Resolución sancionatoria N° 61609 de 2023

(09 de octubre de 2023) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 21-90213 EL DIRECTOR DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA, identificada con Nit. 860.003.020-1, por lo que decidió iniciar investigación administrativa mediante la Resolución N° 78119 del 30 de noviembre de 2021 en consideración a la remisión realizada por el Grupo de Trabajo de Habeas Data, el cual en la parte considerativa de la Resolución N°. 59129 del 24 de septiembre de 2020 evidenció que: “( ) 6.2.

Respecto de la autorización previa, expresa e informada otorgada por el titular y la solicitud de supresión de información personal. (…) En el artículo 9 de la Ley 1581 del 2012, se establece lo relacionado a la autorización previa e informada por parte del titular de la información, la cual se encuentra ligada a que este cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, que resultan vitales para salvaguardar los derechos a la intimidad y al buen nombre, al respecto la corte en la Sentencia T-017 de 2011 se pronunció en los siguientes términos: ‘En cuanto al núcleo esencial del habeas data, se ha dicho que está constituido por el derecho a la autodeterminación informática y por la libertad en general, y en especial la libertad económica.

Quiere esto decir que el habeas data confiere a su titular la posibilidad efectiva de controlar la inclusión de su información personal en los referidos archivos y bancos de datos, siendo la autorización previa y consciente de la persona concernida un requisito indispensable para la válida recolección y almacenamiento de estos datos. La autodeterminación informática incluye también la posibilidad que toda persona tiene de conocer, actualizar y rectificar la información personal que se haya recogido sobre ella.

En cuanto a la libertad económica, ha dicho la Corte que ésta puede ser vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no hayan sido autorizados por la persona concernida o por la ley.’ Por su parte, el literal b) del artículo 17 de la Ley 1581 de 2012, establece los deberes que le asisten a los responsables del tratamiento de la información respecto de la solicitud y conservación de copia de la respectiva autorización otorgada por los titulares para el tratamiento de sus datos personales. ‘Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…)’. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.’ “Por la cual se impone una sanción y se imparten órdenes administrativas” Anudado a lo anterior es necesario mencionar que el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015 donde se define la forma en que se debe otorgar la autorización: ‘(…)

ARTÍCULO 2. 2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (Decreto 1377 de 2013, art. 5)

ARTÍCULO 2. 2.2.25.2.3. De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones: 1.

Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. 2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles. (…)’ Ahora bien, en el caso bajo examen, se observa que el reclamante allega copia de la reclamación vía email presentada ante la sociedad Cobranza Nacional de Créditos S.A.S. donde les solicita prueba de ‘(…) la autorización para contactarlo vía celular por obligaciones de terceros (…)’ la cual es respondida por dicha compañía informándole que debe suministrar el número de teléfono al cual le están realizando las llamadas junto con el número cédula, no obstante lo anterior, afirma el titular que esta última no otorgó respuesta a pesar de haberles entregado estos datos, razón por la cual, solicita investigar y sancionar a la sociedad Cobranza Nacional de Créditos S.A.S. por indebido tratamiento de datos personales.

(Ver consecutivo No. 19-302028-0) Al respecto, la sociedad Cobranza Nacional de Créditos S.A.S., aclaró que, uno de sus objetos sociales principales consiste en realizar gestión de cobro a obligaciones determinadas por clientes corporativos quienes le hacen asignaciones mensuales de carteras en mora, aunado a ello, señaló que actuó de conformidad con las políticas de cobranzas delimitadas para tal fin y, que el contacto telefónico fue obtenido de la base de datos suministrada a ellos por el banco BBVA donde encontró que el señor XXXXXXXXXXXXXXXXXXX está relacionado como referencia personal del señor XXXXXXXXXXXXXXXXXXX como consta el documento denominado ‘solicitud de vinculación y contratación de productos’ y, sucesivamente, aseguran, que dejaron de desplegar gestión al número telefónico asociado al titular.

(Ver consecutivos Nos. 19-302528-5 al 9) Frente a tal afirmación, este Despacho evaluó la documentación obrante en el expediente encontrando que la sociedad Cobranza Nacional de Créditos S.A.S., efectivamente, allegó copia del documento denominado ‘solicitud de vinculación y contratación de productos’ donde es visible en su acápite de referencias personales/comerciales el nombre del señor XXXXXXXXXXXXXXXX y su número de contacto.

No obstante lo anterior, aunque allí parecen estar contenidas algunas instrucciones y/o autorizaciones, lo cierto es que no se observa de manera clara y legible que allí se encuentre la autorización previa, expresa e informada del señor XXXXX XXXX XXXXXX XXXXX para que dicha compañía pueda tratar sus datos personales (evidenciable en imagen No. 2).

(…) “Por la cual se impone una sanción y se imparten órdenes administrativas” A la luz de lo anterior, es menester para este despacho plantear las siguientes precisiones, en primer lugar, que los datos asociados al señor señor XXXXXX XXXX XXXXXX XX se encuentran depositados en el acápite de referencias personales del documento denominado ‘solicitud de vinculación y contratación de productos’, en segundo lugar que, en su acápite de autorizaciones no se evidencia copia clara y legible de la autorización previa, expresa e informada donde, afirmó, se encuentra inmersa la constancia para el tratamiento de los datos personales del reclamante, aunado a que, dicho documento está signado por persona distinta al reclamante, en este sentido, no obra prueba de la autorización otorgada por el señor señor XXXXXX XXXX XXXXXX XXXXX para que la sociedad Cobranza Nacional de Créditos S.A.S. trate sus datos personales.

(Ver consecutivos Nos. 19-302528-5 al 9) Continuando con el análisis del legajo probatorio, observó este despacho que en el documento denominado ‘solicitud de vinculación y contratación de productos persona natural’ aportada en blanco por la sociedad denunciada para efectos de mejor lectura y por medio del cual pretende demostrar que medió autorización del banco BBVA para que la sociedad Cobranza Nacional de Créditos S.A.S tratara los datos personales del reclamante relacionada previamente (bajo la imagen No.1) se tiene que, en su cláusula quince acápite ‘compartir información’ contiene la siguiente autorización: ‘(…) con las entidades pertenecientes a su conglomerado financiero, su matriz, vinculadas, filiales o subsidiarias en Colombia o en el exterior y los terceros que apoyan sus operaciones de cobranza y de cualquier otra naturaleza, públicos o privados, ya sea para establecer relaciones contractuales, prestación de servicios o de otro tipo, procesamiento de transacciones, entrega de mensajes y para la comercialicen de productos o servicios o derivados de alianzas comerciales (…)’, no obstante, el presente documento tampoco se encuentra firmado por el señor señor XXXXXX XXXX XXXXXX XXX, por ello, la citada autorización no es oponible al reclamante, aunado esto, debe precisar el Despacho que la sociedad denunciada tampoco aportó prueba siquiera sumaria donde demuestre el vínculo comercial con el Banco BBVA y por ende su calidad de Responsable/Encargado para el tratamiento de los datos personales tratados por dicha entidad.

(…)”

SEGUNDO: Que dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Hábeas Data se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1. Denuncia radicada con el número 19-302028-0 el 27 de diciembre de 2019 ante esta Superintendencia por XXXXXXXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía número XX.XXX.XXX, la cual fue objeto de estudio por parte del Grupo de Trabajo de Habeas Data y remitida al Grupo de Investigaciones Administrativas mediante Resolución 59129 del 24 de septiembre de 2020, y de la que se extraen los siguientes hechos: a) Señala que presentó reclamación ante la sociedad Cobranza Nacional de Créditos S.A.S., la cual no otorgó respuesta a pesar de haberles suministrado datos que le fueron solicitados. b) Solicita investigar y sancionar a la sociedad Cobranza Nacional de Créditos S.A.S. por indebido tratamiento de datos personales. c) Allega copia de la reclamación vía email presentada ante la sociedad Cobranza Nacional de Créditos S.A.S. donde les solicita prueba de “(…) la autorización para contactarlo vía celular por obligaciones de terceros (…)”, copia de la respuesta otorgada por dicha compañía donde le informan que debe suministrar el número de teléfono al cual se le están realizando las llamadas junto con el número cédula, y copia del email donde proporciona los datos solicitados por la sociedad en comento. 2.2.

Oficio 21-90213-3 del 07 de abril de 2021, mediante el cual, en cumplimiento a lo indicado en el artículo 3 de la Resolución 59129 del 24 de septiembre de 2020, el Grupo de Investigaciones Administrativas requirió a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. lo siguiente: “(…) 1. Remita copia del acuerdo mediante el cual le asignó a la sociedad COBRANZA NACIONAL DE CRÉDITOS S.A.S. identificada con Nit. 800.219.668-3 la gestión de cobro relacionada con la obligación del señor XXX XXXXX XXXXXX XXXXXXXXXXX identificado con cédula de ciudadanía número XX.XXX.XXX y el siguiente formulario: “Por la cual se impone una sanción y se imparten órdenes administrativas” 2.

Informe de manera técnica y detallada como realizó la transferencia de datos personales relacionados con la gestión de cobro de la obligación del señor XXXXXX. 3. Remita copias de todos los soportes ya sean documentales o audiovisuales en donde se puedan evidenciar las instrucciones suministradas por parte de su cliente corporativo con relación a la gestión de cobro de la obligación del señor XXXXXX. 4.

Informe si cuenta con autorización previa, expresa e informada por parte del señor XXXXXX XXXXXX XXXXXXX XXXXXX identificado con cédula de ciudadanía XX.XXX.XXX para el tratamiento de sus datos personales, con relación a la obligación del señor XXXXXX referida en el primer numeral de este requerimiento. En caso de que su respuesta sea afirmativa, sírvase remitir el soporte de dicha autorización y donde se acredite que se le informó al Titular de las finalidades de la recolección y el tratamiento de sus datos personales de acuerdo con lo establecido en el literal b) y c) del artículo 17 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015. 5.

Informe si ha recibido peticiones, consultas, reclamos y/o algún tipo de comunicación del señor XXXXXX XXXXXX XXXXXXX XXXXXX identificado con cédula de ciudadanía XX.XXX.XXX relacionadas con el tratamiento de sus datos personales. En caso de que su respuesta sea afirmativa, sírvase aportar copia de estas con sus respectivas respuestas. (…)” 2.3.

Comunicación presentada ante esta Superintendencia por la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., radicada con el número 21-90213-6 del 22 de abril de 2021, al interior de la cual, en repuesta al requerimiento enunciado en el numeral 3.2. del presente acto administrativo, indicó lo siguiente: “(…) 1. Es nuestro deber advertir y precisar que de conformidad con lo previsto en el artículo 2 literal e) de la Ley 1581 de 2012 y el artículo 17 de la Ley 1266 de 2008, la competencia para conocer las actuaciones derivadas de las quejas relacionadas con el tratamiento de datos regulados por la Ley 1266 de 2008 y entregados por los clientes a las entidades financieras, por expreso mandato legal es exclusiva de la Superintendencia Financiera de Colombia. 2.

El señor XXXX XXXXXX XXXXXX XXXXXXX, así como el señor XXXXXX XXXXXX XXXXXX XXXXXX, son titulares de productos financieros con el Banco, razón por la cual, los dos cuentan con formulario de vinculación y han otorgado autorización a BBVA Colombia para verificación y tratamiento de sus datos e información. 3. Como es sabido, por expresa disposición legal, en especial las normas dispuestas en la Circular Básica Jurídica “Parte I, Titulo IV, Capitulo IV relacionadas con el conocimiento del cliente y SARLAFT, así como las normas previstas en la Circular Básica Contable y Financiera relacionadas con el análisis de riesgo de crédito y capacidad de pago del deudor, en concordancia con los dispuesto en el Ley 1266 de 2008, el señor XXXX XXXXXX XXXXXX XXXXXXX al momento de vincularse con el Banco y solicitar la apertura de productos xxxxxx y contratos de crédito, puso a disposición de la entidad para los fines de validación de información sobre sus hábitos y capacidad de pago, los datos del señor XXXXXX XXXXXX XXXXXXX XXXXX, incluido el número de celular XXXXXXXXXXXXXXXX.

Se adjunta a la presente copia del formulario de vinculación del señor XXXXXX. 4. En el mencionado formulario de vinculación, diligenciado con el propósito de establecer relación contractual, de manera libre y voluntaria, el señor XXXXXXX puso a disposición de BBVA una serie de información relacionada con sus generales de ley, identidad, ubicación, actividad a la que se dedica, ingresos y procedencia de los mismos, tipo de operaciones que realiza tanto nacionales como internacionales, actividades a las que se dedica, empresa donde trabaja o con la que tiene vínculos comerciales, referencias, patrimonio, declaración de renta, y en general, toda aquella data necesaria para su vinculación y el análisis de riesgo de crédito, información toda que de conformidad con la legislación vigente se encuentra sometida a la Reserva Legal y no podrá ser suministrada a terceros sino con autorización del titular u orden de autoridad competente dentro de una investigación especifica.

“Por la cual se impone una sanción y se imparten órdenes administrativas” 5. De conformidad con lo dispuesto por parte de la Superintendencia Financiera de Colombia en la Circular Básica Jurídica - Parte I - Instrucciones Generales Aplicables a las Entidades Vigiladas - Título III Competencia y Protección del Consumidor Financiero - Capítulo I: Acceso e Información al Consumidor Financiero Numeral 5.

Condiciones de la Gestión de Cobranza Realizada a los Consumidores Financieros, BBVA Colombia dentro de su gestión de recuperación y saneamiento de la obligación con contrato xxxxxxxxxxxxxx a cargo del señor XXXX XXXXXX XXXXXX XXXXXXXXXXX, intentó en repetidas ocasiones de forma infructuosa la comunicación con el titular, razón por la cual, con ocasión del dato suministrado por el mismo deudor, apelando a las mejores prácticas en la gestión de cobranza, y en absoluto respecto de la Reserva Legal, la entidad llevó a cabo el contacto con el señor XXXXXX XXXXXX XXXXXX, con la finalidad de obtener datos de la ubicación del señor XXXXXXXX.

Conforme con lo establecido por parte de la Superintendencia Financiera de Colombia en la Circular en comento, sobre la obligación de las entidades financieras de información a los deudores en materia de cobranza, en lo que respecta a informarles las políticas y mecanismos implementados por la entidad para efectuar la gestión de cobranza prejudicial, se resalta que BBVA Colombia puso a disposición del señor XXXXXX la “Política para la gestión de cobranza BBVA Colombia”, que en el aparte de medios para gestionar la cobranza indica: “La gestión de cobro también puede dirigirse a las personas que figuren como codeudores, avalistas, referencias, garantes, o deudores solidarios de las obligaciones.” 6.

En las comunicaciones telefónicas al señor XXXXXX XXXXX XXXX XX por parte de BBVA Colombia, en todo momento se garantizó el respeto de la intimidad y la privacidad del señor XXXXXXX, pues, tal como se indicó, en ningún momento se suministró información comprendida dentro de la reserva bancaria. 7. Es importante aclarar que los contactos telefónicos con el señor XXXXXXXXXXXXXXXXXX a que se refiere el numeral anterior, obedecieron entre otros factores a los siguientes: a) El señor XXXX lo incluyo como un contacto “referencia” y suministró su número telefónico para tal fin, razón por la cual, el Banco se encontraba legítimamente autorizado para contactarlo y verificar la información suministrada por el señor XXXX en el formulario de vinculación, incluso para su posterior ubicación; b) El contacto telefónico obedeció a que el señor XXXX presentaba mora en el pago de su obligación, por lo que se hacía necesario contactarlo a efectos de entender si el retraso obedecía a una afectación con ocasión de la emergencia generada por el Covid-19 y de ser así, ofrecerle los beneficios de las Circulares 007 y 014 expedidas por la Superintendencia Financiera de Colombia. 8.

La recolección, uso y tratamiento de la información de contacto del señor XXXXXXXXXXXXXXXX XXXXX, se ajusta a la normativa vigente tanto en la relación contractual del mencionado señor con BBVA como en lo que al suministro de información por el señor XXXXXXX respecta. 9. Tanto el señor XXXX XXXX XXXXXXS XXXXXX y el señor XXXXXXXXXXXXXXXXXXXX XXXXX, entregaron de forma proactiva, informada y debidamente autorizada información comercial, personal y financiera, incluso datos que gozan de reserva bancaria.

Con ocasión de su requerimiento, informamos a su Despacho lo siguiente: (i) (ii) (iii) (iv) (v) (vi) Se remite copia del contrato suscrito entre BBVA Colombia y COBRANZA NACIONAL DE CRÉDITOS S.A.S. identificada con Nit. 800.219.668-3. Se remiten las gestiones realizadas por el Banco para hacer la asignación de la gestión de cobranza tendiente a la recuperación de la obligación a cargo del señor XXXX, en donde se evidencian los requisitos técnicos detallados para acceder a la información y poder realizar la gestión de cobros del caso particular, así como el detalle de las actuaciones adelantadas.

Se remite el “Marco de actuación de las agencias de cobranza”, donde se encuentran condiciones y parámetros establecidos por BBVA Colombia respecto a la gestión que deben seguir las empresas de cobranza. El Banco en calidad de responsable de los datos de los señores XXXX XXXXX XXXXX XXXXXXX y XXXXXX XXXXX XXXXXX XXXXXXX cuenta con las autorización [SIC] para el tratamiento de sus datos, tal y como lo señala las Leyes 1266 de 2008 y 1581 de 2012.

Se adjuntan a la presente los consentimientos. A la fecha ni el señor señores XXXX XXXXX XXXXX XXXXXXX y XXXXXX XXXXX XXXXXX XXXXX han presentado reclamación alguna al Banco en relación con el tratamiento de sus datos personales. Se ha procedido con la supresión del dato de contacto del señor XXXXXX XXXXX XXXXXXX XXXXXX como contacto o referencia del señor XXXXX.

(…)” (subrayado agregado) “Por la cual se impone una sanción y se imparten órdenes administrativas” Adicionalmente, en el anexo IV de esta comunicación se pudo verificar, por una parte, el formulario de vinculación suscrito por el señor XXXX XXXXXX XXXXXX XXXXXXXX en calidad de titular de productos financieros con la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., en el cual listó al señor XXXXX XXXXXX XXXXXXX como referencia, tal como consta en la siguiente imagen: “(…) (…)” (resaltado agregado) Y por otra, el formulario de vinculación suscrito por el señor XXXXXXXXXXXXXXXXXXX en calidad de titular de productos financieros con la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., el cual contiene la siguiente autorización por parte del señor XXXXXXXX: “(…) (…)” (resaltado agregado)

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas trasladadas de la actuación del Grupo de Trabajo de Habeas Data de esta Dirección, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 30 de noviembre de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 78119 por medio de la cual se formularon cargos a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A.– BBVA COLOMBIA, identificada con Nit. 860.003.020-1, por la presunta contravención de lo dispuesto en el:  Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y  Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 La mencionada resolución le fue notificada a la investigada el día 6 de diciembre de 2021 de forma electrónica de conformidad con la certificación de fecha del 15 de diciembre de 2021 expedida por la Secretaría General de esta Superintendencia bajo el radicado 21-90213-14.

“Por la cual se impone una sanción y se imparten órdenes administrativas”

CUARTO: Que la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A.– BBVA COLOMBIA., aportó escrito de descargos, junto con anexos bajo el radicado 21-90213-15 del 28 de diciembre de 2021, argumentando, entre otras cosas, lo siguiente: 4.1. Inicialmente, realiza un recuento de los presupuestos procesales y de los hechos que motivaron la apertura de la investigación. 4.2.

En cuanto a la falta de competencia de esa entidad, menciona que: “(…) El reproche de la Superintendencia de Industria y Comercio (SIC) a la conducta desplegada por el Banco BBVA se asocia a la recolección y tratamiento de datos personales de XXXXXXX XXXXXXXX, usados por el Banco BBVA y/o por la sociedad Cobranza Nacional de Créditos S.A.S. Conalcréditos, para contactarlo con la finalidad de actualizar la información de XXXX XXXX XXXXXXXXXXX, quien a su vez lo había incluido como referencia comercial en el formulario de vinculación para la solicitud de un crédito de consumo que adquirió con el Banco BBVA (…)”1 Al respecto, agrega que: “(…) La Superintendencia de Industria y Comercio (SIC) carece de competencia para iniciar la investigación administrativa de la referencia, por cuanto los datos de contacto de XXXXX XXXXX XXXXX XX, suministrados por XXXX XXXXX XXXXXXXXX a título de referencia comercial, fueron usados por el Banco BBVA con la exclusiva finalidad de contactarlo para (i) verificar la solvencia y buen nombre comercial del solicitante de un producto financiero por parte de XXX XXXXX XXXXXXXXXXX y (ii) actualizar la información de contacto de XXXX XXXXX XXXXX XXXXXX, cuyo crédito de consumo se encontraba en mora.

La información de contacto de XXXX XXXXX XXXXX XXXXXX, incorporada como una referencia comercial dentro de la solicitud de un producto crediticio es información cuyo uso se encuentra reglado por las normas especiales de habeas data financiero consagradas en la Ley 1266 de 2008 y sus decretos reglamentarios (…)”2 Posteriormente, se refiere al ámbito de aplicación de la Ley 1266 del 2008 para mencionar que: “(…) En el caso que nos ocupa, la Superintendencia de Industria y Comercio (SIC) abrió la investigación administrativa de la referencia bajo el entendimiento de que el tratamiento del teléfono de XXXXXXXXXXXXXXXXXXXXXX es un tratamiento de un dato personal que contraviene los mandatos sobre administración de datos personales impuestos a los denominados Responsables del Tratamiento en los términos del artículo 17 de la Ley 1581 de 2012.

Ello, no obstante, como pasa a argumentarse, el uso del teléfono de XXXXX XXXXX XXXXXX XXXXX-que es un dato personal asociado a dicho titular-, es un tratamiento de datos personales que se enmarca de manera clara en los postulados de la Ley 1266 de 2008, en los términos en que dicha norma fue interpretada por la Corte Constitucional en la Sentencia C-1011 de 2008 y en plena armonía con los principios rectores de dichos tratamientos (…)”3 A continuación, hace una referencia a los principios aplicables a la Ley 1266 de 2008 y sobre el tratamiento de los datos que involucran dicha ley para manifestar que: “(…) Radicado 21-90213-15-3, págs. 7 Ibid, págs. 7 y 8 Ibidem. pág 9 “Por la cual se impone una sanción y se imparten órdenes administrativas” La recolección y tratamiento de información personal de contenido comercial, financiero, crediticio y de servicios se encuentra legitimada por la utilidad que presta su administración al sistema financiero, así como a las actividades comerciales, de crédito y servicios.

Es por esa razón que el ‘conocimiento o divulgación [de ese tipo de información] puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general’ (Subrayado fuera de texto), lo que permite clasificarla como datos semiprivados (…)”4 Finalmente, sobre este punto, agrega que “(…) La interpretación integral de las normas y la jurisprudencia sobre habeas data financiero es preciso concluir que en virtud (i) del principio de veracidad y calidad de los registros;

(ii) del deber de garantizar la calidad de los mismos; (iii) de la autorización otorgada por el Titular a la Fuente para el tratamiento de sus datos (directamente o por estipulación por otro); (iv) el principio de favorecimiento a una actividad de interés público; (v) la protección de los derechos de los Titulares (…) ” 4.3. A continuación, se refiere a una decisión adoptada por esta Delegatura en la cual se trató la naturaleza de los datos de carácter financiero, es decir la Resolución N°. 24913 del 29 de mayo de 2020.

Sobre esta Resolución, menciona que “el Superintendente Delegado para la Protección de Datos, concluye, correctamente, que la Ley 1581 de 2012 es aplicable a las entidades financieras vigiladas por la Superintendencia Financiera de Colombia cuando los datos personales contenidos en una determinada base de datos son usados para finalidades diferentes al riesgo crediticio.”5 Al respecto, establece estar conforme con la conclusión de la mencionada Resolución en la medida en que “(…) La aplicación de una u otra norma de protección de datos personales al tratamiento de información personal no está determinado por la naturaleza del sujeto que trata la información, sino que debe valorarse la finalidad del tratamiento: si el tratamiento de los datos personales se clasifica como un tratamiento de información relacionado con el nacimiento, ejecución y extinción de obligaciones dinerarias, y su uso está relacionado con la valoración del riesgo crediticio en armonía con el principio de favorecimiento a una actividad de interés público, la ley aplicable es la Ley 1266 de 2008 (…)”6 Concluye las alegaciones indicando que “(…) La información de contacto de XXXX XXXXX XXXXX XXXXX, suministrada legítimamente por XXX XXXXX XXXXX XXXXXX, es información que fue objeto de tratamiento por parte del Banco BBVA y Conalcréditos con la finalidad exclusiva de (i) obtener referencias comerciales para tomar una decisión sobre el otorgamiento de un crédito y (ii) actualizar la información de contacto de XXXX XXXXX XXXXX XXXXX.

(…) La finalidad con la cual el Banco BBVA y Conalcréditos usaron el dato personal de XXXXXX XXXXXX XXXXXXX XXX está directamente relacionada con la correcta ejecución de la obligación en mora de XXXX XXXXXXX XXXXX XXXX. El Banco BBVA no usó el dato personal de xXXXXX XXXXXX XXXXXX XXXXXXXX XXXXX con una finalidad extraña al objetivo fundamental por la cual una entidad financiera solicita una referencia comercial en un formato de vinculación de un crédito: conocer a su potencial deudor y estar en la capacidad de contactarlo para que esa obligación dineraria que incide en la valoración de riesgo de sus activos sea pagada efectivamente Ibidem, pág. 12 Ibidem, pág. 14 Ibidem, pág. 16 “Por la cual se impone una sanción y se imparten órdenes administrativas” (…)”7 4.4.

Frente a la autorización del titular menciona que la autorización otorgada por XXXX XXXXXX XXXXXX XXXX para contactar a XXXXX XXXX XXXX XXXX es una autorización legítima según las normas del régimen general de protección de datos personales en tanto el modo de su obtención fue mediante estipulación a favor de otro, como lo determina el Decreto único Reglamentario 1074 de 2015, en su artículo 2.2.2.25.4.1., como la forma en que los derechos del titular, incluyendo el derecho básico del titular de autorizar el tratamiento de sus datos personales según el principio de libertad, puede ejercerse por personas diferentes al titular mismo cuando se trate de causahabientes, representados o terceros frente a los cuales se configura una estipulación para otro.

Finaliza esta parte de su argumentación indicando que “ (…) Como se solicita a la Dirección en este memorial de descargos, la investigación abierta a mi poderdante debe archivarse en la medida en que: (i) XXXX XXXXXX XXXXX XXXXX legítimamente suministró la información de XXXXX XXXXX XXXX XXXXX para que pudiera ser usada por el Banco BBVA con la exclusiva finalidad de servir como Referencia Comercial y el Banco BBVA solamente ha tratado sus datos personales (su teléfono asociado a su nombre) para ese exclusivo fin;

(ii) El suministro de los datos personales de XXXXX XXXXX XXXXXX XXXX por parte de XXXX XXXX XXXX XXXXXX se encuentra legitimado por la figura de la estipulación para otro que es un mecanismo previsto por el decreto reglamentario de la Ley 1581 de 2012 para el ejercicio de los derechos del titular; y (iii) El Banco BBVA al usar los datos de contacto de XXXXX XXXXX XXXXXX XXXXXX con la exclusiva finalidad de contactarlo para validar la información de contacto de XXXX XXXX XXXXX XXXXXXX, cumple con su deber de mantener la veracidad y calidad de sus bases de datos conforme se lo ordena la Ley 1266 de 2008 y la Ley 1581 de 2012 (…)”8 4.5.

En cuanto a la finalidad del tratamiento, alega que la figura del referido comercial se ha utilizado en una decisión de esta entidad sin valorar al alcance completo de dicha definición legal, al señalar que dentro de la Resolución N°. 68380 de 2020 no se hace referencia a una base legal o jurisprudencial para mencionar que “la denominada “referencia comercial” puede usarse tanto para la verificación de la identidad como para la verificación del comportamiento del adquirente de un producto financiero con las obligaciones adquiridas, a renglón seguido, y de manera contradictoria, concluye que “no pueden los responsables del tratamiento usar el dato personal para fines que no hayan sido previamente autorizados por su titular, en el caso particular, el de ubicar al deudor o actualizar sus datos”9 Considera finalmente que esa información sí puede entregarse de manera legítima por un tercero (a través de la estipulación para otro) y su uso estará condicionado a que los datos se traten con una finalidad compatible con las razones que motivan su solicitud por parte de una entidad financiera, de manera que esté claramente limitada su finalidad.

Sustenta este punto haciendo referencia a que las entidades del sector financiero tienen una obligación de conocimiento de sus clientes, que está integrado por dos componentes fundamentales: (i) el cumplimiento de sus obligaciones de prevención de riesgos de lavado de activos y financiación del terrorismo; y, (ii) el cumplimiento de sus deberes de gestión de riesgo crediticio, amparándose en la Circular Básica Jurídica de la Superintendencia Financiera de Colombia (Circular 007 de 1996, modificada por la Circular 029 de 2014). 4.6.

Finalmente, aporta los certificados de existencia y representación legal de su representada, su poder para actuar y solicita el archivo de la investigación. Ibidem, pág. 17 y 18 Ibidem, págs. 21 y 22 Ibidem, págs. 23 y 24 “Por la cual se impone una sanción y se imparten órdenes administrativas”

QUINTO: Que mediante Resolución N°. 10379 del 4 de marzo de 2022, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: 5.1. Denuncia radicada con el número 19-302028-0 el 27 de diciembre de 2019 ante esta Superintendencia por el denunciante. 5.2.

Requerimiento de información radicado 21-90213-2 del 07 de abril de 2021, a la sociedad COBRANZA NACIONAL DE CRÉDITOS S.A.S. 5.3. Requerimiento de información radicado 21-90213-3 del 07 de abril de 2021, a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. 5.4. Comunicación, con anexos, presentada ante esta Superintendencia por la sociedad COBRANZA NACIONAL DE CRÉDITOS S.A.S., radicada con el número 21-90213-4 del 21 de abril de 2021, al interior de la cual da respuesta a los planteamientos del Despacho. 5.5.

Comunicación, con anexos, presentada ante esta Superintendencia por la sociedad COBRANZA NACIONAL DE CRÉDITOS S.A.S., radicada con el número 21-90213-5 del 21 de abril de 2021, al interior de la cual da respuesta a los planteamientos del Despacho. 5.6. Comunicación, con anexos, presentada ante esta Superintendencia por la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., radicada con el número 21-90213-6 del 21 de abril de 2021, al interior de la cual da respuesta a los planteamientos del Despacho. 5.7.

Escrito de descargos presentando por el apoderado de la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA, bajo el radicado N°. 21-90213 - 15, en fecha 28 de diciembre de 2021. La mencionada resolución le fue comunicada a la investigada el día 7 de marzo de 2022 de conformidad con la certificación de fecha del 17 de marzo de 2022 expedida por la Secretaría General de esta Superintendencia bajo el radicado 21-90213- -19.

SEXTO: Que mediante radicado 21-203205-22 del 18 de marzo de 2022 la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA presentó escrito de alegatos de conclusión. 6.1. En ellos, reitera lo dicho en la etapa de descargos, solicitando archivar la investigación con fundamento en las pruebas que obran dentro del expediente. 6.2.

Agrega que el hecho de haber abierto la presente investigación implicaría la necesidad de abrir investigaciones en contra de todos los solicitantes de productos financieros que incluyan una referencia comercial en los formatos de solicitud de productos. 6.3. Al respecto, señala que su representada no falto a sus deberes legales “ al tratar esos datos con una finalidad delimitada que se encuentra plenamente asociada a garantizar la calidad de sus registros frente a una obligación dineraria en mora que se enmarca dentro las actuaciones legítimas de una institución financiera.” 6.4.

Finaliza señalando que las actividades de tratamiento de datos adelantadas por el Banco BBVA se corresponden los deberes señalados por la Superintendencia Financiera de Colombia (SFC) y en estricto cumplimiento de los principios consagrados en la Ley 1266 de 2008.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Adecuación típica “Por la cual se impone una sanción y se imparten órdenes administrativas” La Corte Constitucional mediante sentencia C-748 de 201110, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en a. Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y b. Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2.1 En cuanto a la competencia de esta entidad La investigada cuestiona la competencia de esta entidad para investigar los hechos de este proceso al señalar que carece de competencia para iniciar la investigación administrativa de la referencia, por cuanto los datos de contacto de XXXX XXXXXX XXXXXXX XXXXXX, suministrados por XXXX XXXXXX XXXXXX XXXXXXX fueron usados en virtud de la figura de referencia comercial.

Posteriormente, se refiere al ámbito de aplicación de la Ley 1266 del 2008 para mencionar que el uso del teléfono de XXXX XXXXX XXXX XXXXXXXXXXXXXXX es un dato personal asociado a dicho titular, es un tratamiento de datos personales que se enmarca de manera clara en los postulados de la Ley 1266 de 2008, en los términos en que dicha norma fue interpretada por la Corte Constitucional en la Sentencia C-1011 de 2008 y en plena armonía con los principios rectores de dichos tratamientos Frente a estos argumentos, este Despacho debe señalar que en consideración a lo señalado en la sentencia T 419/13 cuando esta señala que “(…) Como consecuencia de la regulación estatutaria de índole sectorial, es posible identificar en el derecho constitucional colombiano dos expresiones del derecho fundamental al habeas data.

Una de carácter general, predicable de todas las modalidades de administración de datos personales y cuyas reglas particulares y concretas están contenidas en la Ley Estatutaria 1581 de 2012 “por la cual se dictan disposiciones generales para la protección de datos personales” 11. Otra, de carácter sectorial12 y particularmente aplicada para el caso de la administración de datos personales dirigida Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Este naturaleza sectorial fue evidenciada por la Corte al señalar que “[l]a iniciativa es una regulación del derecho al hábeas data con un carácter sectorial, en la medida en que los mecanismos concretos para la protección del derecho contenidos en el Proyecto respondían exclusivamente a la recopilación de datos personales de contenido financiero, comercial y crediticio, destinados al cálculo del riesgo crediticio, sin que el legislador hubiera extendido las consecuencias jurídicas de la regulación a otros escenarios de protección de datos personales, y en relación con esos distintos escenarios, no existe una disposición respecto de la cual pueda predicarse la “Por la cual se impone una sanción y se imparten órdenes administrativas” al cálculo del riesgo crediticio, denominado por la jurisprudencia como habeas data financiero y contenida en la Ley Estatutaria 1266 de 2008 “por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.”13 Sin embargo, esta división en modo alguno significa que se trate de ordenamientos normativos separados, pues es evidente que comparten contenidos comunes, particularmente en lo que respecta a los principios que fundamentan la eficacia del derecho al habeas data.

(…)” Nótese como el legislador consagró dos regímenes que desarrollan el derecho fundamental de habeas data; un régimen sectorial dirigido exclusivamente al tratamiento de datos de carácter financiero, comercial y crediticio destinados al cálculo del riesgo crediticio relacionado con el nacimiento, ejecución y extinción de obligaciones de carácter dinerario de conformidad con lo establecido en la Ley 1266 de 2008, evento que en el caso concreto no se materializa, ya que la información tratada no tenía como propósito verificar el estado de las obligaciones de carácter dinerario del referido comercial.

De otra parte, el ámbito de aplicación de la segunda regulación, esto es, de la Ley 1581 de 2012 es aplicable a “(…) los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada (…)” tal como lo dispone el inciso segundo del artículo 2° de la norma precitada.

Así las cosas, considerando que los datos de contacto de un tercero con quien no se tiene relación jurídica, en este caso el referido, y que en este caso están presentes en la base de datos del BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA no son datos personales que se refieran al nacimiento, ejecución o extinción de este tipo de obligaciones, permite entender sin razonamientos abstractos o complejos que estamos ante un caso de aplicación directa de la Ley 1581 de 2012, ya que los datos de este tercero fueron usados para contactarlo y pretender actualizar información del deudor de la obligación financiera que fue contraída con el Banco.

Por otro lado, la investigada alega que “no explica cuál es el fundamento legal en que se basa para afirmar que los datos de una “referencia comercial”, cuya información ha sido aportada por el adquirente de un producto financiero, no pueden ser legítimamente tratados por una entidad financiera con la finalidad de verificar la identidad del titular o para verificar el comportamiento de ese titular con las obligaciones adquiridas, sin haber sido entregados de manera directa por su titular.” Sobre este punto, resulta pertinente tomar en cuenta lo señalado en la sentencia C - 748 del 201114 en la medida en que se debe hacer hincapié sobre el régimen jurídico aplicable.

De tal forma, la sentencia mencionada señala que: “(…) En el caso colombiano, el proyecto de ley que dio lugar a la Ley 1266 de 2008 buscaba convertirse en una ley de principios generales aplicable a todas las categorías de datos personales. Sin embargo, como observó esta Corporación en la sentencia C-1011 de 2008, pese a su pretensión de generalidad, el proyecto de ley en realidad solamente establecía estándares básicos de protección para el dato financiero y comercial destinado a calcular el nivel de riesgo crediticio de las personas.

Por ello en la referida sentencia, la Corte dejó claro que la materia de lo que luego se convertiría en la Ley 1266 es solamente el dato financiero y comercial. Por tanto, la Ley 1266 solamente puede ser considerada una regulación sectorial del habeas data. Este nuevo proyecto de ley busca llenar el vacío de estándares mínimos de protección de todos los datos personales –anunciado por la Corte Constitucional en la sentencia C-1011 de 2008, de ahí que su título sea precisamente ‘Por el cual se dictan disposiciones generales para la protección de datos personales’.

Esa intención también fue anunciada por el gobierno en la exposición de motivos, en la que afirmó: ‘(…) es necesario que el país cuente con una legislación integral y transversal que garantice la protección efectiva de los datos personales en todo el proceso de tratamiento’. Como se verá más adelante, pese a varias deficiencias que presenta el proyecto, puede concluirse que efectivamente introduce principios y reglas generales destinadas a garantizar algunos contenidos mínimos del derecho al habeas data. omisión legislativa, pues no concurre para el presente caso una regulación genérica del derecho fundamental al hábeas data, por lo que la Corte advierte que se está frente a una omisión legislativa de carácter absoluto, inasible por el control de constitucionalidad.” Cfr. Corte Constitucional, sentencia C-1011/08.

El control de constitucionalidad del proyecto de ley correspondiente fue adelantado por la Corte en la sentencia C-1011/08. Ibid. 6. “Por la cual se impone una sanción y se imparten órdenes administrativas” En consecuencia, con la introducción de esta reglamentación general y mínima aplicable en mayor o menor medida a todos los datos personales, el legislador ha dado paso a un sistema híbrido de protección en el que confluye una ley de principios generales con otras regulaciones sectoriales, que deben leerse en concordancia con la ley general (…)”.

(Negrilla y subrayado fuera del texto original.) En este punto, la razón por la cual los datos de un referido comercial no pueden ser usados para contactarse con este recae sobre la consideración de que la información tratada del tercero no fue usada para realizar cálculos sobre el riesgo crediticio, sino que, por el contrario, se usó para una finalidad que no se encuentra plasmada en los documentos signados por el deudor y que consistía en contactar al denunciante para solicitar información del deudor de la obligación mucho tiempo después de que este suscribiera la misma con la sociedad investigada.

Frente a la presencia de datos de carácter crediticio y de contacto en una base de datos en poder del BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA, es claro, que, en este caso, el uso del teléfono del señor XXXXXX XXXXXX XXXXXX XXXXXX, se usó fuera del ámbito de aplicación de la Ley 1266 del 2008 en la medida en que éste no es el deudor de la obligación contraída, de acuerdo con lo manifestado por el titular “(…)nunca los he autorizado para tratar mis datos personales y mucho menos para que me contacten por obligaciones que terceros tengan con ustedes”.

En esta medida, el contacto telefónico realizado al señor XXXXXX XXXXX XXXX XXXXXXXX, en el que se le preguntó por las obligaciones adquiridas por terceros es un tratamiento al cual se le aplica la Ley 1581 de 2012. Por ello, el hecho de usar el número de teléfono de un tercero (en este caso el denunciante) que claramente es un dato de carácter personal y que no está relacionado con ninguna obligación, le es aplicable la Ley 1581 de 2012, por cuanto el ámbito de aplicación de esta norma, conforme al artículo segundo de la misma, expone que las disposiciones contenidas en dicha ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

En este caso, al haber realizado tratamiento del número de teléfono del denunciante para indagar sobre obligaciones contraídas por un tercero, implica que el referido número celular estaba registrado en la base de datos de la investigada y que por tal motivo debía cumplir con los deberes y principios establecidos por la Ley 1581 de 2012. Así las cosas, este Despacho descarta de plano todos los argumentos que se puedan referir, en cuanto a esta investigación se refiere, a una supuesta falta de competencia de esta entidad. 8.2.2.

Respecto del deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: "ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas". Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

Al respecto, la Corte Constitucional ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su “Por la cual se impone una sanción y se imparten órdenes administrativas” consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática 2" Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada.

Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) b) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; ( ) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

"ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (. ) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

( )." Decreto Único Reglamentario 1074 de 2015 "ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuera del texto original) "ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos".

“Por la cual se impone una sanción y se imparten órdenes administrativas” Definición del consentimiento: En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).

El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera “(…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 199315, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 200316 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 200317, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. (…) De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es M.P. Ciro Angarita Barón M.P. Álvaro Tafur Galvis Ibídem “Por la cual se impone una sanción y se imparten órdenes administrativas” decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”18 (Negrilla incluida en texto original) Las definiciones de expreso, previo e informado señaladas y analizadas por la Corte Constitucional en la sentencia reseñada contienen elementos claves, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal.

Dichos elementos son los siguientes: a. Expreso: manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero; manifestación que, en todo caso, debe ser expresa para que la misma constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionar pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento. Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet.

El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular b. Informado: El titular debe conocer las finalidades del tratamiento de sus datos, por lo que la persona natural o jurídica, pública o privada, que realiza el tratamiento de los datos debe informarle al Titular los derechos relativos al tratamiento de estos, el modo de hacer valer sus derechos en relación con el tratamiento y las condiciones en que se efectuarán las actividades de tratamiento del mismo.

En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: “(…) a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento.” c. Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. 1.

El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. 2. Cfr. Corte Constitucional, sentencia C 748 del 2011.

M.P.: Jorge Ignacio Pretelt Chaljub “Por la cual se impone una sanción y se imparten órdenes administrativas” El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos. 3. Así, en los casos en que un Responsable del Tratamiento no puede acreditar que el consentimiento requerido del Titular es expreso, informado y previo, estaría incumpliendo el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la Ley en cita y el artículo 9 de la Ley 1581 de 2012, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 Ahora bien, frente a este deber, este Despacho evidenció, por medio de la Resolución 78119 del 30 de noviembre de 2021, que: “El 07 de abril de 2021 mediante oficio con radicado 21-90213-3 este Despacho requirió a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., para que presentara evidencia de que contaba con la autorización del señor XXXXXX XXXXX XXXX XXXXXXX para el tratamiento de sus datos personales; en respuesta a esta solicitud, mediante comunicación radicada con el número 21-90213-6 del 22 de abril de 2021 la sociedad admitió llevar a cabo el tratamiento de los datos personales del señor XXXXX en calidad de Responsable y remitió entre otros anexos, por una parte, un documento titulado “Solicitud de Vinculación y Contratación de Productos” suscrito por el señor XXXX XXXXX XXXXX XXXXXX, en el cual aparecen los datos personales del señor XXXXXX bajo la sección de referencias, sin embargo, en este documento no se evidencia copia de la autorización previa, expresa e informada del señor XXXXX para el tratamiento de sus datos personales; y por otra parte, un documento titulado “Solicitud de Vinculación y Contratación de Productos” suscrito por el señor XXXXX XXXXX XXXXX en calidad de titular de productos financieros con la sociedad, en el cual se puede verificar la autorización para el tratamiento de sus datos personales para diversas finalidades, sin que dentro de estas se encuentre la gestión de cobros de cartera por obligaciones de terceros.

En este sentido, se considera que la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., Responsable del tratamiento de datos, presuntamente llevó a cabo el tratamiento de los datos personales del señor XXXXX XXXXX XXXXXX XXXXXX sin obtener el consentimiento, previo, expreso e informado del Titular para realizar el tratamiento de los mismos para llevar a cabo la gestión de cobros de cartera por obligaciones de terceros, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Siendo así, esta Dirección encuentra de manera preliminar que la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., presuntamente vulneró lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.” Al respecto, la investigada alega en sede de descargos, frente a la autorización del titular, que la autorización otorgada por XXXX XXXXXX XXXXX XXXXXXX para contactar a XXXXX XXXXX XXXXXX XXXXXX es una autorización legítima según las normas del régimen general de protección de datos personales, en la medida en que considera que el modo de su obtención fue mediante estipulación a favor de otro, como lo determina el Decreto Único Reglamentario 1074 de 2015, en su artículo 2.2.2.25.4.1., como la forma en que los derechos del titular pueden ser ejercidos.

Ahora, en cuanto al acervo probatorio, se encuentra lo siguiente: En la denuncia del señor XXXXX XXXXX XXXXXX XXXXX se deja claro que la investigada realizó tratamiento de su número de teléfono sin contar con su autorización. Sin embargo, la sociedad investigada aportó un formulario de solicitud de crédito suscrito por el denunciante, no obstante, dicho formulario no es diligenciado con ocasión del crédito solicitado por XXXX XXXXX XXXXX XXXXXXXXX, sino por un servicio que directamente este solicitó, y con dicho formulario el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA pretende probar que contaba con una autorización del titular.

Igualmente, con la copia del formulario de vinculación suscrito por el señor XXXXXX XXXXX XXXXXXXX XXXXX en calidad de titular de productos financieros con el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA, se encuentra la siguiente leyenda de autorización de información financiera: “Por la cual se impone una sanción y se imparten órdenes administrativas” “(…) (…)” (resaltado agregado) Dicha autorización para efectos de análisis se transcribe, así: “AUTORIZACIONES: AUTORIZACIONES EXPRESAS DE HABEAS DATA: En cuanto a los datos personales, con la firma el cliente autoriza de forma previa e informada a las empresas de BBVA, como responsables del tratamiento de datos, salvo que expresamente indique lo contrario en la siguiente columna para MANEJO DE INFORMACIÓN PERSONAL: Almacenar consultar procesar obtener actualizar comprar tratar intercambiar enviar modificar emplear utilizar eliminar ofrecer suministrar y grabar conservar y divulgar la información financiera y personal, transferirla o transmitirla nacional e internacionalmente, incluida la que se derive de las relaciones y operaciones o que se llegare a conocer con las finalidades de: a) cumplir obligaciones legales, b) propósitos comerciales muestreos encuestas y mercadeo, c) análisis de riesgos evaluación estadísticos control y supervisión COMPARTIR INFORMACIÓN: con las entidades pertinentes a su conglomerado financiero, su matriz, vinculadas, filiales o subsidiarias en Colombia o en el exterior y los terceros que apoyan sus operaciones de cobranza y de cualquier otra naturaleza, públicos o privados, ya sea para establecer relaciones contractuales, prestación de servicios u otro tipo, procesamiento de transacciones entregada de mensajes y para la comercialización de productos o servicios derivados de alianzas comerciales.

REPORTAR Y CONSULTAR INFORMACIÓN: sobre obligaciones a los operadores de bases o bancos de datos de información, entre otras financiera o crediticia con los requisitos legales en materia de protección de Datos con el objeto de verificar la información suministrada. UTILIZACIÓN Y CONTRATACIÓN BIOMÉTRICA. He sido informado sobre el sistema biométrico como herramienta de identificación, verificación y el reconocimiento de las huellas dactilares que autoriza al Banco para capturar, almacenar, consultar, enviarlas, procesarlas, tratarlas y compartirlas con terceros nacionales o extranjeros que apoyen las operaciones relacionadas con el manejo de datos sensibles con la finalidad de i) validar la identidad del titular del dato personal ante la base de datos de la registraduría nacional del Estado civil; ii) firmar electrónicamente contratos títulos de deuda soportes de transacciones y demás documentos que se requieran para la contratación y utilización de mis productos y servicios contratados con el Banco.

Los datos suministrados serán tratados con confidencialidad dando cumplimiento a las garantías legales y de seguridad que impone la ley y serán utilizadas exclusivamente para las finalidades anteriormente previstas. El cliente contará con los derechos que le otorgan las leyes de habeas data y de protección o tratamiento de datos personales y consultara el aviso de privacidad y las políticas de tratamiento de la información disponibles en www.bbva.com.co.

El cliente tiene derecho a conocer actualizar y rectificar la información y podrá solicitar en cualquier momento que no se utilice la información con fines de mercadeo y/o promoción de productos o servicios. He sido informado que el Responsable del Tratamiento de los datos personales y sensibles es BBVA COLOMBIA. “Por la cual se impone una sanción y se imparten órdenes administrativas” TRANSFERIR Y TRANSMITIR DATOS: Para transferir o transmitir, nacional o internacionalmente a la matriz y/o filiales y/o subsidiarias o terceros para los fines previstos en la presente autorización. DECLARACIÓN DE ORIGEN DE FONDOS: a) Declaro que los fondos y bienes que poseo, así como los recursos que entrega en depósito provienen de actividades lícitas, b) no efectuaré transacciones destinadas a actividades ilícitas ni permitiré que terceras personas utilicen mis productos para tales fines, c) no realizaré transacciones a favor de personas relacionadas con dichas actividades.

DECLARACIÓN PARA OPERAR EN EL MERCADO DE VALORES: Manifiesto que tengo conocimiento de las normas y reglamentos del Mercado de Valores y no me encuentro impedido para operar. Autorizo expresamente a la sociedad comisionista de valores para que según los procedimientos establecidos por la bolsa, venda los valores o títulos adquiridos por mí y otros valores mobiliarios que tengan en su poder para aplicar el producto de la venta las obligaciones a mi cargo.

Suministrarle la información de manera personal o por medios físicos electrónicos y autorizo grabarla o conservarla por los medios que se determinen en especial lo relacionado con instrucciones y operaciones realizadas. MARCACIÓN PARA EXTENSIÓN DEL GRAVAMEN A LOS MOVIMIENTOS FINANCIEROS (GMF): Como único titular de la cuenta de ahorro que se apertura en virtud de esta solicitud, autorizó al Banco para marcarla como exenta del GMF.

Así mismo manifiesto que (i) conozco y acepto que la exención prevista en el numeral 1 del artículo 879 del E.T. Solo se puede aplicar a una cuenta de ahorro individual que pertenezca a un mismo y único titular, (ii) la extensión se solicita en razón a que no soy beneficiario de esta y ninguna otra cuenta de ahorro en el sector financiero, (iii) autorizó suministrar información relacionada con la cuenta de ahorros seleccionada a las autoridades correspondientes y demás establecimientos de crédito para dar cumplimiento al numeral 1 del artículo 879 del E.T. de tratarse de una cuenta pensional manifiesto que (i) la totalidad de mis mesadas pensionales no exceden de 4 unidades de valor tributario (UVT), (ii) que en esta cuenta recibiré hoy la totalidad misma estabas pensionales.

Si el cliente tiene otra cuenta marcada para este fin en el sector financiero, deberá marcar con una X hola en el siguiente recuadro para que no sea marcada la que se apertura con este formulario ” No obstante, dicha solicitud de crédito junto con la autorización es fechada el 9 de noviembre de 2020, es decir que fue suscrita después de que los datos del señor XXXXX XXXXX XXXXXXX XXXXXX fueran tratados para preguntar por las obligaciones contraídas por un tercero. Asimismo, se observa que la autorización suministrada es de carácter propio de la Ley 1266 del 2008, en la medida en que se pretende dar consentimiento para el tratamiento de información de financiera, cuando se ha demostrado en este acto administrativo que estamos ante un caso de la Ley 1581 de 2012.

Por lo cual, la simple consideración de esta es inaplicable en esta investigación. Por otro lado, frente a la autorización obtenida por estipulación a favor de otro, vale la pena precisar que de acuerdo con las previsiones del artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015, solo puede ser obtenida por parte del Responsable del Tratamiento y en virtud de lo dispuesto en el artículo 9° de la Ley 1581 de 2012, mediante mecanismos que garanticen su consulta de forma posterior.

Ahora, el mentado artículo también señala que la autorización se puede obtener mediante alguno de las personas que figuran en el artículo 2.2.2.25.4.1 del Decreto único Reglamentario; entre los cuales se encuentra, la figura de la estipulación a favor de otro. Dicha figura jurídica se encuentra reglamentada en el derecho colombiano por el artículo 1506 Código Civil en los siguientes términos: “Cualquiera puede estipular a favor de una tercera persona, aunque no tenga derecho para representarla; pero sólo esta tercera persona podrá demandar lo estipulado; y mientras no intervenga su aceptación expresa o tácita, es revocable el contrato por la sola voluntad de las partes que concurrieron a él. Constituyen aceptación tácita los actos que sólo hubieran podido ejecutarse en virtud del contrato”.

Al respecto, se tiene que mediante el instrumento legal de la estipulación a favor de o para otro, se busca que un contrato genere derechos para una persona que ni directa o indirectamente, ha “Por la cual se impone una sanción y se imparten órdenes administrativas” intervenido en su celebración, y que en tal sentido ha sido totalmente extraña al mismo, sin embargo, dicho tercero será el beneficiario del derecho19.

Así las cosas, resulta tan singular la forma en la que esta modalidad contractual genera dichos derechos, que en virtud del contrato que celebra con el estipulante, el promitente se obliga ante el tercero beneficiario, y éste adquiere el derecho correlativo, sin que medie acuerdo de voluntades entre ambos. A esta persona que en forma alguna ha intervenido en la celebración del contrato, que se le conoce como el beneficiario, y que simplemente se hace parte a través de la aceptación, no se le atribuye función alguna en relación con la formación o perfeccionamiento del mismo acto en el cual se siembra la estipulación, ni tampoco con el nacimiento del derecho respectivo20.

Así las cosas, se puede decir que los requisitos de esta figura jurídica es la realización de un contrato a favor de un tercero por el cual el promitente se obliga frente al estipulante a hacer o adquirir una obligación a favor de dicho tercero. Así, por medio del contrato el promitente adquiere una obligación en favor de un tercero y este adquiere un derecho para sí de exigir el cumplimiento de tal obligación. De tal claridad resulta lo anterior, que si el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA quiere aplicar esta figura jurídica, deberá velar porque el negocio jurídico realizado entre el deudor y el banco cumpla con los requisitos legales señalados en el artículo 1506 del Código Civil, es decir que el negocio jurídico fue realizado en favor del denunciante.

Por ello, no se configuran los requisitos legales para que opere esta figura por cuanto: De un lado, el negocio entre el deudor (promitente) y el banco (estipulante) no beneficia al tercero (denunciante), por el contrario, a raíz de este negocio, se trató los datos personales del denunciante sin su consentimiento y violando su derecho fundamental.

Además, el banco no tiene el carácter de promitente, en la medida en que no se crea un derecho a favor del denunciante. Finalmente, el tercero – referido (denunciante) aquí no es beneficiario de ningún derecho, sino como se ha manifestado un perjudicado por las actuaciones del Banco al contactarlo sin contar con su consentimiento. Así las cosas, lo que está probado es que el deudor suministró unos datos al banco para su propio beneficio personal, y que el banco uso, de manera ilegitima, pues con dichos datos contactó al denunciante para preguntar por las obligaciones contraídas por el deudor, sin contar con su autorización, datos que uso, y alojó en su base datos de la plataforma “WOLKVOX MANAGER Conalcbbva-medellin y de la plataforma IAGREE”, hasta la fecha de su eliminación. Ahora bien, al valorar las pruebas en su totalidad, es claro que en ellas no se aprecia la autorización del denunciante para realizar tratamiento de los datos personales para preguntar por las obligaciones contraídas por un tercero deudor.

En esta medida, la supuesta autorización dada por el estipulante en favor del tercero (quejoso) no es válida y por ello, dicha carga obligacional y probatoria no puede ser asumida por éste. De esta manera, se concluye que el actuar del banco es negligente en la medida en que no obtuvo ni conserva copia de la autorización para el tratamiento de datos del Titular (denunciante). 8.2.3 Respecto del deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos.

A su turno, el literal c) del artículo 17 de la Ley 1581 de 2012 señala que: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) MESSINEO, FRANCESCO, Manual de derecho civil y comercial, t. IV, De las obligaciones -parte general, Ed. Jurídica Europa-América, Buenos Aires, 1971, págs. 506-507.

Mutis Téllez, Felipe. LA ESTIPULACIÓN PARA OTRO EN EL DERECHO COLOMBIANO*, “Por la cual se impone una sanción y se imparten órdenes administrativas” c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; (…)” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” El literal b) del artículo 4 de la Ley 1581 de 2012 establece que: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”;

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional “(…) Tanto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…).21 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “(…) El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)”.

Abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción y se imparten órdenes administrativas” “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito. En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”22 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…)

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

Los derechos que tiene el titular de la información. La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (iii) (iv) (…).” Retomando el caso particular, este Despacho inició investigación administrativa de carácter sancionatorio, mediante la Resolución N°. 81368 del 13 de diciembre de 2021, y sustentó los cargos primero y segundo en las siguientes consideraciones: Disponible https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf en: “Por la cual se impone una sanción y se imparten órdenes administrativas” “Con relación a lo anterior, tal como se analizó en el cargo primero, la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. presentó ante este Despacho comunicación radicada con el número 21-90213-6 del 22 de abril de 2021 en la cual admitió haber tratar los datos personales del señor XXXXX en calidad de Responsable y remitió entre otros anexos, por una parte, un documento titulado “Solicitud de Vinculación y Contratación de Productos” suscrito por el señor XXX XXXXX XXXX XXXXXXXXXX, en el cual aparecen los datos personales del señor XXXXX bajo la sección de referencias personales, sin embargo, en este documento no se evidencia copia de la autorización previa, expresa e informada del señor XXXXXX para el tratamiento de sus datos personales; y por otra parte, un documento titulado “Solicitud de Vinculación y Contratación de Productos” suscrito por el señor XXXX XXXXX XXXXXXX en calidad de titular de productos financieros con la sociedad, en el cual se puede verificar la autorización para el tratamiento de sus datos personales para diversas finalidades, sin que dentro de estas se encuentre la gestión de cobros de cartera por obligaciones de terceros.

En este sentido, se considera que la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., Responsable del tratamiento de datos personales, presuntamente llevó a cabo el tratamiento de los datos personales del señor XXXX XXXXX XXXXXX XXXXXX sin informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten en virtud de la autorización que debió otorgar para que sus datos personales fueran tratados con el fin de realizar la gestión de cobros de cartera por obligaciones de terceros, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Siendo así, esta Dirección encuentra de manera preliminar que la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A., presuntamente vulneró lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.” Por su parte, el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA en cuanto a la finalidad del tratamiento, alega que la figura del referido comercial se ha utilizado en una decisión de esta entidad sin valorar al alcance completo de dicha definición legal, al señalar que dentro de la Resolución N°. 68380 de 2020 no se hace referencia a una base legal o jurisprudencial para mencionar que: “la denominada “referencia comercial” puede usarse tanto para la verificación de la identidad como para la verificación del comportamiento del adquirente de un producto financiero con las obligaciones adquiridas, a renglón seguido, y de manera contradictoria, concluye que “no pueden los responsables del tratamiento usar el dato personal para fines que no hayan sido previamente autorizados por su titular, en el caso particular, el de ubicar al deudor o actualizar sus datos ”23 Considera finalmente que esa información sí puede entregarse de manera legítima por un tercero (a través de la estipulación para otro) y su uso estará condicionado a que los datos se traten con una finalidad compatible con las razones que motivan su solicitud por parte de una entidad financiera, de manera que esté claramente limitada su finalidad.

Sustenta este punto haciendo referencia a que las entidades del sector financiero tienen una obligación de conocimiento de sus clientes, que está integrado por dos componentes fundamentales: (i) el cumplimiento de sus obligaciones de prevención de riesgos de lavado de activos y financiación del terrorismo; y, (ii) el cumplimiento de sus deberes de gestión de riesgo crediticio, basado en la Circular Básica, en el capítulo IV, del Título IV de la Parte Primera.

En dicho capítulo, se hace mención a que el llamado Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo –SARLAFT– con el fin de prevenir que sean utilizadas para: (i) dar apariencia de legalidad a activos provenientes de actividades delictivas y (ii) la canalización de recursos hacia la realización de actividades terroristas; lo cual pretende servir como herramienta para contribuir a la estabilidad del sistema financiero y la integridad de los mercados por su carácter global y las redes utilizadas para el manejo de tales recursos No obstante, la aplicación de la Ley 1581 de 2012 y sus deberes correspondientes no trasladan, remueven, ni desvirtúan las directrices dadas por la Superintendencia Financiera de Colombia, por cuanto en el referido capítulo no se menciona que en su actuar las entidades vigiladas por esta autoridad deban usar referidos y estar eximidos de solicitar la autorización a las personas relacionadas en los formularios de afiliación. Ibidem, págs. 23 y 24 “Por la cual se impone una sanción y se imparten órdenes administrativas” De otra parte, es necesario precisar, que algunas de las pruebas señaladas en el acápite anterior deben ser analizadas bajo este cargo. por lo cual tenemos dentro del expediente:   La autorización, firmada por el señor XXXX XXXXXX XXXXXX XXXXXXX, dentro del negocio jurídico en el cual se indicó como referencia persona al denunciante, fechada el 10 de mayo de 2019.

La autorización, firmada por el señor XXXXXXX XXXXX XXXXXXX XXXXX, dentro del negocio jurídico en el cual a nombre propio solicitó un servicio financiero, fechada el 9 de noviembre de 2020. Dichas autorizaciones rezan los siguiente: “AUTORIZACIONES: AUTORIZACIONES EXPRESAS DE HABEAS DATA: En cuanto a los datos personales, con la firma el cliente autoriza de forma previa e informada a las empresas de BBVA, como responsables del tratamiento de datos, salvo que expresamente indique lo contrario en la siguiente columna para MANEJO DE INFORMACIÓN PERSONAL: Almacenar consultar procesar obtener actualizar comprar tratar intercambiar enviar modificar emplear utilizar eliminar ofrecer suministrar y grabar conservar y divulgar la información financiera y personal, transferirla o transmitirla nacional e internacionalmente, incluida la que se derive de las relaciones y operaciones o que se llegare a conocer con las finalidades de: a) cumplir obligaciones legales, b) propósitos comerciales muestreos encuestas y mercadeo, c) análisis de riesgos evaluación estadísticos control y supervisión COMPARTIR INFORMACIÓN: con las entidades pertinentes a su conglomerado financiero, su matriz, vinculadas, filiales o subsidiarias en Colombia o en el exterior y los terceros que apoyan sus operaciones de cobranza y de cualquier otra naturaleza, públicos o privados, ya sea para establecer relaciones contractuales, prestación de servicios u otro tipo, procesamiento de transacciones entregada de mensajes y para la comercialización de productos o servicios derivados de alianzas comerciales.

REPORTAR Y CONSULTAR INFORMACIÓN: sobre obligaciones a los operadores de bases o bancos de datos de información, entre otras financiera o crediticia con los requisitos legales en materia de protección de Datos con el objeto de verificar la información suministrada. UTILIZACIÓN Y CONTRATACIÓN BIOMÉTRICA. He sido informado sobre el sistema biométrico como herramienta de identificación, verificación y el reconocimiento de las huellas dactilares que autoriza al Banco para capturar, almacenar, consultar, enviarlas, procesarlas, tratarlas y compartirlas con terceros nacionales o extranjeros que apoyen las operaciones relacionadas con el manejo de datos sensibles con la finalidad de i) validar la identidad del titular del dato personal ante la base de datos de la registraduría nacional del Estado civil; ii) firmar electrónicamente contratos títulos de deuda soportes de transacciones y demás documentos que se requieran para la contratación y utilización de mis productos y servicios contratados con el Banco.

Los datos suministrados serán tratados con confidencialidad dando cumplimiento a las garantías legales y de seguridad que impone la ley y serán utilizadas exclusivamente para las finalidades anteriormente previstas. El cliente contará con los derechos que le otorgan las leyes de habeas data y de protección o tratamiento de datos personales y consultara el aviso de privacidad y las políticas de tratamiento de la información disponibles en www.bbva.com.co.

El cliente tiene derecho a conocer actualizar y rectificar la información y podrá solicitar en cualquier momento que no se utilice la información con fines de mercadeo y/o promoción de productos o servicios. He sido informado que el Responsable del Tratamiento de los datos personales y sensibles es BBVA COLOMBIA. TRANSFERIR Y TRANSMITIR DATOS: Para transferir o transmitir, nacional o internacionalmente a la matriz y/o filiales y/o subsidiarias o terceros para los fines previstos en la presente autorización. DECLARACIÓN DE ORIGEN DE FONDOS: a) Declaro que los fondos y bienes que poseo, así como los recursos que entrega en depósito provienen de actividades lícitas, b) no efectuaré transacciones destinadas a actividades ilícitas ni permitiré que terceras personas utilicen mis productos para tales fines, c) no realizaré transacciones a favor de personas relacionadas con dichas actividades.

“Por la cual se impone una sanción y se imparten órdenes administrativas” DECLARACIÓN PARA OPERAR EN EL MERCADO DE VALORES: Manifiesto que tengo conocimiento de las normas y reglamentos del Mercado de Valores y no me encuentro impedido para operar. Autorizo expresamente a la sociedad comisionista de valores para que según los procedimientos establecidos por la bolsa, venda los valores o títulos adquiridos por mí y otros valores mobiliarios que tengan en su poder para aplicar el producto de la venta las obligaciones a mi cargo.

Suministrarle la información de manera personal o por medios físicos electrónicos y autorizo grabarla o conservarla por los medios que se determinen en especial lo relacionado con instrucciones y operaciones realizadas. MARCACIÓN PARA EXTENSIÓN DEL GRAVAMEN A LOS MOVIMIENTOS FINANCIEROS (GMF): Como único titular de la cuenta de ahorro que se apertura en virtud de esta solicitud, autorizó al Banco para marcarla como exenta del GMF.

Así mismo manifiesto que (i) conozco y acepto que la exención prevista en el numeral 1 del artículo 879 del E.T. Solo se puede aplicar a una cuenta de ahorro individual que pertenezca a un mismo y único titular, (ii) la extensión se solicita en razón a que no soy beneficiario de esta y ninguna otra cuenta de ahorro en el sector financiero, (iii) autorizó suministrar información relacionada con la cuenta de ahorros seleccionada a las autoridades correspondientes y demás establecimientos de crédito para dar cumplimiento al numeral 1 del artículo 879 del E.T. de tratarse de una cuenta pensional manifiesto que (i) la totalidad de mis mesadas pensionales no exceden de 4 unidades de valor tributario (UVT), (ii) que en esta cuenta recibiré hoy la totalidad misma estabas pensionales.

Si el cliente tiene otra cuenta marcada para este fin en el sector financiero, deberá marcar con una X hola en el siguiente recuadro para que no sea marcada la que se apertura con este formulario ” Al respecto, este Despacho encuentra que al denunciante, el señor XXXXXX XXXXXX XXXXXX XXXXXX, no se le informó las finalidades por las cuales se estaba recolectando y usando su información, ya que sus datos personales fueron suministrados por el señor XXXX XXXXXX XXXXX XXXXXXX el 10 de mayo de 2019, y la sociedad investigada no allegó prueba suficiente que demuestre, que desde dicha fecha el denunciante conocía las finalidades del tratamiento de sus datos personales y en especial que podía ser contactarlo para indagar sobre las obligaciones adquiridas por el deudor.

Sumado a lo anterior, la investigada señala que, sí cuenta con la autorización directa del denunciante y que mediante la misma informó las finalidades del tratamiento, sin embargo, esta autorización fue otorgada después de haberlo contactado para averiguar por las obligaciones del señor XXXXXX, e incluso después de que ya había suprimido los datos personales en virtud de la orden impartida por este Despacho.

Finalmente, y con relación a lo indicado por la investigada respecto de lo dispuesto en la Resolución N°. 68380 del 28 de octubre del 2020, expedida por esta superintendencia, es importante precisar que en dicha oportunidad se sancionó al Banco de Bogotá por tratar los datos personales del referido sin contar con su autorización, pues en dicho acto administrativo se concluye: Así las cosas, quedó plenamente demostrado que la investigada no cumplió con su deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos personales y los derechos que le asisten.

En esta medida, se evidencia la actuación negligente de la misma en garantizar su apego a lo establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención. Por virtud de lo anterior, se impondrá una sanción por el cargo objeto de estudio.

NOVENO: CONCLUSIÓN  Quedo probado que los datos de contacto de un tercero con quien no se tiene relación jurídica y que están presentes en la base de datos del BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA no son datos personales que se refieran al nacimiento, ejecución o extinción de este tipo de obligaciones y por lo tanto no pueden ser legítimamente tratados por una entidad financiera con la finalidad de indagar sobre un tercero y preguntar por obligaciones que se encuentra en mora.

“Por la cual se impone una sanción y se imparten órdenes administrativas”  Adicionalmente, se concluye que los datos personales que no constituyen datos financieros o crediticios, solo pueden ser tratados bajo las disposiciones de la Ley 1266 de 2008, en el evento que por medio de estos datos se persiga el cumplimiento de las obligaciones, pero solo se puede tratar la información de la persona que autoriza directamente sus datos, no se puede pretender que dicha autorización cobije los datos de un tercero ajeno al negocio jurídico, pues en este caso deberá cumplir con las disposiciones de la Ley 1581 de 2012 y tener una autorización previa, expresa e informada.  Quedó acreditado que, en cuanto a la aplicación del Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo –SARLAFT, se tiene que la aplicación de la Ley 1581 de 2012 y sus deberes correspondientes no trasladan, remueven, ni desvirtúan las directrices dadas por la Superintendencia Financiera de Colombia, por cuanto en el referido capítulo no se menciona que en su actuar las entidades vigiladas por esta autoridad deban usar referidos y estar eximidos de solicitar la autorización a las personas relacionadas en los formularios de afiliación.

DÉCIMO: ORDEN ADMINISTRATIVA Una vez analizadas las pruebas obrantes en el expediente y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna a esta Superintendencia, entre otras funciones, “impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente ley”, esta Dirección impartirá la siguiente orden:  La investigada deberá implementar un procedimiento para solicitar la autorización del tratamiento de los datos personales de los referidos, si el tratamiento de dichos datos se va a realizar con motivos diferentes a los de verificar la identidad del solicitante en el momento en que este celebre un negocio jurídico con el Banco.

Dicha autorización deberá respetar los requisitos establecidos en la Ley 1581 de 2012 y sus decretos reglamentarios. Para demostrar lo anterior, el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión, una certificación suscrita por el representante legal de la sociedad, junto con las pruebas suficientes que demuestren dicha implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

UNDÉCIMO: IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2324. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 25, 426 y 627 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo28.

Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, “Por la cual se impone una sanción y se imparten órdenes administrativas” La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”29 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional30.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción”.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2023 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional31 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…) (negrita añadida) “Por la cual se impone una sanción y se imparten órdenes administrativas” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”32 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 33. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”34.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia35. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2336 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

“Por la cual se impone una sanción y se imparten órdenes administrativas” “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…)37 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

FJ: 2.22.3. “Por la cual se impone una sanción y se imparten órdenes administrativas” De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

En el caso sub examine, quedaron probadas las siguientes situaciones: Frente al primer cargo sobre por el presunto incumplimiento contenido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, se tiene probado que el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA, no solicitó la autorización del denunciante para el tratamiento de sus datos personales.

Frente al segundo cargo sobre por el presunto incumplimiento contenido del literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, se tiene probado que el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA no le informó las finalidades del tratamiento al denunciante.

Por lo tanto, se impondrán las siguientes sanciones: Frente al cargo primero relacionado con el deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CIENTO SESENTA Y NUEVE MILLONES SEISCIENTOS CUARENTA Y OCHO MIL PESOS M/CTE ($169.648.000) correspondiente a 4.000 Unidades de Valor Tributario Vigentes al BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA por la vulneración del deber establecido en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Frente al cargo segundo relacionado con el deber de adoptar una Política de Tratamiento de Datos Personales, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CIENTO SESENTA Y NUEVE MILLONES SEISCIENTOS CUARENTA Y OCHO MIL PESOS M/CTE ($169.648.000) correspondiente a 4.000 Unidades de Valor Tributario Vigentes38 al BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. – BBVA COLOMBIA por la vulneración del deber establecido en literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. 11.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo reconocimiento o aceptación expresa sobre la comisión de la infracción.

DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA, identificada con Nit. 860.003.020-1, con el correo electrónico de notificación judicial notifica.co@bbva.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php. https://www.dian.gov.co/normatividad/Proyectosnormas/Proyecto%20Resoluci%C3%B3n%20000000%20de%2020-10-2022.pdf “Por la cual se impone una sanción y se imparten órdenes administrativas” Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-90213 La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA, identificada con Nit. 860.003.020-1 de TRESCIENTOS TREINTA Y NUEVE MILLONES DOSCIENTOS NOVENTA Y SEIS MIL PESOS M/CTE ($339.296.000) correspondiente a 8.000 Unidades de Valor Tributario Vigentes por la vulneración de los deberes establecidos en  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, y  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Parágrafo Primero: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA. identificada con Nit. 860.003.020-1 a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante el Director de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: IMPARTIR una orden administrativa a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA, identificada con Nit. 860.003.020-1 para que implemente un procedimiento para solicitar la autorización del tratamiento de los datos personales de los referidos, si el tratamiento de dichos datos se va a realizar con motivos diferentes a los de verificar la identidad del solicitante en el momento en que este celebre un negocio jurídico con el Banco.

Dicha autorización deberá respetar los requisitos establecidos en la Ley 1581 de 2012 y sus decretos reglamentarios. Parágrafo Primero: Para demostrar lo anterior, el BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión, una certificación suscrita por el representante legal de la sociedad, junto con las pruebas suficientes que demuestren dicha “Por la cual se impone una sanción y se imparten órdenes administrativas” implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

Parágrafo Segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA, identificada con Nit. 860.003.020-1, acreedora de las sanciones previstas en la ley.

ARTÍCULO 4: COMUNICAR el contenido de la presente resolución al señor XXXXX XXXXXX XXXXXX XXXXXX, identificado con cédula de ciudadanía número XX.XXX.XXX.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 09 de octubre de 2023 EL DIRECTOR DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CARLOS ENRIQUE SALAZAR MUÑOZ Elaboró: SRB Revisó: AMCC Aprobó: CESM Investigada: BANCO BILBAO VIZCAYA ARGENTARIA COLOMBIA S. A. PUDIENDO UTILIZAR INDISTINTAMENTE PARA TODOS LOS EFECTOS LEGALES EL NOMBRE BBVA COLOMBIA Identificación: 860.003.020-1 Representante Legal: MARIO PARDO BAYONA Identificación: CE. 1.098.155 Dirección: CR 9 # 72 - 21 Ciudad: BOGOTÁ D.C., COLOMBIA Correo electrónico: NOTIFICA.CO@BBVA.COM Apoderado: PABLO FELIPE ROBLEDO DEL CASTILLO Identificación: CC No. 10.137.841 Dirección: CARRERA 4 No. 75-37 (201) Ciudad: BOGOTÁ D.C., COLOMBIA Correo electrónico: PROBLEDO@ROBLEDOABOGADOS.COM COMUNICACIÓN: Nombre: Identificación: Correo electrónico: XXXXXX XXXXXX XXXXXXX XXXXXX C.C. N°.

XX.XXX.XXX XXXXXX.XXXXXXX@XXXXXXXX.XXX.XX