Decisión 29069 de 2024 — SIC

(05 de junio de 2024) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 22-470269 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad CREDIVALORES – CREDISERVICIOS S.A., con el Nit. 805.025.964-3, por lo que decidió iniciar investigación administrativa con fundamento en lo expuesto en la parte considerativa de la Resolución N°. 35555 del 10 de junio de 2021,así: “10.2 Deber de comunicar previamente al efectuar el reporte ante los operadores de la información (Artículo 12 de la Ley 1266 de 2008). […] En ese orden de ideas, no obra en el expediente documento a través del cual se demuestre que se realizó el envío de la comunicación previa al reporte negativo de la obligación No. XXXX, por lo cual este Despacho encuentra que la sociedad CREDIVALORES – CREDISERVICIOS S.A posiblemente incumplió con el deber contenido en el artículo 12 de la Ley 1266 de 2008 por lo que se observa una presunta vulneración por parte de la fuente al derecho fundamental de Habeas Data del titular.1”

SEGUNDO: Que, en ejercicio de las funciones asignadas a esta Superintendencia, se recolectaron en la etapa preliminar de esta investigación los elementos materiales de prueba que se enlistan a continuación: 2.1. Memorando de Traslado de Expediente; en Expediente digital, consecutivo número 1, página 2, folios 1 a 2. 2.2. Denuncia presentada por el Titular XXXXX XXXXXX XX XX XXX XXXXXX, de fecha de 06 de agosto de 2020; en Expediente digital, consecutivo número 1, página 2, folios 14 a 35. 2.3.

Requerimiento de información realizado al Operador de Información CIFIN S.A.S., de fecha de 30 de diciembre de 2020; en Expediente digital, consecutivo número 1, página 2, folios 36 a 37. 2.4. Requerimiento de información realizado al Operador de Información EXPERIAN COLOMBIA S.A., de fecha de 30 de diciembre de 2020; en Expediente digital, consecutivo número 1, página 2, folios 38 a 39. 2.5.

Requerimiento realizado a la sociedad CREDIVALORES - CREDISERVICIOS S.A., de fecha 18 de enero de 2021; en Expediente digital, consecutivo número 1, página 2, folios 40 a 41. 2.6. Respuesta suministrada por el Operador de Información CIFIN S.A.S. de fecha 18 de enero de 2021, en Expediente digital, consecutivo número 1, página 2, folio 42 a 43. 1 Radicado 22-470269-0, pág. 2, folio 11 “Por la cual se impone una sanción y se imparten órdenes administrativas” 2.7.

Respuesta suministrada por el Operador de Información Experian Colombia S.A de fecha de 15 de enero de 2021; en Expediente digital, consecutivo número 1, página 2, folios 44 a 53. 2.8. Requerimiento de información realizado al Operador de Información EXPERIAN COLOMBIA S.A., de fecha de 03 de mayo de 2021; en Expediente digital, consecutivo número 1, página 2, folios 54 a 55. 2.9.

Respuesta suministrada por el Operador de Información EXPERIAN COLOMBIA S.A. de fecha de fecha de fecha 20 de mayo de 2021; en Expediente digital, consecutivo número 1, página 2, folios 56 a 62. 2.10. Constancia Secretarial de Notificación por Aviso número 13543 de fecha 23 de junio de 2021 a la sociedad CREDIVALORES - CREDISERVICIOS S.A., de la Resolución número 35555 del 10 de junio de 2021; en Expediente digital, consecutivo número 1, página 2, folio 63. 2.11.

Certificado de Existencia y Representación Legal vigente de la sociedad CREDIVALORES CREDISERVICIOS S.A.; en Expediente digital, consecutivo número 1, página 2, folios 64 a 76.

TERCERO: Que, con base en los hechos anotados y de las pruebas trasladadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 14 de diciembre de 2022 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 88424 por medio de la cual se formularon cinco cargos en contra de la sociedad CREDIVALORES – CREDISERVICIOS S.A, por la presunta contravención de lo dispuesto en el: (i) Numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el articulo 4 literal a de la misma Ley.

(ii) Numeral 5 del artículo 8 de la Ley 1266 de 2008. (iii) Numeral 8 del artículo 8 Ley 1266 de 2008, en concordancia con el artículo 16 numeral 4, de la misma Ley. (iv) Numeral 9 del artículo 8 Ley 1266 de 2008. (v) Numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley La mencionada resolución le fue notificada a la investigada el día 16 de diciembre de 2022 de manera electrónica de conformidad con la certificación de fecha del 27 de diciembre de 2022 expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-470269-6.

CUARTO: Que la investigada, por intermedio de su apoderado, aportó escrito de descargos en fecha 4 de enero del 2023 con radicado 22-470269-7 al interior del cual alega que: 4.1. Inicialmente, se refiere a la oportunidad procesal para interponer el escrito. 4.2. Frente al primer cargo, solicita que se desestime el estudio de este, ya que considera que la relación de consumo entre el denunciante y su representada se dio por medio del crédito rotativo materializado en tarjeta de crédito.

Alega que esta obligación se encuentra soportada en los títulos originarios aportados al proceso. Sobre este título originario, manifiesta que fue firmado por el denunciante. 4.3. Sobre el cargo segundo, nuevamente solicita que se desestime el cargo, por cuanto considera que el documento firmado y aportado en el cargo anterior se encuentra la autorización para el reporte de información ante los operadores de información. 4.4.

En cuanto al tercer cargo, manifiesta que reconoce la infracción del cargo en tanto omitió informar que la obligación estaba en discusión judicial ante los operadores de información. 4.5. Frente al cargo cuarto, manifiesta que reconoce la infracción del cargo. “Por la cual se impone una sanción y se imparten órdenes administrativas” 4.6.

Por último, solicita que se desestime el quinto cargo, ya que considera que, al aportar la guía de envío del extracto considera que se incluye la leyenda previa al reporte, cumple con su obligación legal. 4.7. Finalmente, aporta las pruebas que pretende hacer valer en el proceso.

QUINTO: Que mediante Resolución N°. 22075 del 28 de abril de 2023, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: 5.1. Resolución N°. 35555 del 10 de junio de 2021 bajo radicado 22- 470269-0 página 2 folio 3 al 13. 5.2 Queja presentada por el denunciante contra la sociedad CREDIVALORES – CREDISERVICIOS S.A., de fecha 06 de agosto de 2020 bajo radicado 22-470269-0 página 2 folio 14 al 16. 5.3 Captura de pantalla allegada por el denunciante de la página de la investigada bajo radicado 22470269-0 página 2 folio 17. 5.4 Derecho de petición presentado por el denunciante ante la investigada de fecha 21 de mayo de 2020 Rdo. 22-470269-0 página 2 folio 18 al 24. 5.5 Respuesta a derecho de petición por parte de la investigada al denunciante de fecha 09 de junio de 2020 22- 470269-0 página 2 folio 25 y 26. 5.6 Extracto de tarjeta de crédito terminada en *******XXXX Rdo. 22- 470269-0 página 2 folio 27 y 28. 5.7 Guía de envío No. *********XXXXX Rdo 22- 470269-0 página 2 folio 29 5.8 Derecho de petición presentado por el denunciante ante la investigada de fecha 10 de julio de 2020 Rdo. 22- 470269-0 página 2 folio 31 al 33. 5.9 Acta N°.561 expedida por la notaría quince de Medellín Rdo. 22- 470269-0 página 2 folio 34 y 35. 5.10 Requerimiento dirigido al operador de información CIFIN S.A.S, de fecha 30 de diciembre de 2020 Rdo. 22- 470269-0 página 2 folio 36 y 37. 5.11 Requerimiento dirigido al operador de información EXPERIAN COLOMBIA S.A, de fecha 30 de diciembre de 2020 Rdo. 22- 470269-0 página 2 folio 38 y 39. 5.12 Requerimiento dirigido a la sociedad CREDIVALORES - CREDISERVICIOS S.A., de fecha 18 de enero de 2021 Rdo. 22- 470269-0 página 2 folio 40 y 41. 5.13 Respuesta allegada por el operador de información CIFIN S.A.S, Rdo. 22- 470269-0 página 2 folio 42 y 43. 5.14 Respuesta allegada por el operador de información EXPERIAN COLOMBIA S.A., Rdo. 22470269-0 página 2 folio 44 al 53. 5.15 Requerimiento dirigido al operador de información EXPERIAN COLOMBIA S.A, solicitando aclarar la respuesta inicial allegando capturas de pantalla de dos obligaciones Rdo. 22- 470269-0 página 2 folio 54 y 55. 5.16 Respuesta allegada por el operador de información EXPERIAN COLOMBIA S.A., Rdo. 22470269-0 página 2 folio 56 al 62. 5.17 Certificación de notificación de la Resolución 35555 de 10 de junio de 2021 Rdo. 22- 470269-0 página 2 folio 63. 5.18 Certificado de existencia y representación legal de la sociedad CREDIVALORES CREDISERVICIOS S.A., Rdo. 22- 470269-0 página 2 folio 64 al 76. 5.19 Escrito de descargos de la sociedad CREDIVALORES - CREDISERVICIOS S.A de fecha 4 de enero de 2023 22-470269-7 página 1 a la 20 donde aportaron los siguientes: “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.19.1 Solicitud de crédito. 5.19.2 Extracto tarjeta de crédito. 5.19.3 Guía de envío ************XXXX. 5.19.4 Estados financieros 2019 y 2020 La mencionada resolución le fue comunicada al investigado el día 2 de mayo de 2023 de conformidad con la certificación de fecha del 17 de mayo de 2023 expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-470269-13.

SEXTO: Que la investigada no aportó escrito de alegatos de conclusión.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 20082, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 8 de la Ley 1266 de 2008 establece los deberes que le asisten a las fuentes de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hechos alegados por el reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contempladas en el a. Numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el articulo 4 literal a de la misma Ley. b. Numeral 5 del artículo 8 de la Ley 1266 de 2008. c. Numeral 8 del artículo 8 Ley 1266 de 2008, en concordancia con el artículo 16 numeral 4, de la misma Ley. 2 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción y se imparten órdenes administrativas” d. Numeral 9 del artículo 8 Ley 1266 de 2008. e. Numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hecho y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1.

Respecto del deber de garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable El artículo 20 de la Carta Política de 1991 consagra el deber de informar y recibir información “veraz e imparcial”. Estas cualidades constitucionales también deben predicarse de los datos personales, ya que quien suministre o trate datos debe asegurarse de la veracidad y exactitud de la información. En este sentido, la Corte Constitucional ha señalado que: “Los datos personales deben obedecer a situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos”3.

La veracidad de los datos es una exigencia mínima para que los sistemas de información sean confiables y para que no se afecten los derechos de las personas, por lo que los bancos de datos deben contener información, reportada por terceros, que debe ser veraz, imparcial, exacta, comprobable y completa. La anterior exigencia de rango constitucional se enmarca en el deber que se encuentra consagrado en el numeral 1 del artículo 8 de la Ley 1266 de 2008, el cual expresa que las fuentes de información deben garantizar que la información que esta les suministre a los operadores de los bancos de datos o los usuarios de información sea veraz, completa, exacta, actualizada y comprobable.

En específico, se señala lo siguiente: “Artículo 8. Deberes de las Fuentes de la Información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones en la presente ley previstas en la presente ley y en otras que rijan su actividad. (…) 1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable.

En concordancia con lo anterior, se dispuso en el literal a) del artículo cuarto de la Ley 1266 del 2008 el principio de veracidad de la información, el cual expresa lo siguiente: ARTÍCULO 4o. PRINCIPIOS DE LA ADMINISTRACIÓN DE DATOS. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen: a) Principio de veracidad o calidad de los registros o datos.

La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error.” Por otro lado, en cuanto a este principio, la Corte Constitucional, mediante sentencia C 1011 del 2008, estableció que: “El principio de veracidad o calidad de los registros o datos obliga a que la información contenida en los bancos de datos sea veraz, completa, exacta, actualizada, comprobable y comprensible.

De igual manera, este principio prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan al error.4”. 3 Cfr. Corte Constitucional, T 729 del 2002 4 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008). Considerando 3.1.4. Artículo 4º. Principios de administración de datos “Por la cual se impone una sanción y se imparten órdenes administrativas” Adicionalmente, y en cuanto al deber objeto de estudio, la Corte Constitucional en la misma sentencia determinó que: “(…) En cuanto a lo previsto en el numeral 1º, que establece el deber de las fuentes de garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable, debe señalarse que los procesos de administración de datos personales está signado por un deber de objetividad.

Esta condición implica que la información no debe ser presentada en forma inductiva, sesgada o sugestiva. La jurisprudencia constitucional [150] al respecto también ha señalado que la veracidad supone una correspondencia entre el registro efectuado y las condiciones empíricas del sujeto pasivo. Por ello, en tanto la fuerza de los presupuestos de veracidad y actualidad se refleja en esta norma, la Corte la encuentra ajustada a la Constitución. (…)”5 De acuerdo con todo lo anterior, un dato veraz debe ser necesariamente comprobable, por lo que la fuente de la información debe contar con los soportes que dieron origen a la obligación y debe estar en capacidad de demostrar su calidad de acreedor de tal obligación. En el caso concreto se encuentra que el señor XXXXXXXXXX XXXXXX XX XX XXX XXXXXX, mediante queja radicada ante esta Superintendencia señaló que interpuso derecho de petición en contra de la sociedad CREDIVALORES - CREDISERVICIOS S.A. para hacer valer sus derechos de habeas data.

Al respecto este Despacho evidenció preliminarmente que la investigada presuntamente violó el deber de veracidad de la información toda vez que requirió a la sociedad CREDIVALORES CREDISERVICIOS S.A. el 18 de enero de 20216, para que aportara “Copia del documento donde conste la existencia de la obligación a nombre del reclamante y/o relación comercial con éste”.

Por otro lado, la sociedad CREDIVALORES - CREDISERVICIOS S.A. aportó pruebas dentro del escrito de descargos para dar por demostrado el cumplimiento del deber objeto de análisis. En este sentido, la investigada solicita que se desestime el estudio del cargo, ya que considera que la relación de consumo entre el denunciante y su representada se dio por medio del crédito rotativo materializado en tarjeta de crédito.

Alega que esta obligación se encuentra soportada en los títulos originarios aportados al proceso. Sobre este título originario, manifiesta que fue firmado por el denunciante. En cuanto al acervo probatorio, este Despacho encuentra lo siguiente: En la actuación ante el Grupo de Trabajo de Habeas Data de esta Dirección, se evidenció que por medio de los radicados 20-275400-3 y 20-275400-4 del 30 de diciembre del 2020 este Despacho les solicitó a los operadores de información que los mismos indicaran (i) la fecha en que el acreedor originario efectuó por primera vez el reporte de la obligación N°.

XXXXXX y (ii) si la fuente que reporta es una persona jurídica o un establecimiento comercial. Ante dicho requerimiento, el operador de información CIFIN S.A.S. 7 informó que: (i) la entidad CREDIVALORES – CREDISERVICIOS S.A. es el acreedor originario y que la fecha del primer reporte negativo de la obligación N°. XXXXXX fue el 7 de septiembre del 2015.

Por su parte, el operador de información EXPERIAN DE COLOMBIA S.A8. indicó que la entidad CREDIVALORES – CREDISERVICIOS S.A. es el acreedor originario y que el reporte con altura de mora de 30 días se hizo en febrero del 2013. Por otro lado, junto con el escrito de descargos, la investigada aporta una copia del formulario de la solicitud de la póliza de seguro de vida con N°. de solicitud XXXXXX fechado el 31 de agosto del 20129, junto con la solicitud de crédito adjunta, sus condiciones de operación del cupo de crédito10, así como 5 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008).

Considerando 3.3.2. Deberes de las fuentes de información (Artículo 8º) 6 Radicado 22-470269-0, página 2, folios 40 a 41 7 Radicado 22- 470269-0 página 2, folio 42 y 43 8 Radicado 22- 470269-0 página 2, folio 44 al 53 9 Radicado 22-470269-7, página 14, folio 1 10 Radicado 22-470269-7, página 14, folio 2 “Por la cual se impone una sanción y se imparten órdenes administrativas” el pagaré11 contentivo de la obligación N°.

XXXXXX y la carta de instrucciones12 de este, conforme a las siguientes imágenes: Fuente: Formulario de póliza de seguro de vida y de la obligación N°. XXXXXX Adicionalmente, la investigada aporta copia de uno de los recibos enviados al Titular como consecuencia de la contratación de la obligación N°. XXXXXX13, cuya imagen es la siguiente: Fuente: Factura de la obligación N°.

XXXXXX 11 Ibidem 12 Ídem 10 13 Radicado 22-470269-7, página 15 “Por la cual se impone una sanción y se imparten órdenes administrativas” A partir de la lectura y análisis de los documentos reseñados, está claro para este Despacho que la sociedad investigada sí puede alegar que la información reportada ante los Operadores de información es veraz, actualizada, comprobable, completa y exacta en tanto el material probatorio da cuenta de que: - El Titular adquirió la obligación N°.

XXXXXX en fecha 31 de agosto del 2012, por virtud de la solicitud de una póliza de seguro de vida, la cual contiene la solicitud de crédito, sus condiciones, el pagaré y la carta de instrucciones. - Junto con la solicitud de crédito, la investigada aportó copia de uno de los recibos enviados al Titular para notificarle que la obligación adquirida contenida en tarjeta de crédito N°.

XXXXX estaba en mora de ser pagada. De esta información, se evidencia que la sociedad CREDIVALORES – CREDISERVICIOS S.A aportó el material probatorio necesario para demostrar ser la acreedora de la obligación N°. XXXXX a nombre del señor XXXXXXXXXX XXXXXX XX XX XXX XX garantizando que la información reportada ante los operadores de información cumple con la necesidad de que la misma sea actualizada, veraz, comprobable, completa y exacta.

Por lo anterior, se ha demostrado el cumplimiento del deber y se procederá a archivar el cargo. 8.2.2 Respecto del deber de solicitar y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información. En cuanto al deber de solicitar y conservar copia de la autorización de los titulares de la información, la Ley 1266 del 2008 estableció la mencionada obligación en el numeral 5 del artículo 8, así: “ARTÍCULO 8o.

DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley.

(…)” Por su parte, la Corte Constitucional en sentencia C 1011 del 200814 expresó que: “Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio.

Al respecto, en la sentencia SU-082/95, la cual hizo un análisis extenso de las condiciones exigidas para la admisibilidad constitucional de los procesos de administración de datos personales de contenido comercial y crediticio, puso de presente que la libertad del individuo, identificada bajo el concepto de autodeterminación informática, dependía del cumplimiento del requisito de consentimiento.

Incluso, en esta decisión el Pleno de la Corte consideró que la autorización del titular hacía parte del núcleo esencial del derecho al hábeas data. La sentencia en cita señaló: “(…) Lo expuesto en esta providencia, en relación con el derecho a la información y la legitimidad de la conducta de las entidades que solicitan información de sus eventuales clientes, a las centrales de información que para el efecto se han creado, así como la facultad de reportar a quienes incumplan las obligaciones con ellos contraídas, tiene como base fundamental y punto de equilibrio, la autorización que el interesado les otorgue para disponer de esa información, pues al fin y al cabo, los datos que se van a suministrar conciernen a él, y por tanto, le asiste el derecho, no sólo a autorizar su circulación, sino a rectificarlos o actualizarlos, cuando a ello hubiere lugar. 14 Ibid. 3 “Por la cual se impone una sanción y se imparten órdenes administrativas” Autorización que debe ser expresa y voluntaria por parte del interesado, para que sea realmente eficaz, pues de lo contrario no podría hablarse de que el titular de la información hizo uso efectivo de su derecho.

Esto significa que las cláusulas que en este sentido están siendo usadas por las distintas entidades, deben tener una forma y un contenido que le permitan al interesado saber cuáles son las consecuencias de su aceptación.” (Negrillas originales). Similares consideraciones fueron tenidas por la Corte en fallos posteriores, en los que no sólo se reiteró que el consentimiento de la titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales destinados al cálculo del riesgo financiero, sino que también se cualificó esa autorización, exigiéndose que ésta fuera previa, explícita y concreta.

Ello con el fin que la gestión de la información personal respondiera a propósitos definidos y respecto de los cuales existiera conciencia plena por parte del titular del dato.” En este sentido, este Despacho evidenció por medio de la Resolución N°. 88424 del 14 de diciembre de 2022 que se “requirió a la sociedad CREDIVALORES - CREDISERVICIOS S.A. el día 18 de enero de 2021, para que aportara “2.

Copia de la autorización de reporte previa y expresa otorgada por el titular de la información”. No obstante, a la fecha de la presente Resolución NO se evidencia en el Expediente que la sociedad CREDIVALORES - CREDISERVICIOS S.A. haya dado respuesta al requerimiento realizado y/o aportado copia de la autorización otorgada por el Titular XXXXXXXXXX XXXXXX XX XX XXX XXXXXX” Frente a lo anterior, la investigada indicó que solicita que se desestime el cargo por cuanto en el documento firmado, del cargo anterior, alega que se encuentra la autorización para el reporte de información ante los operadores de información. Ahora bien, de acuerdo con el acervo probatorio, este Despacho encuentra lo siguiente: En la actuación ante el Grupo de Trabajo de Habeas Data de esta Dirección, se evidenció que por medio de los radicados 20-275400-3 y 20-275400-4 del 30 de diciembre del 2020 este Despacho les solicitó a los operadores de información que los mismos indicaran;

(i) la fecha en que el acreedor originario efectuó por primera vez el reporte de la obligación N°. XXXXX y (ii) si la fuente que reporta es una persona jurídica o un establecimiento comercial. Ante dicho requerimiento, el operador de información CIFIN S.A.S. informó que: (i) la entidad CREDIVALORES – CREDISERVICIOS S.A. es el acreedor originario y que la fecha en que tal entidad realizó el primer reporte negativo de la obligación N°.

XXXX fue el 7 de septiembre del 2015. Por su parte, el operador de información EXPERIAN DE COLOMBIA S.A. indicó que la entidad CREDIVALORES – CREDISERVICIOS S.A. es el acreedor originario y que el reporte con altura de mora de 30 días se hizo en febrero del 2013. Por otro lado, dentro el escrito de descargos, la investigada aporta una copia del formulario de solicitud de la póliza de seguro de vida con N°. de solicitud XXXXX contentivo de la obligación N°.

XXXXX y que contiene la siguiente leyenda de autorización: “El cliente autoriza expresa y revocablemente a CVCS, a sus entidades vinculadas y a las Compañías de seguros y/o Intermediarios de Seguros que participan en el desarrollo del presente contrato y a quienes representan los derechos de cualquiera de ellos o sean cesionarios de los derechos derivados del presente contrato (todos ellos en adelante las “Entidades Autorizadas”) para que con fines estadísticos, de procesamiento de datos, administración de riesgos, comerciales y de información entre compañías y entre estas y las autoridades competentes, a: a) Consultar en cualquier tiempo los bancos de datos toda la información relevante para conocer su desempeño como deudor, su capacidad de pago o para valorar el riesgo futuro de concederle un crédito o un seguro así como para verificar el cumplimiento de sus deberes segundo según lo que reportan las autoridades públicas competentes; b) reportar en los bancos de datos directamente o intermedio de las autoridades de vigilancia y control los datos tratados o sin tratar referidos a (i) el cumplimiento o incumplimiento de sus obligaciones crediticias o deberes de contenido patrimonial, (ii) sus solicitudes de crédito, así como otros datos pertinentes a sus relaciones comerciales, financieras y en general socioeconómicos que haya entregado o que consten en registros públicos base de datos públicas de documentos públicos; c) Conservar y transmitir a los bancos de datos de información indicada en el literal b) en sus debido actualización; d) Destruir los documentos entregados en caso de que la solicitud sea denegada en caso de que sea aprobada y no aceptada; e) Enviar información a través de mensajes electrónicos, escritos y/o SMS relacionados con los productos de adquiridos y/o información promocional y f) grabar “Por la cual se impone una sanción y se imparten órdenes administrativas” llamadas telefónicas, guardar comunicaciones, y en general dejar constancia de los mensajes que se intercambian el desarrollo del presente contrato.

El cliente podrá ejercer su derecho a corroborar la información suministrada y exigir su rectificación en caso de que la misma no cumpla con las características antes anotadas. Las Entidades Autorizadas no podrán divulgar la información para fines diferentes a los establecidos en el inciso anterior y estarán exentos de toda responsabilidad por las consecuencias que pueden derivarse de un registro o reporte cierto veraz y actualizado.”15 Así las cosas, dentro del anterior texto se evidencia que la autorización la otorgó el titular de la información al emisor o quien se subrogue en sus derechos; es decir al acreedor originario.

Ahora bien, teniendo en cuenta que la sociedad CREDIVALORES-CREDISERVICIOS S.A. aportó copia de la autorización contenida en el formulario de solicitud de la póliza de seguro de vida con N°. de solicitud XXXX contentivo de la obligación N°. XXXXX y fechado el 31 de agosto del 2012, se entiende que la sociedad obtuvo y conserva la autorización previa al reporte de la información ante los operadores de crédito.

Lo anterior considerando que los reportes, según el material del plenario, fueron realizados según el operador CIFIN S.A.S. el 7 de septiembre del 2015, y según el operador de información EXPERIAN DE COLOMBIA S.A. en el mes de febrero del 2013; fechas, que, en todo caso, son posteriores a la obtención de la autorización por parte de la sociedad CREDIVALORES-CREDISERVICIOS S.A Así las cosas, se procederá a archivar el cargo. 8.2.3 Respecto del deber de informar al operador que determinada información se encuentra en discusión por parte de su Titular La ley 1266 de 2008 en el numeral octavo del artículo octavo, en concordancia con lo establecido en el artículo 16 numeral 4 de la misma Ley dispone que las fuentes de información deberán informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite.

Igualmente, se señala que, si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que diga “reclamo en trámite.

Al respecto, este Despacho evidenció por medio de la Resolución N°. 88424 de 2022 que la sociedad CREDIVALORES - CREDISERVICIOS S.A. no obstante, conocer una reclamación presentada por el Titular XXXXX XXXXXX XX XX XXX XXXXX el día 21 de mayo de 202013, encaminada a “la eliminación de todos los reportes negativos que reposan en la base de datos o que reposan en las centrales de riesgos”; omitió informar al Operador de Información EXPERIAN COLOMBIA S.A. que durante el mes de mayo de 2020 la obligación número “No. XXXXX” se encontraba en discusión por parte de su Titular.

Al punto, revisada la documentación obrante en el Expediente, no se encuentra acreditada dicha comunicación dirigida por parte de la sociedad CREDIVALORES - CREDISERVICIOS S.A. al Operador de Información EXPERIAN COLOMBIA S.A., y, por el contrario, se evidencia que este indicó que la sociedad no había solicitado la inscripción de la leyenda “reclamo en Trámite” y/o “información en discusión judicial” respecto del citado número de obligación. Frente a ello, la investigada manifiesta que reconoce la infracción del cargo en tanto omitió informar que la obligación estaba en discusión judicial ante los operadores de información. Ahora bien, de acuerdo con el acervo probatorio, este Despacho encuentra lo siguiente: En la actuación ante el Grupo de Trabajo de Habeas Data de esta Dirección, se evidenció que por medio de los radicados 20-275400-3 y 20-275400-4 del 30 de diciembre del 2020 este Despacho le solicitó a los operadores de información que los mismos indicaran;

Si la fuente de información ha 15 Radicado 22-470269-7, página 14, folio 2 “Por la cual se impone una sanción y se imparten órdenes administrativas” solicitado la inscripción de la leyenda "reclamo en trámite" y/o "reclamo en discusión judicial" indicando la permanencia de dicha leyenda. Ante dicho requerimiento, el operador de información CIFIN S.A.S. informó que: (i) la entidad CREDIVALORES – CREDISERVICIOS S.A. no ha solicitado la inscripción de la leyenda “Reclamo en Trámite Fuente” y/o “Información en Discusión Judicial” para la citada Obligación. En igual sentido, se pronunció el operador Experian de Colombia S.A. Así las cosas, ante la evidencia documental y ante el reconocimiento de la fuente de información del cargo objeto de estudio, en cuanto a que no le comunicó a los Operadores de información el hecho de que el Titular ejerció su derecho de rectificación sobre la información reportada en relación con la obligación N°.

XXXXXX, es pertinente explicar la importancia de dicha leyenda y la necesidad de su inclusión en las historias de crédito de los Titulares hasta que la petición de los quejosos sea resuelta. Siguiendo los lineamientos de la Corte Constitucional en sentencia C 1011 del 2008, este Alto Tribunal establece que “(…) En lo relativo al segundo aspecto, la Sala considera oportuno estipular que la posibilidad que confiere al titular el numeral 2.2. del artículo 6º, consistente en solicitar a la fuente la actualización o rectificación, no es incompatible con que el dato personal pueda divulgarse mientras se surten dichos procedimientos.

Esto a condición que (sic), en los términos del numeral 2 del acápite II del artículo 16 de la normatividad estatutaria, una vez recibida la petición o reclamo, el operador incluya en el registro individual una leyenda que diga “reclamo en trámite” y la naturaleza del mismo. En los términos de la misma disposición, esa indicación (i) deberá mantenerse hasta que el reclamo sea resuelto; y (ii) deberá incorporarse en la información que se suministra a los usuarios.

Debe resaltarse que la circulación del dato personal objeto de reclamación es compatible con el derecho al hábeas data, en especial con el principio de veracidad y, a su vez, no constituye una afectación desproporcionada o irrazonable de las prerrogativas constitucionales del sujeto concernido. La divulgación del dato bajo la advertencia de que existe un proceso de reclamación en trámite, es un instrumento que logra el equilibrio entre el derecho a la información que tienen los usuarios y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información. Así, se mantendrá el dato incorporado en los archivos y registros, lo que permitirá que los usuarios conozcan el comportamiento crediticio del deudor.

Empero, a éste también se le otorga la prerrogativa que, en caso de no estar de acuerdo con el reporte sobre incumplimiento, pueda reclamar a ese respecto, acción que también será comunicada a los usuarios, a fin que valoren adecuadamente el dato personal, el cual tendrá en una incidencia menor en la determinación del riesgo crediticio, habida cuenta que su validez ha sido cuestionada.

Finalmente, en caso que el reclamo resulte fundado, el dato deberá eliminarse, a fin de cumplir con el principio de veracidad que se predica de la información personal. (…)16” Además, en lo relativo al deber objeto de análisis, el mismo Tribunal señaló que: “En cuanto al trámite, el reclamo debe ser incluido en el registro individual correspondiente con la expresión “reclamo en trámite” que se mantendrá hasta que el mismo sea resuelto, y entre tanto, formará parte de la información que se suministre a los usuarios.

Se contempla un término máximo de quince días hábiles para atender la petición o reclamo, prorrogable hasta por ocho más, cuando no fuere posible atender la solicitud en el plazo inicial, previa información motivada de tal hecho al interesado. Estos términos se aplican, así mismo, a los eventos en que el operador deba dar traslado del reclamo a una fuente de información independiente, a fin de que le suministre información con base en la cual aquél (el operador) atenderá el reclamo.

Cuando la solicitud se formula directamente ante la fuente podrá ser resuelta por ésta, dando aviso de ello al operador a fin de actualizar el registro individual con la existencia del “reclamo en trámite”.” (Negrilla fuera del texto original). 16 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008), considerandos 3.2.

Derechos de los titulares de la información (Artículo 6º) y 3.5. Peticiones, consultas y reclamos (Artículo 16) “Por la cual se impone una sanción y se imparten órdenes administrativas” En vista de ello, se hace necesario que la fuente cumpla con el espíritu de la ley de incluir dicha leyenda cuando cualquier Titular haya solicitado la rectificación de la información reportada ante los Operadores de crédito en la medida en que se busca la garantía del derecho fundamental de habeas data.

El hecho de que la sociedad CREDIVALORES – CREDISERVICIOS S.A. no incluya dicha leyenda en las historias de crédito de los Titulares alegando, aun sin haber incluido la leyenda en las historias de crédito para conocimiento de los operadores de información, que le dio respuesta a las reclamaciones realizadas por estos, no es justificación alguna para omitir el cumplimiento del deber, ya que la conducta desplegada por la investigada no solamente significa, de un lado, el incumplimiento de los deberes a los que está obligada por ser Fuente de información, sino que implica que los Titulares no tengan la certeza de que su derecho constitucional y fundamental fuese respetado por la sociedad en cuestión. En esta medida, la sociedad CREDIVALORES – CREDISERVICIOS S.A a través de su actuación procesal y material de no haber incorporado la leyenda y haberle informado a los Operadores de información sobre tal situación, pone de manifiesto la vulneración de la Ley Estatutaria 1266 del 2008, sino también los derechos del Titular, el señor XXXXX XXXXX XX XX XXX XXXXX.

Como colofón de lo anterior, se debe poner de presente que el hecho de que la sociedad CREDIVALORES – CREDISERVICIOS S.A. no haya comunicado a los Operadores de Información que existe un reclamo del Titular sobre una obligación crediticia determinada y por ello le impida a los actores del sistema financiero conocer tal situación fáctica, implica que la sociedad en cuestión no le permite a los Titulares lograr el equilibrio entre el derecho a la información que tienen los usuarios del sistema crediticio y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información. Por ello, el hecho de mantener un dato o información no actualizada, que en este caso se refiere a la leyenda en cuestión, supone que no se les permita a los actores del sistema financiero tener certeza sobre el comportamiento crediticio del Titular.

En virtud de lo anterior, se impartirá una orden administrativa. 8.2.4 Respecto del deber de cumplir con las instrucciones que imparta la Superintendencia de Industria y Comercio en relación con el cumplimiento del Régimen de Protección de Datos personales La Ley 1266 de 2008 en el numeral noveno del artículo octavo establecen lo siguiente: “ARTÍCULO

8. DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: […] 9. Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley.” (Subraya fuera de texto original).

En este punto, vale la pena hacer énfasis sobre la naturaleza de esta entidad y sus funciones, así: De acuerdo con el artículo 25 del Decreto 2974 del 03 de diciembre de 196817, por el cual se creó la de vigilancia y control de acuerdo con las normas vigentes que le corresponden. De forma que, con la expedición del Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Política de 1991 y, en este caso particular, en la Ley 1266 de 2008.

En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos. Para el caso particular, la protección está amparada en la Ley 1266 de 2008, la cual establece que será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. 17 Decreto 2974 del 3 de diciembre de 1968, “por el cual se reorganiza el Ministerio de Fomento y se dictan otras disposiciones”.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de las Fuentes de información y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación. Finalmente, no debe perderse de vista que la Ley 1266 de 2008 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, toda Fuente de información debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Así las cosas, la Ley 1266 de 2008 y sus decretos reglamentarios están dispuestos para proteger el derecho fundamental de habeas data con el que cuenta todo Titular y garantizar que las Fuentes de información cumplan a cabalidad los deberes que recaen sobre ellos sin tener que recurrir a razonamientos complejos, ya que debería ser de fácil entendimiento que los deberes de ley son de obligatoria observancia para garantizar la protección de este derecho fundamental Por lo tanto, esta Ley faculta a esta Dirección a exigir de las Fuentes de información los deberes que estos deben cumplir de conformidad con el artículo 8 de la Ley en cita.

De esta manera, se hace la claridad de que la sociedad CREDIVALORES – CREDISERVICIOS S.A. debe, de una parte, atender los diferentes llamados de esta Superintendencia y, de otro, demostrar el cumplimiento de los deberes a los que se encuentra obligada por ser Fuente de Información. Al respecto, este Despacho evidenció por medio de la Resolución N°. 88424 de 2022 que la sociedad CREDIVALORES - CREDISERVICIOS S.A., posiblemente incumplió su deber de atender las instrucciones que imparte esta Superintendencia, como autoridad de control, toda vez que a la fecha de dicha Resolución no se evidenció que la investigada hubiese dado (i) respuesta al requerimiento de información realizado por esta Dirección de fecha 18 de enero de 2021, remitido a la dirección de correo electrónico de notificación judicial de la sociedad y (ii) al requerimiento de información realizado por esta Dirección el día 14 de septiembre de 2021, remitido a la dirección de correo electrónico de notificación judicial de la sociedad, impuestos@credivalores.com.

Frente a ello, la investigada manifiesta que reconoce la infracción del cargo. Ahora bien, de acuerdo con el acervo probatorio, este Despacho encuentra lo siguiente: En la actuación ante el Grupo de Trabajo de Habeas Data, este Despacho le solicitó a la sociedad CREDIVALORES - CREDISERVICIOS S.A que aportara la información solicitada dentro del requerimiento de información con radicado 20-275400-7 de fecha 18 de enero de 2021, el cual fue remitido a la dirección de correo electrónico de notificación judicial de la sociedad (impuestos@credivalores.com).

No obstante, ante el silencio de la sociedad investigada, se procedió a enviar un segundo requerimiento de información obrante a radicado 20-275400-20 de fecha 14 de septiembre de 2021, el cual también fue enviado a la dirección de notificación judicial de la sociedad CREDIVALORES CREDISERVICIOS S.A. Ante ello, teniendo presente que la sociedad investigada, en la etapa preliminar de esta investigación, no aportó la información, ni las pruebas que permitieran tener mayores elementos de juicio frente a las alegaciones del Titular, se procedió a realizar la formulación de cargos que inició con la Resolución “Por la cual se impone una sanción y se imparten órdenes administrativas” N°. 88424 del 14 de diciembre del 2022.Como consecuencia, la investigada reconoce la infracción del deber objeto de estudio al interior del escrito de descargos.

En este sentido, se ve la necesidad de hacer énfasis en la importancia de este deber legal. En primer lugar, ante la necesidad de dar respuesta a los requerimientos de esta autoridad, se le recuerda a la Fuente de información que el cumplimiento del deber de atender los diferentes llamados de esta Superintendencia no debe ser visto como una formalidad procesal, que se “subsana” dando respuesta en los descargos y eventuales alegatos de conclusión. Por el contrario, el hecho de no dar respuesta a los requerimientos de este Despacho implica una presunción de incumplimiento legal y no permite tener mayores elementos probatorios para tener certeza de los hechos endilgados en contra de la sociedad en cuestión, lo cual, a la postre, implicara mayores recursos de la investigada para defenderse en el trámite de la investigación. Finalmente, como lo anota la Corte Constitucional en sentencia C 1011 del 2008, la importancia de dar cumplimiento a este deber se basa en la necesaria relación “jerárquica de seguimiento y vigilancia a que está supeditada la actividad del tratamiento de datos”18.

Así las cosas, la sociedad investigada está en la obligación legal de dar respuesta a los requerimientos de este Despacho y, en caso de no proceder de conformidad, se determinará la imposición de una sanción o la impartición de una orden administrativa. Ahora, teniendo presente el reconocimiento de la infracción por parte de la sociedad investigada, se procederá a impartir una orden administrativa, ya que se ve la necesidad de que la sociedad CREDIVALORES - CREDISERVICIOS S.A implemente un procedimiento que le permita medir el grado de cumplimiento del deber de dar respuesta a los requerimientos y eventuales ordenes que profiera este Despacho. 8.2.5 Respecto del deber de comunicar al titular previamente a efectuar el reporte El numeral 10 del artículo 8 de la Ley 1266 de 2008 establece lo siguiente: “ARTÍCULO 8o.

DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 10. Los demás que se deriven de la Constitución o de la presente ley.” En concordancia con lo anterior, el inciso 2 del artículo 12 de la Ley 1266 de 2008 establece un deber especial para las fuentes de información en los siguientes términos: “ARTÍCULO

12. REQUISITOS ESPECIALES PARA FUENTES (…) El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y está aún no haya sido resuelta”.

(Negrilla fuera del texto original) 18 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008), considerando 3.3.2. Deberes de las fuentes de información (Artículo 8º) “Por la cual se impone una sanción y se imparten órdenes administrativas” Al respecto de dicho deber especial, la Corte Constitucional en la sentencia C-1011 de 200819 señaló lo siguiente: “(…) El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

(…) La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.

(…)”. (Negrilla fuera del texto original) Frente a este deber, este Despacho evidenció por medio de la Resolución 88424 del 14 de diciembre de 2022 que: “(…) este Despacho mediante comunicación del día 18 de enero de 2021 requirió a la sociedad Credivalores – Crediservicios S.A., para que se pronunciara sobre los hechos materia de la denuncia y aportara, entre otros, “Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma con el término establecido en el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009”, no obstante, como se analizó previamente, encontramos que la sociedad investigada no allegó respuesta de explicaciones (…)”.

En cuanto a lo anterior, la investigada solicita que se desestime el cargo al aportar la guía de envío del extracto en el que se incluye la leyenda previa al reporte. Ahora bien, en cuanto al acervo probatorio, se encuentra lo siguiente: El Grupo de Trabajo de Hábeas Data de esta Dirección requirió, mediante solicitud de explicaciones número 20-275400-7 del 18 de enero de 2021, a la sociedad CREDIVALORES – CREDISERVICIOS S.A. para que la misma adjuntara “Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma en el término establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009.” Que la investigada guardó silencio ante tal requerimiento.

Igualmente, se requirió por medio de los radicados 20-275400-3 y 20-275400-4 del 30 de diciembre del 2020 a los operadores de información que los mismos indicaran; (i) la fecha en que el acreedor originario efectuó por primera vez el reporte de la obligación N°. XXXXXX y (ii) si la fuente que reporta es una persona jurídica o un establecimiento comercial.

Ante dicho requerimiento, el operador de información CIFIN S.A.S. informó que: (i) la entidad CREDIVALORES – CREDISERVICIOS S.A. es el acreedor originario y que la fecha en que tal entidad realizó el primer reporte negativo de la obligación N°. XXXXX fue el 7 de septiembre del 2015. Por su parte, el operador de información EXPERIAN DE COLOMBIA S.A. indicó que la entidad CREDIVALORES – CREDISERVICIOS S.A. es el acreedor originario y que el reporte con altura de mora de 30 días se hizo en febrero del 2013.

Finalmente, la investigada dentro de su escrito de descargos aporta copia del formulario de solicitud de seguro de vida, el cual contiene la dirección de residencia del denunciante y el extracto de la tarjeta de crédito de la obligación N°. XXXXXX. Mediante el mencionado extracto, se le indica al Titular que el no pago oportuno genera reporte ante centrales de riesgo y que, en caso de incumplir en el pago de las cuotas, la información de ese extracto hace las veces de la comunicación previa de la Ley 1266 del 2008.

Es de resaltar que el extracto indica que la fecha límite de pago es “inmediato” y asciende a un valor de $2.683.503. 19 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008). “Por la cual se impone una sanción y se imparten órdenes administrativas” En este punto, es pertinente traer a colación el artículo 2.2.2.28.2. del Decreto Único Reglamentario 1074 de 2015, que compila el Decreto 2952 del 2010, el cual a su vez reglamentó el artículo 12 de la Ley 1266 del 2008.

Dicho artículo señala que “En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya manera clara y legible.

Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente.” (Negrilla fuera del texto original).

En este punto, es pertinente traer a colación las facturas enviadas por la fuente, para establecer si las mismas cumplen con las exigencias de la Ley 1266 de 2008, en la medida en que es un deber especial de las fuentes de información realizar la comunicación previa, conforme a los criterios dispuestos en el artículo 12 de la Ley 1266 de 2008; es decir a los siguientes: (i) Remitir comunicación previa al Titular de la obligación en la cual el Titular pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad;

(ii) El reporte de la información se puede realizar una vez hayan transcurrido veinte (20) días calendario siguientes a la remisión de la comunicación en la cual el Titular haya podido demostrar el pago, efectuarlo o controvertir aspectos de la obligación y (iii) Dicha comunicación previa al reporte debe ser enviada la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información. Sobre este punto, vale la pena aclarar que el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015 dispuso que las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención. En este sentido, se adjunta una copia de las facturas20 enviadas al Titular, así: 20 Radicado 22-470269-7, pág. 15, folio 1 “Por la cual se impone una sanción y se imparten órdenes administrativas” Así las cosas, tras haber contrastado la factura enviada al Titular por parte de la investigada frente a los criterios legales señalados en el artículo 12 de la Ley 1266 del 2008, este Despacho encuentra lo siguiente: (i) La factura enviada al Titular efectivamente señala que la tarjeta de crédito, contentiva de la obligación N°.

XXXXXX estaba en mora y que debía realizar el pago de manera inmediata. Esta situación supone la aplicación del primer criterio, dándole la oportunidad al Titular de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos como el monto de la obligación o cuota y la fecha de exigibilidad; (ii) En cuanto a la fecha del presente extracto, la factura tiene fecha del 28 de octubre del 2018, mientras que la guía de envió N°.

XXXX21 tiene fecha de entrega del 11 de noviembre del 2018, de acuerdo con la siguiente imagen: Así las cosas, se tiene que el reporte ante los operadores de información es anterior al envío de la comunicación previa presentada, por cuanto el reporte de la obligación N°. XXXXX fue efectuado por primera vez el 30 de septiembre del 2013 ante el Operador de Información Experian de Colombia S.A. De esta manera, la investigada mantuvo un reporte de información negativa, sin el cumplimiento de los requisitos legales, desde el 30 de septiembre de 2013 hasta la fecha de la eliminación de la obligación, esto es, cerca de ocho años y seis meses.

Por ello, la sociedad CREDIVALORES – CREDISERVICIOS S.A tuvo muchas oportunidades de solicitar la eliminación del reporte y realizar la comunicación previa, esperar los 20 días calendario y volver a reportar la obligación, si el titular no se ponía al día con la misma. No obstante, la investigada no elimina la información y en octubre de 2018 realiza una comunicación previa que no tiene ningún efecto frente a reporte ilegal, toda vez que de nada servía realizar un anuncio de un eventual reporte negativo, si en dicho momento ese reporte ya se encontraba en la historia de crédito de la titular desde septiembre de 2013.

Así las cosas, se debe resaltar la importancia que conlleva este deber en la medida en que se busca la salvaguarda del derecho del Titular de demostrar o efectuar el pago de la obligación, así como controvertir aspectos como el monto de la obligación o cuota y la fecha de exigibilidad. En el análisis del deber objeto de estudio, la Corte Constitucional, en sentencia C 1011 del 2008, considero que esta exigencia legal es compatible con la Constitución Política de 1991, en la medida en que es: “El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad”22 (Negrilla fuera del texto original) 21 Radicado 22-470269-7, pág. 16 22 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008), considerando 3.3.2.

Deberes de las fuentes de información (Artículo 8º) “Por la cual se impone una sanción y se imparten órdenes administrativas” Así las cosas, la comunicación previa busca que antes de que se efectué el reporte negativo ante los operadores de información, el Titular pueda hacer valer sus derechos para actualizar o rectificar la información crediticia ante la Fuente de información, ya sea para pagar la suma adeudada o discutir la información objeto de reporte.

Finalmente, el incumplimiento del deber objeto de análisis ha persistido incluso después de la orden de eliminación emitida por esta Superintendencia, de manera que la sociedad CREDIVALORES – CREDISERVICIOS S.A no ha dado cumplimiento al deber legal que se predica de las Fuentes de Información por el tratamiento de datos de los Titulares.

En virtud de lo anterior, se impondrá la sanción pertinente NOVENO: CONCLUSIONES En cuanto al primer cargo, es evidente que la sociedad CREDIVALORES – CREDISERVICIOS S.A aportó el material probatorio necesario para demostrar ser la acreedora de la obligación N°. XXXXX a nombre del señor XXXXX XXXXXX XX XX XXX XXXXXX garantizando que la información reportada ante los operadores de información cumple con la necesidad de que la misma sea actualizada, veraz, comprobable, completa y exacta.

Frente al segundo cargo, la sociedad CREDIVALORES-CREDISERVICIOS S.A. aportó copia de la autorización del señor XXXXX XXXXXX XX XX XXX XXXXXX contenida en el formulario de solicitud de la póliza de seguro de vida con N°. de solicitud XXXXXX contentivo de la obligación N°. XXXXX, cumpliendo así con la necesidad de obtener la autorización de forma previa al reporte de la información ante los operadores de información. En lo relativo al cargo tercero, la entidad CREDIVALORES-CREDISERVICIOS S.A. no ha solicitado la inscripción de la leyenda “Reclamo en Trámite Fuente” y/o “Información en Discusión Judicial” de la obligación, puesto que ante la evidencia documental se evidenció que la sociedad CREDIVALORESCREDISERVICIOS S.A. no le comunicó a los Operadores de Información el hecho de que el Titular ejerció su derecho de rectificación sobre la información reportada en relación con la obligación contenida en el titulo valor denominado cheque N°.

XXXX. La actuación de la investigada al no aportar la leyenda de ‘reclamo en trámite’, implica que la sociedad en cuestión no le permite a los Titulares lograr el equilibrio entre el derecho a la información que tienen los usuarios del sistema crediticio y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información, lo cual, a la postre, pone de manifiesto la vulneración de la Ley Estatutaria 1266 del 2008, sino también los derechos de los Titulares.

Frente al cargo cuarto, la sociedad CREDIVALORES-CREDISERVICIOS S.A guardó silencio frente a los requerimientos del Despacho, por cuanto no aportó la información, ni las pruebas que permitieran tener mayores elementos de juicio frente a las alegaciones del Titular. La actuación de la investigada al no aportar material probatorio implica que el cumplimiento del deber de atender los diferentes llamados de esta Superintendencia, lo cual no debe ser visto como una formalidad procesal, que se “subsana” dado respuesta en los descargos y eventuales alegatos de conclusión. Por el contrario, el hecho de no dar respuesta a los requerimientos de este Despacho implica una presunción de incumplimiento legal y no permite tener mayores elementos probatorios para tener certeza de los hechos endilgados en contra de la sociedad en cuestión Finalmente, la entidad CREDIVALORES-CREDISERVICIOS S.A, como acreedora originaria de la obligación N°.

XXXXX, no comunicó previamente al reporte de la información negativa al titular por lo cual no garantizó que este pudiera hacer valer sus derechos para actualizar o rectificar la información crediticia ante la Fuente de información, ya sea para pagar la suma adeudada o discutir la información objeto de reporte.

DÉCIMO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, en virtud del principio de responsabilidad demostrada establecido en el artículo 19 A de la Ley 1266 de 2008 y teniendo en cuenta la relevancia del deber incumplido por la sociedad, se encuentra demostrado que la misma no “Por la cual se impone una sanción y se imparten órdenes administrativas” tiene implementadas las medidas efectivas y apropiadas para garantizar el (los) deber(es) de informar al operador que determinada información se encuentra en discusión por parte de su Titular; de acuerdo a lo establecido en la Ley.

Al respecto es importante resaltar lo establecido en el numeral 3 del artículo 19 B, que señala lo siguiente: “Artículo 19 B. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 Y 4 del artículo anterior, las medidas efectivas y apropiadas implementadas por los operadores, fuentes y usuarios de información deberán garantizar: 3.

La adopción de procesos para la: atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento. La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales por parte de los operadores, fuentes y usuarios de información será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley.

Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos.” (Negrilla y resaltado fuera del texto). En virtud de lo expuesto, según los numerales 1 y 6 del artículo 17 de la Ley 1266 de 2008 que le otorgan, respectivamente, a la Superintendencia la facultad de: “Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación”.

En vista de lo anterior, este Despacho procederá a impartir la siguiente instrucción: • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial. • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para dar respuesta a los requerimientos y eventuales ordenes que profiera este Despacho.

De lo anteriormente ordenado la sociedad CREDIVALORES-CREDISERVICIOS S.A deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN 11.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1823. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 24, 425 y 626 de la Constitución, 23Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 25 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 26 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) “Por la cual se impone una sanción y se imparten órdenes administrativas” debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo27. La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”28 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional29.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:

ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT- 27 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 28 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. 29 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas”, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional30 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”31 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria. 30 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 31 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas” Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 32.

La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”33.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia34. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 1835 de la misma.

Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 32 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 33 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 34 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 35 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).

Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: administración de datos prohibidos. se aplica a los supuestos de Criterios de graduación de las sanciones (Art. 19).

En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;

(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar. (…)36 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por el investigado haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego 36Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2.

Sanciones y criterios para su graduación (Artículos 18 y 19). “Por la cual se impone una sanción y se imparten órdenes administrativas” analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

En el caso sub-examine, con base en el literal a) del artículo 19 de la Ley 1266 de 2008, esta Dirección evidencia que el cargo comprobado en contra de la sociedad CREDIVALORES – CREDISERVICIOS S.A. afectó de forma real y concreta los derechos fundamentales del señor XXXXX XXXX XX XX XXX XXXXXX. A partir del análisis del material probatorio, quedó demostradala vulneración del numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3 de la misma Ley al demostrarse que cuando la comunicación previa no se surtió de acuerdo con los requisitos legales, ya que dentro de las pruebas obrantes en el expediente es claro que la entidad CREDIVALORESCREDISERVICIOS S.A. no cumplió el deber de comunicación previa respecto al reporte de información negativa ante los operadores de información de la obligación N° XXXX00.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de CIENTO SETENTA Y TRES (173) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a VEINTE MIL SESENTA Y OCHO (20.068) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOSCIENTOS DIECINUEVE MILLONES SETECIENTOS SESENTA Y CUATRO MIL SEISCIENTOS SESENTA Y OCHO PESOS M/CTE ($219.764.668)37, por la vulneración a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 11.1.2 La reincidencia en la comisión de la infracción Será tenido en cuenta el criterio contenido en el literal c) del artículo 19 de la Ley 1266 de 2008 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por el incumplimiento al deber especial consagrado en el artículo 12 de la ley, esto es, que se ha generado reincidencia en el incumplimiento del deber de las fuentes de remitir la comunicación previa, razón por la cual este Despacho aumentará la sanción en un valor equivalente a NUEVE MIL NOVECIENTOS SETENTA Y SEIS (9976) Unidades de Valor Básico – UVB Vigentes para 2014 adicionales, para un total de TRESCIENTOS VEINTINUEVE MILLONES ONCE MIL OCHOCIENTOS CUARENTA Y CUATRO M/CTE ($329.011.844), equivalente a TREINTA MIL CUARENTA Y CUATRO (30044) Unidades de Valor Básico – UVB Vigentes para 2014 En efecto, enseguida se destacan las siguientes sanciones: • Radicado 10-157311 En el que mediante la Resolución N°. 98888 del 24 de febrero de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa a la denunciante.

Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 98888 del 24 de febrero de 2011 sancionó por dos cargos a la citada sociedad en DIEZ (10) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 10-139739 En el que mediante la Resolución N°. 11910 del 28 de febrero de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa a la denunciante: 37 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 11910 del 28 de febrero de 2011 sancionó por dos cargos a la citada sociedad en DIEZ (10) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 10-152571 En el que mediante la Resolución N°. 46346 del 31 de agosto de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa a la denunciante Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 46346 del 31 de agosto de 2011 sancionó por dos cargos a la citada sociedad en DIEZ (10) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 14-062789 En el que mediante la Resolución N°. 60191 del 30 de septiembre de 2014 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa.

Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 60191 del 30 de septiembre de 2014 sancionó por dos cargos a la citada sociedad en CUARENTA (40) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 20-327111 En el que mediante la Resolución N°. 78065 del 30 de noviembre de 2021 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la Ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015 al haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa al Titular de la información. Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por DOS MIL CIEN (2100) UNIDADES DE VALOR TRIBITARIO - UVT, por el incumplimiento del deber contemplado en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la Ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. 11.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. Ahora bien, frente al literal f) del artículo 19 de la Ley 1266 de 2008, se tiene que precisar que la sociedad CREDIVALORES - CREDISERVICIOS S.A reconoció la infracción de los deberes de (i) cumplir con las instrucciones que imparta la Superintendencia de Industria y Comercio en relación con el cumplimiento del Régimen de Protección de Datos personales, y (ii) deber de informar al operador que determinada información se encuentra en discusión por parte de su Titular.

Dicho reconocimiento se tuvo en cuenta por parte de este Despacho de acuerdo con el material probatorio obrante en el expediente. En esta medida, se emiten las ordenes administrativas como consecuencia del reconocimiento de las infracciones. Finalmente, se debe hacer hincapié en que la sociedad CREDIVALORES - CREDISERVICIOS S.A únicamente realizó el reconocimiento de los deberes anteriormente mencionados, y no realizó el “Por la cual se impone una sanción y se imparten órdenes administrativas” reconocimiento del deber sancionado, es decir, el deber de comunicar al titular previamente a efectuar el reporte.

DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CREDIVALORES CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, con el correo electrónico de notificación judicial impuestos@credivalores.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-470269. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3 de DOSCIENTOS CINCUENTA Y NUEVE (259) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TREINTA MIL CUARENTA Y CUATRO (30.044) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRESCIENTOS VEINTINUEVE MILLONES ONCE MIL OCHOCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($329.011.844), por la vulneración de las disposiciones establecidas en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: ORDENAR a la sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, cumplir con las siguientes instrucciones: • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial. • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para dar respuesta a los requerimientos y eventuales ordenes que profiera este Despacho.

Parágrafo Primero: La sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión, una certificación suscrita por el representante legal de la sociedad, junto con las pruebas suficientes que demuestren dicha implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

Parágrafo Segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, acreedora de las sanciones previstas en la ley. “Por la cual se impone una sanción y se imparten órdenes administrativas”

ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3 a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación ARTÍCULO 4: COMUNICAR el contenido de la presente resolución al señor XXXXX XXXXXX XX XX XXX XXXXXX, identificado con cédula de ciudadanía número XXXXXXXXXXXXX.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 05 de junio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.06.05 11:20:57 -05'00' CAROLINA GARCÍA MOLINA Elaboró: Santiago Ruiz Revisó: Adriana Castelblanco Aprobó: Carolina García NOTIFICACIÓN: Investigada: CREDIVALORES - CREDISERVICIOS S.A. Identificación: NIT 805.025.964-3 Representante legal: JAIME FRANCISCO BURITICA LEAL Identificación: C.C. N°. 11.322.917 Dirección: Carrera 7 # 76-35 Piso 7 Ciudad: Bogotá D.C. Correo electrónico: impuestos@credivalores.com Apoderado: CARLOS FREDY BELTRÁN RODRÍGUEZ Identificación: C.C. N°. 1.013.617.843 Correo electrónico: impuestos@credivalores.com COMUNICACIÓN: Señor: XXXXX XXXXXX XX XX XXX XXXXXX Identificación: C.C. XXXXXXXXXXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: Soledad, Atlántico Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 29069 de 2024

CONSIDERANDO

RESUELVE