la misma Ley.
“Por la cual se resuelve un recurso de apelación”
CUARTO. Descargos. Que ADCORE S.A.S. a través de su representante legal, mediante oficio No. 22-166684-9 del 19 de mayo de 2022 presentó escrito de descargos con sus respectivos anexos.
QUINTO. Periodo probatorio. Que, mediante Resolución No. 70600 del 10 de octubre de 2022, la Dirección incorporó unas pruebas y trasladó a la sociedad para que, de encontrarlo pertinente, presentara los alegatos respectivos.
SEXTO. Alegatos de conclusión. Que a través del radicado 22-166684-15 del 25 de octubre de 2022 ADCORE S.A.S. presentó escrito de alegatos de conclusión.
SÉPTIMO. Decisión de primera instancia. Que, la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que ADCORE S.A.S. vulneró las normas contenidas en la Ley 1266 de 2008, en la medida en que reportó negativamente las obligaciones No. xxxxxx y No. xxxxxx sin acreditar ser el acreedor de las mismas ni contar con la autorización previa del titular, así como tampoco enviar la comunicación previa al reporte negativo; razón por la cual mediante Resolución No. 19949 del 23 de abril de 2024 resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ADCORE S.A.S. identificada con el Nit. 900.966.455-8 equivalente a TREINTA (30) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023, los cuales para el cálculo de la vigencia del año 2024 corresponden a TRES MIL CUATROCIENTOS OCHENTA (3.480) Unidades de Valor Básico – UVB, correspondientes a TREINTA Y OCHO MILLONES CIENTO NUEVE MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($38.109.480)33, por la vulneración a lo dispuesto en: i. El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita. ii.
El numeral 5 del artículo 8 de la Ley 1266 de 2008. iii. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. (…)
ARTÍCULO 2: IMPONER a la sociedad ADCORE S.A.S. identificada con el Nit. 900.966.455-8 la siguiente orden administrativa: • La sociedad ADCORE S.A.S. deberá acreditar la implementación un procedimiento para informar a los Operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial.”
OCTAVO. Oportunidad en la presentación de los recursos. Que, en virtud de lo dispuesto en el artículo 74 y siguientes del CPACA1, el recurso de reposición y en subsidio de apelación procede frente a los actos administrativos definitivos y se presentan ante quien expidió la decisión o ante su superior jerárquico, dentro de los diez (10) días siguientes a la notificación. Encontrándose dentro del término de ley, esto es el 14 de mayo de 2024, ADCORE S.A.S. (en adelante la RECURRENTE), a través de su representante legal, mediante escrito radicado con el número 22-166684-25, presentó recurso de reposición y en subsidio de apelación2 en contra de la decisión contenida en la Resolución No. 19949 del 23 de abril de 2024, cuyos argumentos principales, sobre los cuales se pronunciará el Despacho, son los siguientes: (i) Respecto de los cargos primero y segundo, los deberes de veracidad y autorización previa;
(ii) Respecto del Cargo Cuarto, frente al deber de comunicar previamente al reporte negativo; y (iii) Respecto del Cargo Quinto, del deber de informar al operador que la información se encuentra en discusión con el fin de que el operador incluya la respectiva leyenda. Ley 1437 del 18 de enero de 2011, Código De Procedimiento Administrativo Y De Lo Contencioso Administrativo – CPACA.
La Resolución No. 19949 del 23 de abril de 2024, fue notificada mediante aviso a la sociedad ADCORE S.A.S., el 3 de mayo de 2024. “Por la cual se resuelve un recurso de apelación”
NOVENO. Decisión del Recurso de Reposición. Que la Dirección, mediante Resolución No. 56509 del 26 de septiembre de 2024, resolvió el recurso de reposición interpuesto, modificando la sanción impuesta en la Resolución No. 19949 del 23 de abril de 2024, en el sentido de revocar las sanciones frente a los cargos primero y segundo y confirmando la sanción respecto del cargo cuarto.
DÉCIMO. Que de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 10.1. Competencia de la Delegatura para la Protección de Datos Personales para resolver el recurso de apelación. De conformidad con lo dispuesto en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), este Despacho es competente para pronunciarse sobre el recurso de apelación formulado por ADCORE S.A.S. en el asunto de la referencia. 10.2.
Motivación del Acto Administrativo. Con fundamento en los principios que regulan el trámite de las actuaciones administrativas sancionatorias3 corresponde a este Despacho pronunciarse respecto de cada uno de los argumentos presentados en el recurso de apelación4 presentado por ADCORE S.A.S., esto, con el fin de establecer sí, como lo sugiere la sociedad recurrente, se debe revocar la decisión proferida mediante Resolución No. 19949 del 23 de abril de 2024 en la medida en que la sociedad actuó conforme al marco normativo aplicable al realizar los reportes negativos de las obligaciones No. xxxxxx y No. xxxxxx.
Así mismo, de acuerdo con los principios de legalidad, tipicidad y proporcionalidad, como limitantes de la potestad sancionatoria de la administración, se verificará que respecto de la sanción impuesta se realizó el juicio de ponderación correspondiente para determinar que la misma es razonable y corresponde a la conducta reprochada. 10.3.
Del Recurso de Apelación: 10.3.1. Frente a los Cargos Primero y Segundo - Respecto del deber de veracidad y autorización previa. La RECURRENTE manifestó que cuenta con los documentos que la acreditan como el acreedor actual de la obligación, así mismo, que cuenta con la autorización previa del titular para reportarlo en las bases de datos de los operadores de información. Al respecto, se encuentra que la sociedad recurrente presentó argumentos y pruebas tendientes a desvirtuar el incumplimiento de los deberes de “Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable” y “ Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no ARTÍCULO 3o.
PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.
En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.
ARTÍCULO
80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso de apelación” suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la […] ley”, establecidos en los numerales 1 y 5 del artículo 8 de la Ley 1266 de 2008.
Frente a los mencionados deberes, este Despacho encuentra que la Dirección procedió a analizar lo expuesto por la sociedad recurrente y accedió a lo solicitando en el sentido de revocar las sanciones impuestas por el incumplimiento de los deberes establecidos en los numerales 1 y 5 del artículo 8 de la Ley 1266 de 2008, razón por la cual mediante Resolución No. 56509 del 2024 señaló lo siguiente: “Ahora bien, La sociedad ADCORE S.A.S. en su recurso de reposición y en subsidio de apelación reiteró los argumentos expuestos respecto de la trazabilidad de la cesión de las acreencias provenientes del banco Scotiabank.
Sin embargo, expuso ahora en el recurso, a diferencia de lo expuesto durante todo el trámite de primera instancia, que el día 15 de septiembre de 2019, fue notificada mediante la carta enviada por el Banco Scotiabank Colpatria al Representante Legal de la compañía que habían sido adjudicatarios del portafolio denominado “paquete 2”: En este sentido, afirmó la recurrente que el cuaderno de ventas mencionado en el punto anterior consistía en un archivo en Excel que hacía parte del material que el Banco Scotibank Colpatria enviaba a los oferentes con la información necesaria (sin identificar clientes y obligaciones) para la evaluación, valoración y presentación de oferta.
Un extracto de esa información se presentó por la recurrente mediante el siguiente pantallazo: Con base en lo anterior, afirmó la recurrente que luego de la adjudicación del mencionado “paquete 2” se protocolizó a través de contrato de compraventa y, que una vez firmado, se le entregó a ADCORE S.A.S. por parte del Banco Scotiabank Colpatria la base de datos completa de créditos para iniciar labor de cobro, y un tiempo después, la documentación ofrecida, pagaré endosado y los documentos de la carpeta del cliente.
Para demostrar lo anterior, la recurrente adjuntó la siguiente captura de pantalla: Por lo expuesto, concluyó la recurrente que del registro básico No. xxxxxx se logran asociar las obligaciones reportadas xxxxxx y xxxxxx. Con base en lo anterior, esta Dirección encuentra que las pruebas aportadas por la sociedad recurrente en su recurso de reposición permiten establecer una relación entre los reportes negativos de información realizados en contra del titular y la veracidad de la información que se echaba de menos en primera instancia. (…) “Por la cual se resuelve un recurso de apelación” En este sentido, frente a las capturas de pantalla aportadas se logra presumir la autenticidad de su contenido, así mismo, con base en el principio de buena fe es posible presumir que la información que contienen los pantallazos es verídica.
En consecuencia, con base en la información expuesta en el recurso y los medios probatorios allí contenidos, se logra establecer que la sociedad ADCORE S.A.S. sí cuenta con los soportes documentales que dan cuenta de su relación comercial con el Titular y que acreditan su calidad de acreedor referente a las obligaciones xxxxxx y xxxxxx. Por lo tanto, se ordenará en la parte resolutiva de esta decisión modificar la sanción, al encontrarse que no se encuentra vulnerado el cargo PRIMERO relacionado con el deber contenido en el numeral 1 del artículo 8 de la Ley 1266 de 2008.
(…) Ahora bien, en concordancia con los argumentos expuestos en el punto anterior, este Despacho encuentra que la entonces investigada remitió copia del formato de solicitud de tarjeta de crédito xxxxxxxxxxxxx diligenciado por el titular, en el cual se señala en el punto 11 lo siguiente: “(…) autorizo(amos) a CITIBANK-COLOMBIA S.A. para obtener y reportar a fuentes autorizadas información y referencias relativas a mi (nuestro) comportamiento comercial y crediticio, hábitos de pago, manejo de mi (nuestra) … tarjeta(s) de crédito y cumplimiento en mi(nuestras) obligaciones en general y para consultar en cualquier momento en la Asociación Bancaria Colombia y/o Datacrédito mi (nuestro) endeudamiento con el sistema financiero o cualquier otra entidad debidamente autorizada para el caso, y para que en caso de incumplimiento incorpore en los archivo de deudores morosos o con referencias negativas, llevadas por dichas entidades (…)”.
Esa autorización está vinculada con el tantas veces mencionado registro básico No. xxxxxx, a partir del cual se asocian las obligaciones reportadas No. xxxxxx y No. xxxxxx, lo cual se logró determinar gracias a la validez probatoria de las capturas de pantalla presentadas en el recurso de reposición, como se expuso con mayor precisión en el punto anterior.
En consecuencia, de conformidad con lo expuesto y en virtud de las pruebas aportadas junto con el recurso de reposición y en subsidio de apelación, en sede de reposición se pudo verificar que la sociedad recurrente cuenta con autorización del titular para reportar el comportamiento de las obligaciones xxxxxx y xxxxxx ante los Operadores de información. Por lo tanto, se ordenará en la parte resolutiva de esta decisión modificar la sanción, al encontrarse que no se encuentra vulnerado el cargo SEGUNDO relacionado con el deber contenido en el numeral 5 del artículo 8 de la Ley 1266 de 2008.” En consecuencia, teniendo claro que la Dirección, respecto de los cargos Primero y Segundo accedió favorablemente a las pretensiones de la RECURRENTE y concluyó que demostró cumplir con los deberes establecidos en los numerales 1 y 5 de la Ley 1266 de 2008, este Despacho no emitirá pronunciamientos adicionales al respecto.
“Por la cual se resuelve un recurso de apelación” 10.3.2. Frente al Cargo Cuarto - frente al deber de comunicar previamente al reporte negativo. De otro lado, la RECURRENTE indicó que: “1. ADCORE SAS adquiere el paquete numero 2, de los 12 ofertados en septiembre de 2019, de cartera castigada al Banco Scotiabank Colpatria que a su vez la había adquirido al Banco Citibank Colombia.
El contrato de compraventa de cartera se firma el 27 de septiembre de 2019. Como simple referencia, las tarjetas del señor Xxxxxx xxxxxxxx xxxxxxxxxx xxxxxxxx, que hace parte de este paquete, se expidieron el 21 de abril de 2010 y se castigaron en Julio 2011. 2. La cartera se entregó por parte del Banco Scotiabank Colpatria, según reza el contrato, libre de cualquier reclamación o sanción, es decir que si el señor xxxxxxxxxxxxxxx, durante casi 10 años, hizo reclamos por no recibir la notificación previa al reporte esta fue resuelta por el Banco a satisfacción. 3.
El texto del contrato de compraventa mencionado y firmado, incluye en la parte de Manifestaciones de las Partes el siguiente párrafo “Los créditos de acuerdo con lo informado por Citibank Colombia S.A., fueron otorgados de conformidad con la ley y corresponden a operaciones válidas, ciertas y que acatan las disposiciones legales que regulan la materia, obligaciones crediticias cuyo comportamiento se encuentra debidamente reportado en las centrales de riesgo y se han cumplido con las disposiciones respectivas en cuanto a tratamiento de datos personales y financieros establecidos en la ley 1581 de 2012, Decreto Reglamentario 1377 de 2013 y ley 1266 de 2008”.
Por lo anterior ADCORE SAS, contó previamente, de acuerdo con lo pactado en el contrato, con la legalidad seguida en el proceso del reporte negativo efectuado por el Banco Citibank Colombia de las obligaciones vendidas, en el sentido del que Banco comunico previamente a los clientes en mora dentro los plazos establecidos por la ley. Complementariamente, según se establece como condición de la venta, que, en el momento de esta, no había ninguna reclamación y/o sanción al respecto. 4.
Además, de que previamente por contrato se había certificado la legalidad del reporte negativo, ADCORE SAS, cuenta con copia de la comunicación remitida por el Banco ScotiabankColpatria a la dirección registrada por el cliente en la solicitud de tarjeta de crédito, donde se le notifica previamente al Sr xxxxxxxxxxx del reporte negativo que será efectuado a las centrales de información por cada una de las tarjetas de crédito.
Esta notificación se hizo formalmente en una carta anexa a los extractos mensuales. Adicionalmente, estos extractos y comunicaciones podían ser consultados a través de la página del Banco.” Así mismo, aportó las siguientes capturas de pantalla: “Por la cual se resuelve un recurso de apelación” Para poder pronunciarnos sobre lo expuesto, es menester mencionar cuál es la obligación de las Fuentes de información, cuando quiera que se pretendan realizar reportes negativos.
Al respecto, el artículo 12 de la Ley 1266 de 2008 señala lo siguiente: “ARTÍCULO 12. Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta.
PARÁGRAFO. El incumplimiento de la comunicación previa al titular de la información, en los casos en que la obligación o cuota ya haya sido extinguida, dará lugar al retiro inmediato del reporte negativo. En los casos en que se genere el reporte sin el cumplimiento de la comunicación y no se haya extinguido la obligación o cuota, se deberá retirar el reporte y cumplir con la comunicación antes de realizarlo nuevamente.” (resaltado fuera de texto) De lo anterior se entiende que, en caso de incumplimiento de las obligaciones adquiridas por parte del Titular, la Fuente de información podrá reportar la información negativa a los operadores únicamente cuando se haya enviado previamente una comunicación al titular de la Información, con el fin de que este pueda ejercer el derecho de contradicción, realizar el pago de la obligación “Por la cual se resuelve un recurso de apelación” o refutar su monto, cuota o fecha de exigibilidad, o inclusive la existencia de la misma.
Esa comunicación previa es un requisito indispensable para poder reportar legalmente información negativa sobre incumplimiento de obligaciones a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países. Ahora bien, en el caso bajo estudio se encuentra que (i) la obligación No. xxxxxx fue reportada por el acreedor originario el 24 de julio de 2010 y posteriormente, el 23 de diciembre de 2019 la RECURRENTE migró el reporte negativo a su nombre; y (ii) la obligación No. xxxxxx fue reportada por el acreedor originario el 21 de agosto de 2010 y posteriormente, el 23 de diciembre de 2019 la RECURRENTE migró el reporte negativo a su nombre.
Por lo anterior, teniendo claro que el reporte inicial negativo de las obligaciones No. xxxxxx y xxxxxxx fue efectuado el 24 de julio y 21 de agosto de 2010 respectivamente, la comunicación previa efectuada por el acreedor debió realizarse con antelación de 20 días a los reportes negativos. No obstante lo anterior, revisando las pruebas aportadas por la sociedad recurrente mediante las cuales pretende afirmar que cuenta con copia de la comunicación previa este Despacho evidencia que las mismas no son suficientes para acreditar el cumplimiento del mencionado deber, de conformidad con lo siguiente: • La sociedad aporta una captura de pantalla de una carta fechada el 28 de diciembre de 2010 en la que presuntamente se le informa al titular que se encuentra en mora de las obligaciones y que debe pagar o de lo contrario “dentro de los veinte (20) días calentario contados a partir de la fecha de esta comunicación” se le reportará negativamente: Sin embargo, se encuentra que esta prueba no solo no cuenta con una guía de envío que acredite que efectivamente se envió en la fecha indicada en el documento y a la dirección mencionada en el mismo, sino que, además, es un documento de fecha posterior a los reportes negativos efectuados el 24 de julio y 21 de agosto de 2010.
Razón por lo cual el mencionado documento no cumple con lo exigido en la Ley y de modo alguno puede tomarse como una comunicación previa a los mencionados reportes. • De otro lado, la sociedad recurrente aportó copia de dos extractos de tarjeta de crédito a través de los cuales también se efectuó el envío de la comunicación previa a los reportes negativos: “Por la cual se resuelve un recurso de apelación” Al respecto, se debe aclarar que los documentos aportados no son legibles en su totalidad, razón por la cual no se verifica la inclusión del mensaje de advertencia de conformidad con lo establecido en la Ley.
De igual manera, se resalta que la sociedad no aportó prueba alguna que acredite que los mencionados documentos fueron efectivamente enviados al titular. Finalmente, verificado el documento se evidencia que no tiene una fecha de presunto envío, sin embargo, tiene una fecha de “pago mínimo” la cual en ambos documentos es del 12 de enero de 2011, es decir, fecha posterior a los reportes negativos efectuados el 24 de julio y 21 de agosto de 2010.
Razón por lo cual el mencionado documento no cumple con lo exigido en la Ley y de modo alguno puede tomarse como una comunicación previa a los mencionados reportes. • Finalmente, la sociedad aportó una carta de notificación de cesión de la cartera fechada el 28 de octubre de 2019: Sin embargo, el mencionado documento es de hace más de nueve años después de efectuado el reporte negativo, por lo que de modo alguno puede tomarse como la comunicación previa.
“Por la cual se resuelve un recurso de apelación” De conformidad con lo expuesto, este Despacho encuentra plenamente demostrado el actuar negligente de la sociedad ADCORE S.A.S., al migrar un reporte negativo respecto del cual no se cumplió con el requisito de procedibilidad, es decir, el envío de la comunicación previa en la que se le informara al titular lo establecido en el artículo 12 de la Ley 1266 de 2008 con el fin de permitirle al mismo demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
En consecuencia, los argumentos expuestos por la sociedad recurrente no son de recibo y no están llamados a prosperar, por lo que se confirma la sanción impuesta respecto del Cargo Cuarto. De igual manera, se encuentra que la sociedad recurrente señaló que adquirió la cartera el 29 de septiembre de 2019 y que el acreedor original Scotiabank Colpatria según lo que indicó en el contrato de compraventa entregó las obligaciones “libre de cualquier reclamación o sanción” y que “Los créditos de acuerdo con lo informado por Citibank Colombia S.A., fueron otorgados de conformidad con la ley y corresponden a operaciones válidas, ciertas y que acatan las disposiciones legales que regulan la materia, obligaciones crediticias cuyo comportamiento se encuentra debidamente reportado en las centrales de riesgo y se han cumplido con las disposiciones respectivas en cuanto a tratamiento de datos personales y financieros establecidos en la ley 1581 de 2012, Decreto Reglamentario 1377 de 2013 y ley 1266 de 2008”.
Frente a lo manifestado por la sociedad recurrente, este Despacho debe aclarar que el hecho que un contrato señale en su clausulado o afirme ciertas situaciones no exime de responsabilidad a la sociedad, más aún, cuando en calidad de Fuente de información tiene un deber de diligencia y de cumplir con el principio de responsabilidad demostrada. 10.3.3.
Frente al Cargo Quinto - Respecto del deber de informar al operador que la información se encuentra en discusión con el fin de que el operador incluya la respectiva leyenda. La RECURRENTE indicó que: “El día de 4 de agosto de 2020 recibimos el fallo de tutela sobre la reclamación presentada por el señor Xxxxxx xxxxxxxx xxxxxxxxxx xxxxxxxx, declarándola improcedente según lo menciona en su texto a continuación detallado, por lo tanto, ADCORE SAS asumió que no debíamos marcar en las centrales la obligación como “reclamo en trámite”, toda vez de que su origen era una discusión judicial.
Adicionalmente, según el texto de esta estábamos en periodo de pandemia. Sin embargo, la sociedad ADCORE S.A.S., entiende, que independiente de la premura del cliente al instaurar una acción de tutela, debió informar a la central de información el reclamo en trámite interpuesto por el titular Xxxxxx xxxxxxxx xxxxxxxxxx xxxxxxxx por la discusión judicial generada por la tutela del cliente.
Ahora, Jairo Jesus Villota Ruiz representante legal de ADCORE SAS certifica que hemos ajustado, a raíz principalmente de este caso, el proceso de informar a los Operadores de Información cuando existe una discusión judicial interpuesta por el titular en relación con los reportes efectuados, marcando la obligación en la central de información con el texto, “reclamo en trámite”, prueba de ello adjuntamos tres casos actuales de la imagen de su marcación en el reporte.
El certificado del cumplimiento de esta Orden Administrativa, según lo establecido en su Resolución, será enviado en el plazo establecido, especificando en detalle el proceso implementado y las pruebas de su implementación. Frente a lo expuesto por la sociedad recurrente, este Despacho destaca que las órdenes que imparte esta Superintendencia son medidas de carácter preventivo que buscan que las vulneraciones al régimen de protección de datos personales no se repitan.
Se pretende igualmente generar “Por la cual se resuelve un recurso de apelación” conciencia en los Operadores, Fuentes y Usuarios de la información para que realicen todas las tareas necesarias en aras de fortalecer las medidas que puedan tener ya implementadas para que éstas estén acordes con las disposiciones constitucionales y legales vigentes que protegen el derecho de habeas data.
En consecuencia, la orden impartida por la Dirección tiene como objetivo que la sociedad recurrente mejore sus procedimientos relacionados con la atención a los requerimientos de esta Autoridad, en lo relativo al cumplimiento de la Ley 1266 del 2008. Ahora bien, teniendo claro que la sociedad recurrente no manifiesta inconformidad con la orden impartida y por el contrario ha manifestado su disposición a cumplir con la misma y acreditarla conforme a términos establecidos en la resolución recurrida, este Despacho se abstiene de realizar pronunciamientos adicionales sobre este punto. 10.3.4.
Respecto de la graduación y proporcionalidad de la sanción. Finalmente con el fin de verificar la graduación y proporcionalidad de la sanción se deben recordar los criterios establecidos en el artículo 19 de la Ley 1266 de 2008: “Artículo 19. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De acuerdo con estos criterios, la Corte Constitucional, en la Sentencia C-748 de 2011, estableció que los primeros cinco criterios mencionados en la norma citada se consideran como agravantes, mientras que el sexto criterio es el único que actúa como factor de atenuación de la responsabilidad, así: “Criterios de graduación de las sanciones (Art. 19).
En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;
(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Ahora bien, en el caso bajo estudio la Dirección únicamente encontró aplicable el criterio agravante de graduación establecido en el literal a), es decir, la ocurrencia del daño o puesta en peligro de los intereses jurídicos tutelados y, respecto de los otros criterios, al no encontrarlos aplicables, no se tomaron en cuenta y por lo tanto no agravaron el monto de la sanción. Resulta relevante mencionar que, el criterio del daño o peligro que se causó al bien jurídico, fue tomado en cuenta, en virtud de la negligencia demostrada de “Por la cual se resuelve un recurso de apelación” la sociedad al reportar negativamente las obligaciones en el historial crediticio del titular sin cumplir con el requisito previo del envío de la comunicación del artículo 12 de la Ley 1266 de 2008, vulnerando así el derecho fundamental de habeas data del titular y poniendo en peligro el interés jurídico tutelado de los demás titulares cuyos datos personales son tratados por parte de la sociedad recurrente.
De igual manera se debe recordar que el artículo 18 de la Ley 1266 de 2008 establece: “ARTÍCULO 18. Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó.” Así mismo, en la sentencia C-1011 del 16 de octubre de 2008, la Honorable Corte Constitucional puntualizó: “Los preceptos que concurren a estructurar, de manera precisa y determinada, la norma de conducta del tipo administrativo, contienen prescripciones categóricas a cargo de los operadores del sistema, orientadas a salvaguardar los diversos ámbitos que integra el derecho fundamental del hábeas data (efectividad de las facultades de conocimiento, actualización y rectificación) de las prácticas indebidas por parte de quienes detentan el poder informático.
La violación a esas prescripciones explícitamente definidas en la ley, es lo que integra el supuesto de hecho de la sanción de multa contemplada en el párrafo segundo del artículo 18. De tal manera que en lo que concierne a la hipótesis “violación de la ley” de hábeas data, como supuesto de hecho para la imposición de la sanción de multa, la conducta que da lugar a la imputación de responsabilidad administrativa es perfectamente determinable a partir de la integración de la expresión mencionada del párrafo segundo del artículo 18, con el contenido deontológico de los artículos 7, 8 y 9 de la misma norma estatutaria”.
Conforme a lo anterior, es claro que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1266 de 2008, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetas las Fuentes, Operadores o Usuarios de Información. Se destaca que las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros. Así las cosas, encuentra este Despacho que, en el caso que nos ocupa, se dan los presupuestos requeridos para determinar que la conducta desplegada por la sociedad recurrente desconoció lo ordenado en el numeral 10 del artículo 8, en concordancia con el artículo 12 de la Ley 1266 de 2008.
Finalmente, resulta pertinente resaltar lo siguiente: “Por la cual se resuelve un recurso de apelación” i. La multa impuesta a ADCORE S.A.S. ($12.703.160), corresponde al 0,63% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 19 de la Ley 1266 de 2008). ii. El monto de dicha sanción es el resultado del análisis de la puesta en peligro de los intereses jurídicos tutelados en el trámite del presente recurso.
Así como del incumplimiento de los deberes impuestos por la Ley 1266 de 2008 a las Fuentes, Operadores o Usuarios de la Información. iii. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular de los mandatos legales señalados. iv.
Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales.
DÉCIMO PRIMERO. Conclusiones. • Respecto de los cargos Primero y Segundo la Dirección mediante la Resolución No. 56509 del 26 de septiembre de 2024 la Dirección accedió a la solicitado revocando la sanción por los deberes establecidos en los numerales 1 y 5 del artículo 8 de la Ley 1266 de 2008. • La sociedad no acreditó que los documentos aportados fueron enviados de manera previa a los reportes negativos efectuados el 24 de julio y 21 de agosto de 2010, así como tampoco que los reportes migrados por la misma cumplían con el requisito de procedibilidad establecido en el artículo 12 de la Ley 1266 de 2008.
Por lo que se confirmó la sanción establecida por el Cargo Cuarto. • Las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008, la cual tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros. • La multa impuesta a ADCORE S.A.S. ($12.703.160), corresponde al 0,63% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 19 de la Ley 1266 de 2008).
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución No. 19949 del 23 de abril de 2024 modificada por la Resolución No. 56509 del 26 de septiembre de 2024. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO 1. CONFIRMAR en la Resolución No. 19949 del 23 de abril de 2024 modificada por la Resolución No. 56509 del 26 de septiembre de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a ADCORE S.A.S. identificada con el Nit. 900.966.455-8, a través de su Representante Legal o apoderado, entregándole copia de la misma e “Por la cual se resuelve un recurso de apelación” informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión a la señora XXXXXX XXXXXXXX XXXXXXXX XXXXXXX, identificado con la cédula de ciudadanía No. XX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución, al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C.,25 de noviembre 2024 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Firmado digitalmente por GRENFIETH DE GRENFIETH DE JESUS JESUS SIERRA SIERRA CADENA Fecha: 2024.11.25 CADENA 15:03:11 -05'00' GRENFIETH DE JESÚS SIERRA CADENA Proyectó: AVJ Revisó: GSC Aprobó: GSC NOTIFICACIÓN Investigada Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: ADCORE S.A.S. Nit. 900.966.455-8 JAIRO JESÚS VILLOTA RUIZ C.C. No. 12.973.328 comunicados@adcore.com.co CR 15 # 98 49 Oficina 304 y 606 Bogotá D.C. COMUNICACIÓN: Señor: Identificación: Correo electrónico: Dirección: Ciudad: XXXXXX XXXXXXXX XXXXXXXX XXXXXXX C.C. XX.XXX.XXX xxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxx