Resolución sancionatoria N° RE37759_-_2025 de 2025

(18 de junio de 2025) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 24-361992 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N.º 71511 del 12 de octubre de 20221, expedida por la Dirección de habeas data, se ordenó: “ARTÍCULO TERCERO: Remitir copia de la presente resolución a la Dirección de Investigaciones de Datos Personales para lo de su competencia.”

SEGUNDO: Que, entre otras consideraciones, en la Resolución N.°71511 del 12 de octubre de 2022 se señaló: “10.2 Respecto al deber de comunicar previamente al efectuar el reporte negativo ante los operadores de información (artículo 12 de la Ley 1266 de 2008) En el caso bajo examen, la titular manifiesta que por la negación de un producto financiero se enteró que se encuentra reportada de manera negativa en las bases de datos de los operadores de información por parte de la sociedad ACYR respecto de la obligación identificada con el N° **XXXX.

(…) Por lo anterior, este Despacho mediante oficio enviado el día 19 de mayo de 2022 requirió a la sociedad ACYR, para que entre otros aportara “(…) Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma en el término establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009 (…)”.

Al respecto, la sociedad ACYR guardó silencio y no se pronunció, por ende no allegó copia de la comunicación previa junto con las guía o certificación de envío respecto del primer reporte negativo que se cargó ante el operador Experian Colombia S.A el mes de julio de 2020 con corte al mes de junio de 2020, razón por la cual, se evidencia un posible incumplimiento al deber establecido en el artículo 12 de la Ley 1266 de 2008.

(…) 1 Expediente digital, consecutivo 0, página 2, folio 41 al 53 “Por la cual se impone una sanción y se imparten órdenes administrativas” 10.4 Respecto del deber de las fuentes de información de contestar las peticiones (numeral 7, artículo 8 Ley 1266 de 2008) y la aplicación del silencio positivo (numeral 8 del artículo 7 de la Ley 2157 de 2021) (…) En segundo lugar en cuanto a la petición de “copia de los documentos soporte de mi obligación y/o los documentos soporte de la venta de la cartera”; este Despacho encuentra procedente impartir una orden a la sociedad ACYR para que le suministre una respuesta completa y de fondo al derecho de petición de la titular del día 09 de febrero de 2022, aportándole las copias solicitadas, o en su defecto informándole porque no cuenta con ellas.”

TERCERO: Que junto con la Resolución N.° 71511 del 12 de octubre de 2022, expedida por la Dirección de Habeas Data, se trasladaron las siguientes pruebas: 3.1 Queja presentada por la Titular denunciante el día 26 de agosto 20242 3.2 Declaración Juramentada por no haber recibido respuesta por parte la investigada3 3.3 Correo electrónico remitido a la sociedad RECUPERACIÓN SAS el 9 de febrero de 20224.

ACYR ACTIVOS de Y 3.4 Copia de su cédula de ciudadanía5. 3.5 Requerimiento realizado a los operadores de información Cifin S.A.S, y Experian Colombia S.A. con fecha del 19 de mayo de 20226. 3.6 Solicitud de explicaciones remitido a la sociedad ACYR ACTIVOS Y RECUPERACIÓN SAS con fecha del 19 de mayo de 20227. 3.7 Respuesta operador Cifin S.A.S., con fecha del 1 de junio de 20228. 3.8 Respuesta operador Experian Colombia S.A., con fecha del 26 de junio de 20229. 3.9 Comunicación acto administrativo10. 3.10 Resolución N.º. 71511 del 12 de octubre de 202211. 3.11 Respuesta presentada por la sociedad ACYR ACTIVOS Y RECUPERACIÓN SAS., con fecha del 25 de octubre de 202212.

CUARTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 29 de octubre del 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.° 65636, por medio de la cual se formuló un cargo a la sociedad ACYR - ACTIVOS Y Expediente Virtual 24-361992 Consecutivo 0 Páginas 2 y 3 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folio 6 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios del 7 al 9 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 11 y 12 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 15 al 18 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 19 y 20 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 21 al 25 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 26 al 30 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 31 al 40 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 41 al 66 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 101 al 110 “Por la cual se impone una sanción y se imparten órdenes administrativas” RECUPERACIÓN S.A.S., identificada con el NIT. 901.073.965-3 por el presunto incumplimiento de las disposiciones contenidas en: • • • El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita.

El numeral 5 del artículo 8 de la Ley 1266 de 2008. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.

QUINTO: Que la Resolución N.° 65636 del 29 de octubre del 2024, le fue notificada a la investigada de forma electrónica el 29 de octubre del 2024, conforme a la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante en el expediente bajo el radicado N.° 24-361992-6 del 5 de noviembre del 2024. En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada, para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

Así mismo la referida actuación le fue comunicada al denunciante.

SEXTO: Que, por conducto de su Representante Legal, encontrándose dentro del término establecido para el efecto, mediante comunicación radicada bajo el número 24-361992-7 del 20 de noviembre del 2024, presentó los respectivos descargos, manifestado que: 6.1 La sociedad ACYR ACTIVOS Y RECUPERACIÓN S.A.S. adquirió las obligaciones a nombre de XXXXXXXXX, originalmente contraídas con el Banco W. Estas obligaciones fueron cedidas inicialmente a Grupo Consultor Andino S.A.S., luego a LUSTRUM S.A.S., y finalmente transferidas a ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., mediante un proceso legal de compra de cartera.

Tras esta última adquisición, y cumpliendo con sus deberes legales, ACYR registró dicha información en la central de riesgo Datacrédito, única base de datos que utiliza para estos fines. 6.2 Como argumentos de defensa la sociedad investigada afirma que, en contestación a la resolución N.°71511 de 2022, afirmó que no contaba con los documentos que acreditan el vínculo de la obligación con la Titular, toda vez que los documentos físicos se encontraban en un proceso de validación y transformación a digital por parte del banco WWB. 6.3 Adicionalmente indicó que el reporte se realizó, con la base entregada por el banco WWB, indica que existen los documentos y que la deuda se encuentra en calidad de no pagada.

Ahora bien, afirma que el error fue manifestar de manera errónea, que no se tenía en poder dichos documentos que dirigen la obligación. sin embargo, dichos documentos si se encontraban en poder de la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., más no fueron enviados por las explicaciones anteriores. 6.4 Indica la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., que el titulo valor lo otorgó la Titular a favor del BANCO WWB., quien es el acreedor originario de la obligación. “Por la cual se impone una sanción y se imparten órdenes administrativas” 6.5 Señala que la Titular, manifestó expresamente que contrajo una obligación con el banco WWB y otorgó autorización al Fondo Nacional de Garantías y futuros acreedores de poder generar reportes por dicha obligación. Para sustentar este punto, aportó: - Formulario de vinculación para persona natural, copia de la cédula de la Titular y comprobante de aprobación.13 Endoso en propiedad de LUSTRUM S.A.S A ACYR ACTIVOS Y RECUPERACION S.A.S.14 Captura de pantalla de la transacción enviada.15 Copia del Pagaré.16 6.6 Por otro lado, se deja constancia de que la sociedad ACYR ACTIVOS Y RECUPERACIÓN S.A.S. reporta información únicamente ante el Operador EXPERIAN COLOMBIA S.A y no ante el operador CIFIN S.A.S. 6.7 Manifiesta que la sociedad ACYR ACTIVOS Y RECUPERACION S.A.S cuenta con la autorización mediante documento denominado “aceptación de garantía y centrales de riesgo” 6.8 En cuanto al reporte negativo indica que la sociedad ACYR ACTIVOS Y RECUPERACION S.A.S., efectuó la eliminación del reporte negativo por la causal de la caducidad, si bien, el reporte no se generó de una migración de datos, se tuvo en cuenta que el reporte en el caso concreto no cumplía con los deberes legales, por ende, en el año 2022 fue retirado.

Expediente Virtual 24-361992 Consecutivo 7 Página 2 Expediente Virtual 24-361992 Consecutivo 7 Página 4 Expediente Virtual 24-361992 Consecutivo 7 Página 7 Expediente Virtual 24-361992 Consecutivo 7 Página 11 “Por la cual se impone una sanción y se imparten órdenes administrativas” 6.9 Finaliza, solicitando se tenga en cuenta los documentos allegados y la eliminación del reporte negativo los cuales evidencian que la sociedad ACYR ACTIVOS Y RECUPERACION S.A.S., no ha violado deberes legales y no ha vulnerado los derechos de los titulares.

SÉPTIMO: Que, a través de la Resolución N.º 17872 del 4 de abril del 2025, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 24-361992, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas incorporadas se relacionan a continuación: 7.1 Pruebas recaudadas en averiguaciones preliminares: 7.1.1 Queja presentada por la Titular denunciante el día 26 de agosto 202417 7.1.2 Declaración Juramentada por no haber recibido respuesta por partede la investigada18 7.1.3 Correo electrónico remitido a la sociedad RECUPERACIÓN SAS el 9 de febrero de 202219.

ACYR ACTIVOS Y 7.1.4 Copia de su cédula de ciudadanía20. 7.1.5 Requerimiento realizado a los operadores de información Cifin S.A.S, y Experian Colombia S.A. con fecha del 19 de mayo de 202221. 7.1.6 Solicitud de explicaciones remitido a la sociedad ACYR ACTIVOS Y RECUPERACIÓN SAS con fecha del 19 de mayo de 202222. 7.1.7 Respuesta operador Cifin S.A.S., con fecha del 1 de junio de 202223. 7.1.8 Respuesta operador Experian Colombia S.A., con fecha del 26 de junio de 202224. 7.1.9 Comunicación acto administrativo25. 7.1.10 Resolución N.º. 71511 del 12 de octubre de 202226. 7.1.11Respuesta presentada por la sociedad ACYR ACTIVOS RECUPERACIÓN SAS., con fecha del 25 de octubre de 202227. 7.2 Y Pruebas aportadas por la investigada en su escrito de descargos: 7.2.1 Formulario de vinculación para persona natural, copia de la cédula de la Titular y comprobante de aprobación.28 7.2.2 Información básica de la Titular.29 Expediente Virtual 24-361992 Consecutivo 0 Páginas 2 y 3 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folio 6 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios del 7 al 9 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 11 y 12 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 15 al 18 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 19 y 20 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 21 al 25 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 26 al 30 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 31 al 40 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 41 al 66 Expediente Virtual 24-361992 Consecutivo 0 Página 2 Folios 101 al 110 Expediente Virtual 24-361992 Consecutivo 7 Página 2 Expediente Virtual 24-361992 Consecutivo 7 Página 3 “Por la cual se impone una sanción y se imparten órdenes administrativas” 7.2.3 Endoso en propiedad de LUSTRUM S.A.S a ACYR ACTIVOS Y RECUPERACION S.A.S.30 7.2.4 Balance General Comparativo Años 2022-2021.31 7.2.5 Captura de pantalla de la transacción enviada.32 7.2.6 Escrito de descargos presentado por la investigada.33 7.2.7 Balance General Comparativo Años 2023-2022.34 7.2.8 Respuesta Derecho de Petición del 29 de junio de 2022.35 7.2.9 Copia del Pagaré.36 7.2.10 Escrito de pronunciamiento sobre los hechos de la Tutela.37 OCTAVO: Que la Resolución N.º 17872 del 4 de abril del 2025 le fue comunicada el mismo día a la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 24-361992 -11 de 9 de abril del 2025.

NOVENO: Que, vencido el término para presentar escrito de alegatos de conclusión, la sociedad investigada guardó silencio.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

DÉCIMO PRIMERO Análisis del caso 11.1 Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

(ii)Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo Expediente Virtual 24-361992 Consecutivo 7 Página 4 Expediente Virtual 24-361992 Consecutivo 7 Páginas 5 y 6 Expediente Virtual 24-361992 Consecutivo 7 Página 7 Expediente Virtual 24-361992 Consecutivo 7 Página 8 Expediente Virtual 24-361992 Consecutivo 7 Página 9 Expediente Virtual 24-361992 Consecutivo 7 Página 10 Expediente Virtual 24-361992 Consecutivo 7 Página 11 Expediente Virtual 24-361992 Consecutivo 7 Página 12 “Por la cual se impone una sanción y se imparten órdenes administrativas” así una mayor flexibilidad en la adecuación típica.

En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable. (…)”38. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los Usuarios de información respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: (ii) • • • El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita.

El numeral 5 del artículo 8 de la Ley 1266 de 2008. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones 11.2.1 Respecto del deber de garantizar que la información suministrada a los operadores sea veraz, completa, exacta, actualizada y comprobable Ley 1266 de 2008 “ARTÍCULO 8o.

DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable”.

En este punto, es oportuno traer a colación la sentencia C-1011 de 2008, por medio de la cual se analizó la Constitucionalidad de la Ley 1266 de 2008, la cual respecto del numeral 1 del artículo 8 de la ley en cita expuso: “(…) debe señalarse que los procesos de administración de datos personales están signados por un deber de objetividad.

Esta condición implica que la información no debe ser presentada en forma inductiva, sesgada o sugestiva. La jurisprudencia constitucional al respecto también ha señalado que la veracidad supone una correspondencia entre el registro efectuado y las condiciones empíricas del sujeto pasivo. Por ello, en tanto la fuerza de los presupuestos de veracidad y actualidad se refleja en esta norma, la Corte la encuentra ajustada a la Constitución”.

Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) “Por la cual se impone una sanción y se imparten órdenes administrativas” “ARTÍCULO 4o. PRINCIPIOS DE LA ADMINISTRACIÓN DE DATOS. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen: a) Principio de veracidad o calidad de los registros o datos.

La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error…” Por su parte, la Corte en relación con el artículo 4 de la citada ley indicó: “La Corte considera que estos preceptos reiteran el contenido y alcance de los principios que, en términos de la jurisprudencia constitucional, definen el contenido y alcance del derecho fundamental al hábeas data.

En este sentido, se muestran en todo compatibles con la Carta Política. Además, debe resaltarse que los principios para la administración de datos personales incorporados por el legislador estatutario están construidos a partir de una fórmula amplia, en especial para el caso del principio de interpretación integral de derechos constitucionales, lo cual permite la eficacia de las distintas libertades y garantías aplicables a los procesos de recolección, tratamiento y circulación de datos personales”.

En su queja39, el Titular asegura que fue suplantado, puesto que nunca ha mantenido vinculo jurídico con la investigada, pero que, aun así, se encuentra reportada de manera negativa en las bases de datos de los Operadores de información. Manifiesta que presentó derecho de petición el 9 de febrero del 2022 solicitando la eliminación de la información pero que dicha sociedad no le brindó respuesta, por ello, esta Dirección requirió a los Operadores de Información CIFIN S.A.S. bajo el radicado N° 22- 101579-03 del 19 de mayo del 2022 y EXPERIAN COLOMBIA S.A bajo el radicado N° 22-101579- -00004 del 19 de mayo del 2022 para que informará si la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., efectuó algún reporte negativo en la historia de crédito de la titular y de ser así la fecha en que se produjo el mismo.

Adicionalmente, mediante requerimiento 22-101579-05 del 19 de mayo del 2022, la Dirección de Habeas Data, solicitó explicaciones a la sociedad investigada para que allegara “(…) 3. Copia del documento donde conste la existencia de la obligación a nombre del reclamante y/o relación comercial con éste. (…)” Frente a la solicitud de explicaciones, la investigada manifestó, mediante radicado 22-101579- -00015 de fecha 25 de octubre del 2022, que: “(…) la sociedad acyr activos y recuperación s.a.s no cuenta con la suscripción del título valor, contrato o vínculo de la obligación originaria con el banco wwb, así como los demás documentos que se pide y que dirige la obligación, dado que, los documentos al momento de la secesión de la cartera fueron entregados en físico los cuales son de difícil acceso por la cantidad que son estos, ya que son entregados en cajas y su búsqueda es compleja. sin embargo, dichos documentos pasaron por un proceso de validación y transformación a digital por lo que en dicho proceso pudieron ser extraviados o dañados. dado que en el momento de esta contestación no pudieron ser encontrados aun surtiendo la búsqueda de los mismos. conforme a lo descrito anteriormente, no se cuenta con Expediente digital, consecutivo 0, página 2, folio 1 al 5 “Por la cual se impone una sanción y se imparten órdenes administrativas” los documentos requeridos, por lo tanto, se evidencia inconsistencias y fallas en el proceso del reporte negativo en la central de riesgo” Por su parte, el operador de información CIFIN S.A.S., mediante oficio allegado el día 02 de junio de 202240, informó a este Despacho que la investigada NO se encuentra afiliada a CIFIN S.A.S., razón por la cual no hay ningún reporte efectuado por esta fuente.” En respuesta, el Operador de Información EXPERIAN COLOMBIA S.A. mediante oficio allegado el día 28 de junio de 202241, manifestó que el reporte negativo fue efectuado por ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., en calidad de fuente de información. Al respecto este Despacho evidenció preliminarmente mediante Resolución N.° 65636 del 29 de octubre del 2024, que la investigada presuntamente violó el deber en mención toda vez que: “Por lo anterior, se concluye que ACYR - ACTIVOS Y RECUPERACIÓN S.A.S reportó de forma negativa la obligación N.° **XXXXX en el historial crediticio de la titular sin contar con el título valor o el contrato que soporte la existencia de la obligación, y sin acreditar la calidad de Fuente.

En este orden de ideas, un dato veraz debe ser necesariamente comprobable, por ello la fuente de información no sólo debe contar con los soportes que dieron origen a la obligación, sino que tiene que estar en capacidad de demostrar su calidad de acreedor. Expediente digital, consecutivo 0, página 2, folio 22 Expediente digital, consecutivo 0, página 2, folio 27 al 30 “Por la cual se impone una sanción y se imparten órdenes administrativas” Por lo anterior, se presume que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S vulneró uno de sus deberes como Fuente, al no garantizar que la información que suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable de acuerdo con lo contemplado en el numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita.” Ahora bien, frente al cargo en estudio la investigada mediante escrito de descargos bajo radicado N°. 24-361992- 7 del 20 de noviembre del 2024, señaló que: • • Durante la investigación preliminar, afirmó que no contaba con los documentos que acreditan el vínculo de la obligación con la Titular, toda vez que los documentos físicos se encontraban en un proceso de validación y transformación a digital por parte del BANCO WWB.

Adicionalmente indicó que el reporte de la obligación No XXXX se realizó, con la base entregada por el BANCO WWB, indica que existen los documentos y que la deuda se encuentra en calidad de no pagada. De igual modo, aportó los siguientes documentos: 1. Copia de vinculación presuntamente firmado por la Titular 2. Aceptación de la garantía y centrales de riesgo FONDO NACIONAL DE GARANTIAS 3.

Autorización para diligenciar pagaré en blanco BANCO WWB 4. Endoso del BANCO WWB a GRUPO CONSULTOR ANDINO S.A. “Por la cual se impone una sanción y se imparten órdenes administrativas” 5. Endoso del GRUPO CONSULTOR ANDINO S.A a LUSTRUM S.A.S. 6. Endoso de LUSTRUM S.A.S. a ACYR - ACTIVOS Y RECUPERACIÓN S.A.S. • Indica la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., que cuenta con el título valor en blanco emitido por el banco, así como aceptación de la garantía y centrales de riesgo, el cual la Titular firmó. • Señala que la Titular, manifestó expresamente que contrajo una obligación con el BANCO WWB • Manifiesta que la Titular otorgó dos autorizaciones: ➢ Al BANCO WWB la cual establece que la autorización dispone que el consentimiento otorgado se hace extensivo a quien en el futuro adquiera o la calidad de acreedor. ➢ Al Fondo Nacional de Garantías.

“Por la cual se impone una sanción y se imparten órdenes administrativas” En este sentido a partir de la lectura y análisis de las pruebas obrantes en el expediente se observa que se encuentra probado que: 1. La Titular XXXXXXXXXXXXXX adquirió la obligación No XXX con el BANCO WWB, el 24 de noviembre del 2022. 2. El BANCO WWB endoso en propiedad y sin responsabilidad el pagaré No XXXX correspondiente a la obligación No. XXX a favor del GRUPO CONSULTOR ANDINO S.A. 3.

El GRUPO CONSULTOR ANDINO S.A endoso en propiedad y sin responsabilidad el pagaré que contiene la obligación No. XXX a favor de la sociedad LUSTRUM S.A.S. 4. La sociedad LUSTRUM S.A.S. endoso en propiedad y sin responsabilidad el pagaré que contiene la obligación No. XXX a favor del ACYR - ACTIVOS Y RECUPERACIÓN S.A.S. 5. La sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S. reportó información negativa en la historia de crédito de la Titular en junio del 2020 ante EXPERIAN COLOMBIA S.A.S. 6.

La sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S. eliminó la obligación en junio 2022 ante EXPERIAN COLOMBIA S.A.S. En conclusión, se encuentra probado que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., realizó reportes negativos, teniendo en cuenta que acreditó la calidad de acreedora de la obligación No XXX., no obstante, una vez notificados de la orden No 71511 del 12 de octubre del 2022, eliminó el reporte negativo de la obligación antes mencionada en junio del 2022 de la historia de crédito de la Titular.

Así las cosas, este Despacho evidenció que en el caso bajo estudio la investigada acreditó el cumplimiento del deber analizado, razón por la cual se desestima el primer cargo. 11.2.2 Del deber de conservar copia o evidencia de la autorización otorgada por el Titular de la información La Ley 1266 de 2008 desarrollo el artículo 15 de la Constitución Política, el cual consagró el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, en especial la referida con el tratamiento de información financiera, crediticia, comercial, y de servicios.

Al respecto, la Corte Constitucional en sentencia C-1011 de 2008, por medio de la cual adelantó el estudio de exequibilidad de la ley 1266 de 2008, señaló lo siguiente: “El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en banco de datos y en archivos de entidades públicas y privadas.

La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los derechos fundamentales, no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que (e)n la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución (…).

De esta manera, el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática “Por la cual se impone una sanción y se imparten órdenes administrativas” en general, y por la libertad económica en particular, pues, como lo ha establecido la Corte, ella podría verse vulnerada al registrarse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizada por la persona concernida o por la ley.

La autodeterminación es la posibilidad de que dispone una persona para permitir que sus datos se almacenen, circulen y sean usados de conformidad con las regulaciones legales (…)”. (Subrayado fuera del texto original) Por su parte, el numeral 5 del artículo 8 de la ley 1266 de 2008 establece los deberes que le asisten a las fuentes de información respecto de la solicitud y conservación de copia o evidencia de la respectiva autorización otorgada por los titulares para ser reportados y consultados en las bases de datos de los operadores de la información financiera, crediticia, comercial y de servicios, destinados al análisis del riesgo crediticio.

La citada norma estableció lo siguiente: “Artículo 8. Deberes de las Fuentes de la Información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…). 5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley.

(…).” (Subrayado fuera del texto original) Las obligaciones concretas incorporadas en el artículo transcrito de la ley 1266, desarrolla el precepto constitucional y el núcleo esencial del derecho de Hábeas Data, concretado en el principio de libertad, y fueron objeto de análisis por la honorable Corte Constitucional en la sentencia C-1011 de 2008 en los siguientes términos: “(…) De acuerdo con el principio de libertad, las actividades de registro y divulgación de los datos personales sólo pueden ejercerse con el consentimiento libre, previo y expreso del titular de esa información, esto es, el sujeto concernido, Así, esos datos no podrán ser obtenidos o divulgados sin esa previa autorización, o en ausencia de mandato legal o judicial que releve de ese consentimiento (…)”.

En este orden de ideas, la ausencia de autorización previa y expresa otorgada por el titular de la información, implica que los datos asociados al reclamante no pueden ser reportados ante un operador de información, por ser la autorización el núcleo esencial del derecho fundamental de Habeas Data, pues a través de ella el titular del derecho manifiesta su voluntad frente al tercero para el manejo de su información, de ello se desprende la obligación para las fuentes de contar con la misma, y que la información que reportan del comportamiento comercial del titular sea veraz, actualizada y comprobable.

Una vez mencionada la normatividad aplicable al caso concreto, es necesario aludir a los hechos de la presente investigación administrativa: En primer lugar, encuentra esta Dirección que la Titular puso en conocimiento ante esta Superintendencia, mediante radicado número 22-101579 -0 del 16 de marzo del 2022, entre otros hechos el siguiente: “Por la cual se impone una sanción y se imparten órdenes administrativas” La Titular asegura que fue suplantada, puesto que nunca ha mantenido vinculo jurídico con la investigada, pero que, aun así, se encuentra reportada de manera negativa en las bases de datos de los Operadores de información. Manifiesta que presentó derecho de petición el 9 de febrero del 2022, solicitando copia de los documentos soporte de mi obligación y/o los documentos soporte de la venta de la cartera.

Frente a la solicitud, indicó la Titular que la sociedad investigada no se pronunció en los términos legales establecidos. En atención a las circunstancias denunciadas por la titular, esta Dirección, a través del oficio radicado bajo el número 22-101579- -00005 del 19 de mayo del 2022, requirió a la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., para que allegara entre otras cosas: “2.

Copia de la autorización de reporte previa y expresa otorgada por el titular de la información.”, por lo que en respuesta a dicho requerimiento la sociedad en comento no allegó autorización, indicando: “la sociedad acyr activos y recuperación s.a.s no cuenta con la suscripción del título valor, contrato o vínculo de la obligación originaria con el banco wwb, así como los demás documentos que se pide y que dirige la obligación, dado que, los documentos al momento de la secesión de la cartera fueron entregados en físico los cuales son de difícil acceso por la cantidad que son estos, ya que son entregados en cajas y su búsqueda es compleja. sin embargo, dichos documentos pasaron por un proceso de validación y transformación a digital por lo que en dicho proceso pudieron ser extraviados o dañados. dado que en el momento de esta contestación no pudieron ser encontrados aun surtiendo la búsqueda de los mismos.” En consecuencia, una vez adelantadas las averiguaciones preliminares previstas en el artículo 4742 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución N.° 65636 del 29 de octubre del 202443, y sustentó este cargo en las siguientes consideraciones: “De manera que, no obra en el expediente prueba que acredite que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S cuenta con la autorización previa y expresa otorgada por la titular para consultar y/o reportar información en su historial de crédito.

Así las cosas, se presume preliminarmente que la sociedad ACYR ACTIVOS Y RECUPERACIÓN S.A.S vulneró el deber contenido en el numeral 5 del artículo 8 de la Ley 1266 de 2008.…” Ahora bien, la sociedad investigada como argumentos de defensa manifiesta que cuenta con la autorización mediante documento denominado “aceptación de garantía y centrales de riesgo” Así mismo, indica que mediante documento denominado ‘aceptación de garantía y centrales de riesgo” la titular autorizó que el banco, o que cualquier otro acreedor de la obligación tiene la potestad de suministrar información a las centrales de información. “ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. (…) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.

Contra esta decisión no procede recurso. Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, visible en el consecutivo No. 24-361992-2. “Por la cual se impone una sanción y se imparten órdenes administrativas” • Para sustentar este punto, aportó: Formulario de vinculación BANCO WWB Así las cosas, en el plenario se encuentra documento denominado “formulario de vinculación” que acredita que la Titular autorizó a la sociedad ACYR ACTIVOS Y RECUPERACIÓN S.A.S para el tratamiento de sus datos personales de acuerdo con la Ley 1266 de 2008, teniendo en cuenta que, para esta Dirección frente al cargo de veracidad quedó demostrado que los derechos de acreencia sobre la obligación XXXX le fueron cedidos a la sociedad ACYR ACTIVOS Y RECUPERACIÓN S.A.S, así las cosas, es claro que cuenta con la autorización para la realización del reporte negativo del mes de "junio del 2020".

De acuerdo con lo expuesto anteriormente, esta Dirección determina que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S., cuenta con la autorización previa y expresa otorgada por la Titular al momento de efectuar el reporte de la obligación número XXX, ante el operador EXPERIAN COLOMBIA S.A. su deber legal establecido en el numeral 5 del artículo 8 de la Ley 1266 de 2008.

Así las cosas, este Despacho evidencia que en el caso bajo estudio la sociedad investigada acreditó el cumplimiento del deber analizado razón por la cual se desestima el segundo cargo. 11.2.3 Respecto del deber de comunicar previamente a efectuar el reporte ante los operadores de la información El artículo 12 de la Ley 1266 de 2008, impone un deber especial a las Fuentes de Información en los siguientes términos: “ARTÍCULO

12. REQUISITOS ESPECIALES PARA FUENTES. (…) El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se “Por la cual se impone una sanción y se imparten órdenes administrativas” haya presentado solicitud de rectificación o actualización y está aún no haya sido resuelta”.

(Negrilla fuera del texto original)” Es así como la Ley impone una obligación a las Fuentes antes de realizar el reporte de información negativa, este es el envío de una comunicación al Titular de la información. Sobre dicha obligación la Corte Constitucional en Sentencia C-1011 de 2008 consideró que: “El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin de que la incorporación del reporte incluya esos motivos de inconformidad.

La previsión de trámites de esta naturaleza, que facilitan la preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución.” Teniendo en cuenta lo expuesto, en el caso bajo estudio se tiene que la Titular en su queja, radicada mediante consecutivo 22-101579 -0 del 16 de marzo del 2022, la Titular asegura que fue suplantado, puesto que nunca ha mantenido vinculo jurídico con la investigada, pero que, aun así, se encuentra reportada de manera negativa en las bases de datos de los Operadores de información. Frente a dicha queja, mediante oficio radicado bajo el número 22-101579- -5 del 19 de mayo del 2022, esta Dirección solicitó a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., que “5.

Copia de la(s) comunicación(es) previa(s) remitida(s) al reclamante antes del reporte de información negativa, junto con la prueba de envío a la dirección física y/o electrónica informada por el Titular de conformidad a lo establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008 y/o en el parágrafo 2 del artículo 3 de la Ley 2157 de 2021..” Igualmente, esta Dirección requirió a los operadores de información a fin de, entre otras cosas, verificar la fecha de cargue de la información negativa, frente a lo cual mediante comunicados radicados bajo los números 22-101579-03 y 22-101579-04 del 19 de mayo del 2022, las sociedades CIFIN S.A.S y EXPERIAN COLOMBIA S.A.S respectivamente, informaron que, se reflejó el reporte inicialmente así: • CIFIN: La sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., no se encuentra afiliada a CIFIN S.A.S., razón por la cual no hay ningún reporte efectuado por esta fuente. • EXPERIAN Obligación XXXX junio 2022.

Por su parte la sociedad investigada mediante el escrito de descargos manifestó que una vez verificado que el incumplimiento de deberes para reportar una obligación, procedieron a eliminar el reporte negativo, indicando lo siguiente: “por otro lado, se tiene en cuenta, que la sociedad acyr activos y recuperación s.a.s hizo efectiva la eliminación del reporte negativo por la causal de la caducidad, si bien, el reporte no se generó de una migración de datos, el reporte fue subido por acyr activos y recuperación s.a.s. se tuvo en cuenta que el reporte en el caso concreto no cumplia con los deberes legales, por ende, en el año 2022 fue retirado dicho reporte para no generar afectaciones a la ciudadana en cuestión, dando a respetar, los “Por la cual se impone una sanción y se imparten órdenes administrativas” derechos constitucionales de la ciudadana y los deberes legales de la sociedad acyr activos y recuperación s.a.s.” Al respecto, este Despacho aclara que, el cargo que nos ocupa es por la infracción de lo dispuesto en el numeral 10) del artículo 8 de la ley 1266 de 2008, en el cual, no se analiza la eliminación del reporte negativo, sino que la Fuente de Información remita una comunicación previa a la realización del reporte negativo en el historial crediticio de la denunciante, por lo menos con veinte (20) días de antelación, con el fin de permitirle discutir aspectos como existencia, pago o exigibilidad de la obligación objeto de reporte, deber que fue incumplido por la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S. Respecto lo anterior, para esta Dirección está comprobado que la sociedad reportó información negativa en el historial crediticio de la Titular, sin cumplir con la comunicación previa la cual debió ser enviada a la titular antes de que incurriera en mora en el cumplimiento de la obligación, esto es, veinte días calendario antes de reportar la información negativa, vulnerando así el derecho fundamental de habeas data de la titular impidiéndole conocer la existencia de la presunta mora con el fin de que pudiera demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad, antes del reporte negativo.

En virtud del actuar negligente de la investigada, esta Dirección encuentra que, efectivamente en la historia crediticia de la denunciante hubo reportes negativos realizados por la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., sin el cumplimiento de los requisitos legales para hacerlo, reporte que en todo caso se extendió desde el mes de junio del 2020 hasta el 29 junio del 2022 con respecto de la obligación No. XXXX.

Así las cosas, se evidencia el incumplimiento de la investigada del deber comunicar previamente al Titular que será reportado ante los Operadores de información, razón por la cual se impondrá la sanción administrativa correspondiente e impartirá una orden con el fin de que hechos como el denunciado no vuelvan a ocurrir.

DÉCIMO SEGUNDO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, en virtud del principio de responsabilidad demostrada establecido en el artículo 19 A de la Ley 1266 de 200844 y teniendo en cuenta la relevancia del deber incumplido por la sociedad, se encuentra demostrado que la misma no tiene implementadas las medidas efectivas y apropiadas para garantizar los deberes de comunicar previamente al reporte negativo e informar al operador cuando se encuentre en discusión con el fin de incluir la correspondiente leyenda en el historial crediticio, de acuerdo a lo establecido en la Ley.

Al respecto es importante resaltar lo establecido en el numeral 3 del artículo 19 B, que señala lo siguiente: “Artículo 19 A. Responsabilidad demostrada. Los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones establecidas en la Ley 1266 de 2008 Y sus normas reglamentarias, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del operador, fuente y usuario de información y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

Quienes efectúen el tratamiento de los datos personales deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir la presente ley.” “Por la cual se impone una sanción y se imparten órdenes administrativas” “Artículo 19 B. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 Y 4 del artículo anterior, las medidas efectivas y apropiadas implementadas por los operadores, fuentes y usuarios de información deberán garantizar: 3.

La adopción de procesos para la: atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento. La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales por parte de los operadores, fuentes y usuarios de información será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley.

Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos.” (resaltado fuera del texto). En virtud de lo expuesto, en virtud de los numerales 1 y 6 del artículo 17 de la Ley 1266 de 2008 que le otorgan, respectivamente, a la Superintendencia la facultad de: “Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación”, y de: “Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.” (Resaltado fuera de texto original).

Este Despacho procederá a impartir la siguiente instrucción: La sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., deberá actualizar y/o adecuar los procedimientos que tiene establecidos con el fin de cumplir a cabalidad con el deber especial de comunicar al titular con antelación de 20 días, previos al reporte negativo. Así mismo, deberá conservar los soportes de la comunicación y el envío y proceder a suprimir todos los reportes negativos efectuados ante los Operadores de información respecto de los cuales no conserve soporte del envío de la comunicación previa.

De lo anteriormente ordenado la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO TERCERO: Imposición y graduación de la sanción 13.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1845. Esta potestad Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento “Por la cual se impone una sanción y se imparten órdenes administrativas” sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 246, 447 y 648 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo49.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”50 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional51.

Su cumplimiento se mide en aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida) “Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) “Artículo 6.

Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas” la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313.

UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVBse reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de “Por la cual se impone una sanción y se imparten órdenes administrativas” comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVBconforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, el artículo 19 de la Ley 1266 de 2008 establece unos criterios de graduación, los cuales, con el fin de garantizar el debido proceso dentro de la actuación administrativa serán analizados para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C – 1011 de 200828, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 52 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas” Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros53.

La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”54.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia55. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 1856 de la misma.

Así mismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 19: Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm. Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas” a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f)El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Para el presente caso, le es aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.

Vale la pena resaltar lo que consideró la Corte Constitucional respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).

Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: aplica a los supuestos de administración de datos prohibidos. se “Por la cual se impone una sanción y se imparten órdenes administrativas” Criterios de graduación de las sanciones (Art. 19).

En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;

(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.

(…)”57 De manera que, atendiendo dichos criterios, este Despacho determinará cuáles tendrá en cuenta en el caso en concreto el literal a) del artículo 19 de la Ley 1266 de 2008 en los siguientes términos: 13.1.1. La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley Del análisis normativo expuesto en el presente acto administrativo, es claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, resulta suficiente que la conducta desplegada por el investigado haya puesto en peligro, o en efecto, resulten vulnerados los intereses jurídicos tutelados por la Ley 1266 de 2008.

En el caso sub examine, esta Dirección evidencia que el cargo comprobado en contra de la investigada afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1266 de 2008 y sus normas complementarias. Quedó suficientemente demostrado que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S y la Titular tiene una relación comercial y/o contractual con ésta, al existir una obligación adquirida con Banco WWB y la cual fue cedida a ACYR - ACTIVOS Y RECUPERACIÓN S.A.S Así mismo se acreditó que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S cuenta con la autorización previa, expresa e informada proveniente de la Titular.

Finalmente se confirmó que la sociedad ACYR - ACTIVOS Y RECUPERACIÓN S.A.S no cuenta con la copia de la comunicación previa remitida a la Titular antes del reporte de información negativa, junto con la prueba de envío a la dirección física y/o electrónica informada por la Titular. Por consiguiente, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008: • Una multa de VEINTICUATRO (24) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a DOS MIL SETECIENTOS OCHENTA Y CUATRO (2.784) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TREINTA Y DOS MILLONES CIENTO SESENTA MIL SETECIENTOS SESENTA Y OCHO PESOS M/CTE ($32.160.768), 58 por incumplir el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2.

Sanciones y criterios para su graduación (Artículos 18 y 19). Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024. “Por la cual se impone una sanción y se imparten órdenes administrativas” con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023 13.1.2. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho y (v) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción.

DÉCIMO CUARTO: CONCLUSIÓN • Este Despacho encontró que no existe mérito para sancionar a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S. por el deber de suministrar a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable, pues quedó comprobado el vínculo comercial con la titular. • Este Despacho encontró la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S. cumplió con el deber de solicitar y conservar copia o evidencia de la respectiva autorización otorgada por la titular de la información, pues de acuerdo con el acervo probatorio la autorización fue otorgada al acreedor originario BANCO WWB mediante formulario de vinculación. • Se evidenció que la sociedad no efectuó el envío de la comunicación previa antes de efectuar el reporte negativo, por lo que se procede a impartir unas órdenes para que la sociedad actualice o adecue sus procesos y procedimientos con el fin de que esto no vuelva a suceder, así mismo, que proceda a suprimir todos los reportes negativos efectuados ante los Operadores de información respecto de los cuales no conserve soporte del envío de la comunicación previa DÉCIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., identificada con el Nit 901.073.965-3, con el correo electrónico de notificación judicial acyr.sas@hotmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 24-361992. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., identificada con el Nit 901.073.965-3, una sanción de VEINTICUATRO (24) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a DOS MIL SETECIENTOS OCHENTA Y CUATRO (2.784) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TREINTA Y DOS MILLONES CIENTO SESENTA MIL SETECIENTOS SESENTA Y OCHO PESOS M/CTE ($32.160.768), por la infracción en: • El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015 Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: ORDENAR a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., identificada con el Nit 901.073.965-3, cumplir con lo siguiente, según lo expuesto en la parte motiva: • La sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., deberá actualizar y/o adecuar los procedimientos que tiene establecidos con el fin de cumplir a cabalidad con el deber especial de comunicar al titular con antelación de 20 días, previos al reporte negativo.

Así mismo, deberá conservar los soportes de la comunicación y el envío y proceder a suprimir todos los reportes negativos efectuados ante los Operadores de información respecto de los cuales no conserve soporte del envío de la comunicación previa. Lo anterior, dentro del término de los TRES (3) MESES siguientes a la ejecutoria de la presente decisión. Parágrafo primero: La sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., identificada con el Nit 901.073.965-3, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

Parágrafo segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., identificada con el Nit 901.073.965-3,acreedora de las sanciones previstas en la ley. “Por la cual se impone una sanción y se imparten órdenes administrativas”

ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ACYR – ACTIVOS Y RECUPERACION S.A.S., identificada con el Nit 901.073.965-3, a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4. COMUNICAR la presente decisión a la señora XXXXXXXXXXXXX XXXXXXXX, identificada con cédula de ciudadanía N.º XXXXXXXX.

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede Principal: Carrera 13 # 27-00 piso 3, Edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 18 de junio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.06.18 12:06:36 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCIA MOLINA Proyectó: JB Revisó: YA Aprobó: CG NOTIFICACIÓN: Entidad: ACYR - ACTIVOS Y RECUPERACIÓN S.A.S. Identificación: Nit.: 901.073.965-3 Representante Legal: LUIS HERNANDO MONTEALEGRE SALGADO Identificación: C.C. N.º 19.436.716 Dirección: CR 27 N.º 65 61 OF 405 Ciudad: Bogotá D.C Correo electrónico: acyr.sas@hotmail.com COMUNICACIÓN: Señora: XXXXXXXXXXXXX Identificación: C.C. N.º XXXXX Dirección: XXXXXXX Ciudad: XXXXXXXXX Correo electrónico: XXXXXXXXXXXXXX