Resolución sancionatoria N° 55739 de 2022

(22 AGOSTO 2022) “Por la cual se impone una sanción administrativa” Radicación: 20-97192 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, por lo que decidió iniciar investigación administrativa por medio de la Resolución N°. 57180 del 3 de septiembre de 2021 en consideración a los siguientes hechos: “(…) 1.1.

En la queja se afirma que: “1. Desde el mes de diciembre del año dos mil diecinueve, comencé a recibir unos mensajes promocionales relacionados con la empresa COLSUBSIDIO, como se detalla a continuación […] 2. Teniendo en cuenta que no he proferido autorización a dicha empresa para el tratamiento de la información, el pasado 21 de octubre de dos mil diecinueve (2019) presenté un derecho de petición por medio del cual informaba dicha novedad a la empresa y solicitaba la siguiente información: ‘• La relación de la información que a nombre de XXXX XXXXX XXXXXXX XXXXXX reposa en las bases de datos automatizadas y manuales, así como en los archivos físicos y digitales de COLSUBSIDIO. • Remitir copia del mecanismo a través del cual COLSUBSIDIO recolectó los datos personales de XXXX XXXXX XXXXXXX XXXXXX. • Copia de la autorización de tratamiento de la información otorgada por XXXX XXXXX XXXXXXX XXXXXX y conforme a la ley 1581 de 2012 en la cual se detalle que autoricé el envío de promociones y ofertas a mi número personal.’ La idea de esta petición era conocer en cuales medios se encontraba la información, cuales (sic) eran los medios y soportes en que se encontraba de tal suerte que pudiera solicitar la supresión del dato. 3.

Luego de haber radicado la petición, el 24 de octubre de 2019 recibí un mensaje por parte de COLSUBSIDIO proveniente de la cuenta Xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx en el cual me indicaban lo siguiente: ‘Cordial Saludo, Nos permitimos confirmar que su petición ha sido recibida satisfactoriamente con el número de radicado xxxxxxxx y será enviada al área correspondiente para su gestión y respuesta.

La respuesta será enviada a la dirección o email de contacto suministrada por usted, de 10 a 15 días hábiles de acuerdo al tipo de tramite requerido, a partir del envío de este Correo [ ]’ 4. El plazo de 15 días hábiles se venció el martes 12 de noviembre de 2019 sin que se hubiera recibido respuesta alguna, por el contrario seguí recibiendo comunicaciones los días 15, 26, 30, y 31 de diciembre de 2019. […] HOJA NnNº,2 “Por la cual se impone una sanción administrativa” 5.

A pesar de que la empresa contaba hasta el 12 de noviembre de 2019 para responder, solo lo hizo hasta el 9 de marzo de 2020, es decir, se tardó 04 meses en resolver una consulta.: ‘Bogotá D.C.,09 de Marzo de 2020 Señor XXXX XXXXX XXXXXXX XXXXXX xxxxxxxxxxxxxxxxxxxxxxxx Bogotá D.C. Asunto: Consulta Habeas Data P PQR No. xxxxxxx Respetado Señor(a): En atención a su requerimiento recibido el día 21-10-2019, conocedores de la importancia de brindar a todas nuestras empresas y afiliados una atención integral y a todo nivel, desde Colsubsidio ponemos a su disposición los mejores recursos para entregar información sobre nuestro Portafolio y Servicios disponibles, por lo que después de realizar las validaciones respecto a Habeas Data, se informa que el número de celular XXXXXXXXXX no fue encontrado en las bases de datos, Ofrecemos una sincera disculpa por las molestias causadas y los mensajes compartidos.[…]’ 6.

A pesar de lo señalado por la empresa, ayer 15 de abril de 2020 recibí mensajes de texto con publicidad de la empresa. 7. Teniendo en cuenta lo anterior, considero que COLSUBSIDIO faltó a la verdad en la respuesta del pasado mes de marzo, contiene información personal relacionada con mi nombre y número telefónico frente a la cual, desconozco haber proferido alguna autorización. En todo caso, considero que COLSUBSIDIO efectúa un uso indebido a mi información personal. […]”. 1.2.

Para soportar su denuncia, el señor XXXX XXXXX XXXXXXX XXXXXX allegó los siguientes documentos: 1.2.1. Copia del Derecho de Petición instaurado ante la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO el 21 de octubre de 2019, en el que Consulta acerca de la información suya que reposa en las bases de datos de la entidad. 1.2.2. Copia del acuse de recibido por parte de la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, de fecha 24 de octubre de 2019 en el que se informa que el trámite se adelantará bajo el radicado No. ‘XXXXXXX’ 1.2.3.

Copia de una comunicación remitida por el Titular XXXX XXXXX XXXXXXX XXXXXX el 18 de diciembre de 2019 en la que consulta a la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO acerca del estado del Derecho de Petición instaurado el 21 de octubre de 2019. 1.2.4. Copia de una comunicación remitida por la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, de fecha 23 de diciembre de 2019 en la que le informa al Titular XXXX XXXXX XXXXXXX XXXXXX que su trámite se encuentra en estudio bajo el radicado No. ‘XXXXXXXX’” 1.2.5.

Copia de la respuesta presentada por CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, de fecha 9 de marzo de 2020 frente al Derecho de Petición presentado por el Titular XXXX XXXXX XXXXXXX XXXXXX el 21 de octubre de 2019. 1.2.6. Copia de un complemento de información a la denuncia presentada por parte del Titular XXXX XXXXX XXXXXXX XXXXXX, del 16 de mayo de 2020 aportando capturas de pantalla de mensajes de texto recibidos en su línea celular XXXXXXXXXX del 8 de mayo, 10 de mayo y 16 de mayo de 2020, desde el remitente xxx-xxx con prospección comercial de Droguerías COLSUBSIDIO. 1.2.7.

Copia de un complemento de información a la denuncia presentada por parte del Titular XXXX XXXXX XXXXXXX XXXXXX, del 7 de junio de 2020 adjuntando una captura de pantalla de un mensaje de texto recibido en su línea celular XXXXXXXXXX el 30 de mayo de 2020, desde el remitente xxx-xx con prospección comercial de Supermercados COLSUBSIDIO.

SEGUNDO: Que, con fundamento en la denuncia presentada, esta Dirección adelantó las siguientes averiguaciones preliminares: HOJA NnNº,2 “Por la cual se impone una sanción administrativa” 2.1. Por medio de Oficio se envió requerimiento de información del 20 de junio de 202011 dirigido a la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO solicitando que informara lo siguiente: “1.

Informen y acrediten qué datos personales (número telefónico, dirección de residencia, número de identificación, correo electrónico, entre otros) del Titular XXXX XXXXX XXXXXXX XXXXXX se encuentran almacenados en su(s) base(s) de dato(s). 2. Informen y acrediten la fecha y forma de recolección de los datos personales del Titular XXXX XXXXX XXXXXXX XXXXXX. 3.

En los términos del artículo 9 de la Ley 1581 de 2012, indiquen si cuentan con la autorización previa e informada del Titular XXXX XXXXX XXXXXXX XXXXXX para la recolección y tratamiento de sus datos personales. En caso de ser afirmativa su respuesta, sírvanse remitir copia del formulario y/o formato mediante el cual se realizó este procedimiento y se informó al Titular la finalidad del tratamiento y los derechos que le asisten en virtud de la autorización otorgada 4.

Informen si el Titular XXXX XXXXX XXXXXXX XXXXXX ha presentado petición o reclamo relacionado con los hechos objeto de denuncia. De ser así, informen el trámite interno que surtió la petición y alleguen a este Despacho la respuesta suministrada con el respectivo soporte de envío. 5. Informen si la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR – COLSUBSIDIO ha estado enviando mensajes de texto al número de telefonía celular XXXXXXXXXX del cual es titular el señor XXXX XXXXX XXXXXXX XXXXXX. 6.

Informen si la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR – COLSUBSIDIO, envía mensajes de texto con prospección comercial a sus clientes desde los números cortos XXX-XX y XXX-XXX. 7. Informen el nombre de la persona, natural o jurídica a la que se encuentra vinculado el número de telefonía celular XXXXXXXXX del que es titular el XXXX XXXXX XXXXXXX XXXXXX 8.

Informen, si el tratamiento que realiza la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR – COLSUBSIDIO a los datos personales almacenados en sus bases de datos, lo hace en calidad de Responsable y/o Encargado. Acrediten su respuesta. Colsubsidio es el responsable de la información y en este caso no tenemos encargados (…)”

SEGUNDO: Que, con base en los hechos anotados y las pruebas recaudadas en la etapa preliminar de la investigación, mediante Resolución N°. 57180 del 3 de septiembre del 2021, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, por la presunta violación de las normas sobre protección de datos personales, en particular a lo dispuesto en: (i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) Literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015; (iii) Literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

TERCERO: Que la mencionada Resolución N°. 57180 de 3 septiembre de 2021, le fue notificada el día 15 de septiembre de 2021 mediante aviso N°. 22570 a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro HOJA NnNº,2 “Por la cual se impone una sanción administrativa” del referido trámite con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción, de acuerdo con la certificación emitida por la secretaría de general de esta Superintendencia de Industria y Comercio radicada con N°. 20-97192-23 de fecha 20 de septiembre del 2021.

Igualmente, la mentada Resolución le fue comunicada al quejoso el día 15 de septiembre de 2021.

CUARTO: Que, mediante escrito radicado bajo N°. 20-97192-24 de 05 de octubre de 2021, a través del apoderado especial, la sociedad investigada presentó su escrito de descargos 1 en los cuales manifestó, entre otras cosas, lo siguiente: 4.1. Para empezar la sociedad investigada hizo una aclaración del caso, al exponer que, a su criterio, se: “(…) busca investigar y sancionar a Colsubsidio por el supuesto tratamiento desautorizado de los datos personales del señor XXXX XXXXX XXXXXXX XXXXXX, cuando en realidad lo que ocurrió fue el suministro erróneo de datos personales por parte de un sujeto diferente, el señor Xxxx Xxxxxx Xxxxxx Xxxx, quien manifestó ser el titular de la información objeto de la controversia.

Fue de dicho sujeto de quien provino el número de celular xxxxxxxxx, supuestamente recolectado por Colsubsidio sin agotar el rigor correspondiente para su tratamiento ( )”2. 4.2. Posteriormente, la sociedad investigada indicó que si contaba con la autorización previa, expresa e informada del Titular argumentando, entre otras cosas, que: “(…) El señor Xxxxxx fue quien indicó ser el titular del dato personal representado en el número de celular xxxxxxxxxx, lo suministró y previamente consintió su tratamiento (…) Como puede observarse, Xxxx Xxxxx Xxxxxx Xxxx fue quien, con su puño y letra, diligenció y autorizó el tratamiento de los datos personales, y quien además indicó ser el titular del número de celular antes señalado.

Este formulario fue diligenciado por el mismo titular, lo cual se desprende de la equivalencia de la letra utilizada y la firma plasmada. Este formulario fue radicado ante Colsubsidio bajo el número XXXXXXXXXXXxxx, según se observa en la imagen de arriba A través del formulario, el titular, el señor Xxxx Xxxxx Xxxxxx (sic), autorizó el tratamiento de la información diligenciada, entre la que se encontraba el número de celular referenciado, así: Si la información suministrada a Colsubsidio por parte del señor Xxxxxx finalmente no resultó ser de él o fue inexacta desde su entrega, lo cual se desprende por los hechos traídos a colación en la denuncia del señor Xxxx Xxxxx Xxxxxxx (sic) y la confusa digitación por parte del titular, ambas situaciones no son responsabilidad de Colsubsidio, quien confió en la buena fe del señor Xxxxxx y creyó de manera legítima que dicho número de celular era de él y que la digitación allí consignada correspondía con el número de celular xxxxxxxxx.

Conforme las evidencias expuestas frente a la relación con el señor Xxxxx Xxxxx Xxxxxx (sic) quien, reiteramos, indicó ser el titular del dato personal representado en el número de celular 1 Disponible en: radicado N°. 20097192—0002400001. Páginas 1 y 2. 2 Disponible en: radicado N°. 20097192—0002400017. Páginas 1 y 2. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” XXXXXXXXXX, Colsubsidio contó con autorización previa, expresa e informada para su tratamiento, así luego, con base en las incidencias formuladas por el señor Xxxx XXXXXXXXXXX XXXXXXx, se haya descubierto que el señor Xxxxxx (sic) no era el titular de ese dato y que había incurrido en un error de digitación manual en su entrega (…)”. 4.3.

Por lo tanto, al parecer de la sociedad investigada el tratamiento de los datos se realizó de manera legítima cuando el Titular otorgó su autorización conociendo las finalidades del tratamiento. 4.4. Ahora bien, frente al tercer cargo, la sociedad investigada argumentó que tuvieron problemas al momento de buscar al quejoso y encontrar que no existía un vínculo, argumentando que: “(…) Tal como se desprende de la petición del titular, se indagó acerca de la existencia de la autorización para el tratamiento de su información. Como Colsubsidio no ha tenido relación con dicho sujeto, la atención de la petición involucró para la organización buscar en todas sus bases de datos una información que era inexistente, lo cual le significó la utilización de un tiempo atípico dado lo igualmente extraño de la situación. La información por la que indagó el señor Xxxxxx hacía alusión a unos datos personales que, en principio, no habían sido entregados por él sino por otra persona que dijo ser su titular.

Esto representó para Colsubsidio tener que llevar una búsqueda exhaustiva de un dato y autorización dada por un sujeto con quien no ha tenido relación, lo cual generó problemas en sus sistemas de búsqueda. En conclusión, una vez Colsubsidio recibió la petición del señor Xxxxxxx, tuvo la idea inicial de que aquel no era el titular identificable de la información en sus bases de datos, sino alguien diferente, lo que implicó llevar a cabo una verificación exhaustiva de si se habían remitido mensajes a un número de celular de quien no era su titular.

Estas verificaciones hicieron que la respuesta por parte de la Caja tomara más tiempo del habitual, lo cual, de todas maneras, resultaba necesario para poder comprender y explicar lo ocurrido frente su verdadero titular (…)3”. 4.5. Finalmente, la investigada solicita el archivo del expediente.

QUINTO: Que mediante Resolución N°. 78072 del 30 de noviembre del 2021, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: 5.1.

Denuncia junto con anexos presentada por el reclamante XXXX XXXXX XXXXXX XXXXXX, identificado con la cédula de ciudadanía No. X.XXX.XXX.XXX, bajo el número de radicado 2097192 del 16 de abril de 2020. 5.2. Adición de pruebas aportadas por el Titular el día 16 de mayo de 2020, bajo el número radicado 20-97192- -00003-1. 5.3. Adición de pruebas aportadas por el Titular el día 7 de junio de 2020, bajo el número de radicado 20-97192- -00004-1. 5.4.

Requerimiento emitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la Caja Colombiana de Subsidio Familiar, bajo el número 20-97192- -5 del 20 de junio de 2020. 5.5. Requerimiento emitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la COMISIÓN DE REGULACIÓN DE COMUNICACIONES CRC, bajo el número de radicado 20-97192- -5 del 20 de junio de 2020. 5.6.

Requerimiento emitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la Caja Colombiana de Subsidio Familiar, bajo el número 20-97192- -6 del 20 de junio de 2020. 3 Disponible en radicado N°. 20097192—0002400017. Página 10. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” 5.7. Requerimiento emitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la COMISIÓN DE REGULACIÓN DE COMUNICACIONES CRC, bajo el número de radicado 20-97192- -10 del 20 de mayo de 2021. 5.8.

Requerimiento emitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al señor XXXX XXXXX XXXXXX XXXXXX, bajo el número de radicado 20-971927-1 del 20 de junio de 2020. 5.9. Requerimiento emitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al señor XXXX XXXXX XXXXXX XXXXXXX, bajo el número de radicado 2097192-8 del 20 de junio de 2020. 5.10.

Respuesta emitida por la Caja Colombiana de Subsidio Familiar – Colsubsidio, junto con anexos a través de su representante judicial, radicada bajo el número 20-97192- -00009-1, el día 7 de julio de 2020. 5.11. Respuesta, con anexos, emitida por la COMISIÓN DE REGULACIÓN DE COMUNICACIONES CRC radicada bajo el número 20-97192- -00011-1, 20-97192- -12-1 y 20-97192el día 27 de mayo de 2021. 5.12.

Prueba de entrega (Certificado de comunicación electrónica 4 – 72, radicada bajo el número 2097192- -00013-1 el día 27 de mayo de 2021. 5.2. Escrito de descargos radicado bajo el número N°. 20- - -00024-1 del 5 de octubre de 2021. 5.2.1. Poder para actuar. (Sin firma de aceptación). (Radicado 20 97192 consecutivo 24). 5.2.2. Copia del formulario de suministro y autorización para el tratamiento de los datos personales, diligenciado y suscrito por el señor XXXX XXXX XXXXXX XXXXXX, en el que se entregó y autorizó el tratamiento del dato representado en la línea celular XXXXXXXXX.

(Radicado 20 97192 consecutivo 24). 5.2.3. Copia de los modelos de autorización que utiliza la Caja para el tratamiento de los datos personales. (Radicado 20 97192 consecutivo 24). 5.2.4. Copia de la Política de Tratamiento de Datos Personales de Colsubsidio. (Radicado 20 97192 consecutivo 24). 5.2.5. Manual Interno de Políticas y procedimientos para el Tratamiento de Datos Personales de Colsubsidio.

(Radicado 20 97192 consecutivo 24). 5.2.6. Copia de la Circular Externa N° 2016-00002 del 29 de febrero de 2016, proferida por la Superintendencia de Subsidio Familiar. (Radicado 20 97192 consecutivo 24). 5.2.7. Copia del Procedimiento interno para la Radicación de Formularios de Afiliación de Dependientes. (Radicado 20 97192 consecutivo 24). 5.2.8.

Copia del archivo plano de los datos personales suministrados por el señor Xxxxxx, producto de la digitalización del formulario diligenciado por aquel. (Radicado 20 97192 consecutivo 24). 5.2.9. Copia de las imágenes extraídas del proceso de búsqueda en bases de datos de Colsubsidio, que arrojan la inexistencia de los datos del señor XXXX XXXXX XXXXXXXX XXXXXXX.

(Radicado 20 97192 consecutivo 24). 5.2.10. Copia de los estados financieros específicamente, el Balance General y Estado de Pérdidas y Ganancias de los últimos tres (3) años, suscrito por el Representante Legal y el Revisor Fiscal de Colsubsidio. (Radicado 20 97192 consecutivo 24). La mencionada resolución le fue comunicada a la sociedad investigada el 2 de diciembre de 2021, a través de su representante legal y apoderado, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número N°. 20-97192-30 de 15 de diciembre del 2021.

HOJA NnNº,2 “Por la cual se impone una sanción administrativa”

SEXTO: Que mediante comunicación con radicado N°. 20-97192-31 de 17 de diciembre del 2021, la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, reiteró lo dicho en descargos.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de la siguiente norma:  Lliteral b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;  Literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015;  Literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se esta Dirección, así como las razones de hecho y de derecho aducidas por la investigada al momento de presentar los alegatos de conclusión, junto con las pruebas allegadas al expediente. 8.2.

Valoración probatoria y conclusiones 8.2.1. Respecto del deber de solicitar y conservar copia autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales El literal b) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones 4 Cfr. Corte Constitucional; C-748-11, M.P. Jorge Ignacio Pretelt Chaljub, 6 de octubre de 2011. 2.21.3. Constitucionalidad del régimen sancionatorio administrativo aplicado a la protección del dato 2.21.3.2.

HOJA NnNº,2 “Por la cual se impone una sanción administrativa” previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. Este principio es desarrollado por los artículos 9 y 17, literal b) de la norma ut supra; los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de "Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular".

De este modo, es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular. De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).

El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 20115 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. 5 Cfr. Corte Constitucional; C-748-11, M.P. Jorge Ignacio Pretelt Chaljub, 6 de octubre de 2011. 2.6.5.2.3. Principio de libertad. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )” No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Frente a este cargo, este Despacho indicó, mediante la Resolución N°. 57180 del 3 de septiembre del 2021, que: “Frente a la respuesta presentada por la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO en la que reconoció expresamente que utiliza los “números cortos XXX-XX y XXX- XXX” para contactar a sus clientes, esta Dirección encuentra que, de acuerdo a los elementos materiales probatorios presentados por el Titular en su denuncia, específicamente las capturas de pantalla de los mensajes de texto recibidos a la línea celular XXXXXXXXXX desde los remitentes XXX-XX y XXX-XXX en el mes de diciembre de 2019 y en el transcurso de mayo de 2020, con prospección comercial de Droguerías COLSUBSIDIO y Supermercados COLSUBSIDIO, y al no haber acreditado que contaba con la autorización previa, expresa e informada por parte del Titular, no tenía por qué conocer ni impartir Tratamiento, específicamente realizar prospección comercial de Droguerías COLSUBSIDIO y Supermercados COLSUBSIDIO sin la autorización previa, expresa e informada por parte del Titular.” Al respecto, la sociedad investigada indicó que si contaba con la autorización previa, expresa e informada del Titular argumentando, entre otras cosas, que: “(…) El señor Xxxxxx fue quien indicó ser el titular del dato personal representado en el número de celular XXXXXXXXX, lo suministró y previamente consintió su tratamiento (…) Como puede observarse, Xxxx Xxxxx Xxxxxx Xxxx fue quien, con su puño y letra, diligenció y autorizó el tratamiento de los datos personales, y quien además indicó ser el titular del número de celular antes señalado.

Este formulario fue diligenciado por el mismo titular, lo cual se desprende de la equivalencia de la letra utilizada y la firma plasmada. Este formulario fue radicado ante Colsubsidio bajo el número XXXXXXXXXXXXXX, según se observa en la imagen de arriba A través del formulario, el titular, el señor Xxxx Xxxxx xxxxxx, autorizó el tratamiento de la información diligenciada, entre la que se encontraba el número de celular referenciado, así: HOJA NnNº,2 “Por la cual se impone una sanción administrativa” Si la información suministrada a Colsubsidio por parte del señor Xxxxxx finalmente no resultó ser de él o fue inexacta desde su entrega, lo cual se desprende por los hechos traídos a colación en la denuncia del señor xxxx XXXXX xxxxxxx y la confusa digitación por parte del titular, ambas situaciones no son responsabilidad de Colsubsidio, quien confió en la buena fe del señor Xxxxxx y creyó de manera legítima que dicho número de celular era de él y que la digitación allí consignada correspondía con el número de celular xxxxxxxxxx.

Conforme las evidencias expuestas frente a la relación con el señor Xxxx xxxxx xxxxxx quien, reiteramos, indicó ser el titular del dato personal representado en el número de celular xxxxxxxxXX, Colsubsidio contó con autorización previa, expresa e informada para su tratamiento, así luego, con base en las incidencias formuladas por el señor Xxxx Xxxxx Xxxxxxxx XXXXXXX, se haya descubierto que el señor xXXXXX no era el titular de ese dato y que había incurrido en un error de digitación manual en su entrega” El presente caso tuvo su génesis en la queja interpuesta por el reclamante ante esta Superintendencia bajo el radicado N°. 20-97192-0 de 16 de abril de 2020 contra la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO., quien mediante un derecho de petición fechado del 21 de octubre de 2019 indicó que desde los números cortos XXX-XX y XXX-XXX le han enviado a su teléfono móvil XXXXXXXXXX una serie de mensajes de texto sin autorización para ello.

El Titular, además, agrega que reiteró dicha situación ante la investigada el 18 y 23 de diciembre de 2019 y el 9 de marzo del 2020. Situación que fue puesta en conocimiento nuevamente ante esta Superintendencia el 16 de mayo del 2020 mediante radicado N°. 20-97192-3 de 16 de mayo de 2020 y N°. 20-97192-4 de 7 de junio de 2020. Para el efecto, se adjunta copia de uno de los mensajes de texto incorporados por el Titular dentro de su denuncia, así: Fuente: bajo radicado N°. 20097192—0000300002.

Página 1 Por lo anterior, esta Dirección requirió a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO mediante radicado N°. 20-97192-6 el 20 de junio de 2020, para que esta informara, entre otras cosas, si “(…) 3. En los términos del artículo 9 de la Ley 1581 de 2012, […] cuentan con la autorización previa e informada del Titular XXXX XXXX XXXXXX XXXXXX para la recolección y tratamiento de sus datos personales.

En caso de ser afirmativa su respuesta, sírvanse remitir copia del formulario y/o formato mediante el cual se realizó este procedimiento y se informó al Titular la finalidad del tratamiento y los derechos que le asisten en virtud de la autorización otorgada. (…)”. En respuesta al requerimiento anterior, la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO mediante radicado N°. 20-97192-9 de 7 de julio de 2020 manifestó que la autorización del Titular no existe debido a que por un error en el proceso de transcripción de datos de un tercero, se tomó el número de teléfono del Titular denunciante como el teléfono de contacto del referido tercero. Frente a lo anterior, la investigada, en etapa de descargos, manifestó que: “(…) HOJA NnNº,2 “Por la cual se impone una sanción administrativa” El señor Xxxxxx fue quien indicó ser el titular del dato personal representado en el número de celular XXXXXXXXXX, lo suministró y previamente consintió su tratamiento (…) Como puede observarse, Xxxx Xxxxx Xxxxxx xxxx fue quien, con su puño y letra, diligenció y autorizó el tratamiento de los datos personales, y quien además indicó ser el titular del número de celular antes señalado.

Este formulario fue diligenciado por el mismo titular, lo cual se desprende de la equivalencia de la letra utilizada y la firma plasmada. Este formulario fue radicado ante Colsubsidio bajo el número XXXXXXXXXXXXX, según se observa en la imagen de arriba A través del formulario, el titular, el señor Xxxx Xxxxx XXXXXx, autorizó el tratamiento de la información diligenciada, entre la que se encontraba el número de celular referenciado, así: Si la información suministrada a Colsubsidio por parte del señor Xxxxxx finalmente no resultó ser de él o fue inexacta desde su entrega, lo cual se desprende por los hechos traídos a colación en la denuncia del señor Xxxx Xxxxx XXXXXXX y la confusa digitación por parte del titular, ambas situaciones no son responsabilidad de Colsubsidio, quien confió en la buena fe del señor Xxxxxx y creyó de manera legítima que dicho número de celular era de él y que la digitación allí consignada correspondía con el número de celular XXXXXXXXXX.

Conforme las evidencias expuestas frente a la relación con el señor Xxxx Xxxxx XXXXXX quien, reiteramos, indicó ser el titular del dato personal representado en el número de celular XXXXXXXXXX, Colsubsidio contó con autorización previa, expresa e informada para su tratamiento, así luego, con base en las incidencias formuladas por el señor Xxxx Xxxxx Xxxxxxxx Quiroga, se haya descubierto que el señor Xxxxxx no era el titular de ese dato y que había incurrido en un error de digitación manual en su entrega” A partir de lo anterior, se tiene que la investigada trató el número de celular del quejoso sin contar con autorización para ello, ya que la autorización obtenida pertenece a un tercero, mas no al quejoso.

Así las cosas, en la medida en que la autorización fue suministrada por un tercero y no por el quejoso, es claro que la sociedad investigada no tenía autorización para tratar los datos personales de éste. En virtud de lo expuesto, este Despacho evidenció el actuar negligente de la sociedad investigada, y quedó demostrado plenamente el incumplimiento del deber solicitar y conservar copia de la autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales, por tanto, se impondrá la sanción correspondiente por violar lo contenido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. 8.2.2.

Respecto del deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada El literal c) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 20116, así: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”7.

Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 20118, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados 6 Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb.2.17.3. Constitucionalidad de los artículos 17 y 18. 7 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb 8 Ibídem HOJA NnNº,2 “Por la cual se impone una sanción administrativa” previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)” En otras palabras, la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…)

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) (ii) (iii) (iv) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

Los derechos que tiene el titular de la información. La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” En virtud de lo anterior, se establece que 17 preliminarmente la investigada infringió lo establecido en c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

“(…) Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

(…) “Artículo 4. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) Frente a este cargo, este Despacho indicó, mediante la Resolución N°. 57180 del 3 de septiembre del 2021, que: “Dentro de la información y elementos materiales probatorios remitidos por la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO en su respuesta del 7 de julio de 2020, esta indicó que “la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales no existe […] Como resultado del error de digitación expuesto en el punto uno de esta comunicación, se han enviado mensajes de texto al número de telefonía celular xxxxxxxxxx;

No obstante, esta situación fue subsanada y actualmente el numero de contacto no se encuentra en la base de datos de la Caja.[…]18”. De igual manera, considerando las pruebas remitidas por el Titular XXXX XXXXX XXXXXX XXXXXXX en su escrito de denuncia y en los complementos de información enviados con posterioridad, se observa de forma preliminar que éste recibió en su línea celular xxxxxxxxxx prospección comercial de Droguerías COLSUBSIDIO a lo largo del mes de mayo de 2020, desde el remitente xxx-XXX y además prospección comercial de Supermercados COLSUBSIDIO el 30 de mayo de 2020, desde el remitente XXX-xx, números cortos frente a los cuales la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO reconoció expresamente que utiliza para contactar a sus clientes” HOJA NnNº,2 “Por la cual se impone una sanción administrativa” Frente a este cargo, la investigada se pronunció en el mismo sentido y del cargo anterior y agregó que el tratamiento de los datos se realizó de manera legítima cuando el Titular otorgó su autorización conociendo las finalidades del tratamiento.

El presente caso tuvo su génesis en la queja interpuesta por el reclamante ante esta Superintendencia bajo el radicado N°. 20-97192-0 de 16 de abril de 2020 contra la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO., quien mediante un derecho de petición fechado del 21 de octubre de 2019 indicó que desde los números cortos XXX-XX y XXX-XXX le han enviado a su teléfono móvil XXXXXXXXXX una serie de mensajes de texto sin autorización para ello.

El Titular, además, agrega que reiteró dicha situación ante la investigada el 18 y 23 de diciembre de 2019 y el 9 de marzo del 2020. Situación que fue puesta en conocimiento nuevamente ante esta Superintendencia el 16 de mayo del 2020 mediante radicado N°. 20-97192-3 de 16 de mayo de 2020 y N°. 20-97192-4 de 7 de junio de 2020. Para el efecto, se adjuntan copia de uno de los mensajes de texto incorporados por el Titular dentro de su denuncia, así: Fuente: bajo radicado N°. 20097192—0000300002.

Página 1 Por lo anterior, esta Dirección requirió a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO mediante radicado N°. 20-97192-6 el 20 de junio de 2020, para que esta informara, entre otras cosas, si “(…) 3. En los términos del artículo 9 de la Ley 1581 de 2012, […] cuentan con la autorización previa e informada del Titular XXXX XXXXX XXXXXX XXXXXX para la recolección y tratamiento de sus datos personales.

En caso de ser afirmativa su respuesta, sírvanse remitir copia del formulario y/o formato mediante el cual se realizó este procedimiento y se informó al Titular la finalidad del tratamiento y los derechos que le asisten en virtud de la autorización otorgada. (…)”. En respuesta al requerimiento anterior, la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO mediante radicado N°. 20-97192-9 de 7 de julio de 2020 manifestó que la autorización del Titular no existe debido a que por un error en el proceso de transcripción de datos de un tercero, se tomó el número de teléfono del Titular denunciante como el teléfono de contacto del referido tercero. Frente a lo anterior, la investigada, en etapa de descargos, manifestó que: “(…) El señor Xxxxxx fue quien indicó ser el titular del dato personal representado en el número de celular XXXXXXXXXX, lo suministró y previamente consintió su tratamiento (…) Como puede observarse, Xxxx XXXXX xxxxxx XXXX fue quien, con su puño y letra, diligenció y autorizó el tratamiento de los datos personales, y quien además indicó ser el titular del número de celular antes señalado.

Este formulario fue diligenciado por el mismo titular, lo cual se desprende de la equivalencia de la letra utilizada y la firma plasmada. Este formulario fue radicado ante Colsubsidio bajo el número XXXXXXXXXXXXX, según se observa en la imagen de arriba A través del formulario, el titular, el señor XXXX XXXXX XXXXXX, autorizó el tratamiento de la información diligenciada, entre la que se encontraba el número de celular referenciado, así: HOJA NnNº,2 “Por la cual se impone una sanción administrativa” Si la información suministrada a Colsubsidio por parte del señor Xxxxxx finalmente no resultó ser de él o fue inexacta desde su entrega, lo cual se desprende por los hechos traídos a colación en la denuncia del señor Xxxx XXXXX XXXXXXX y la confusa digitación por parte del titular, ambas situaciones no son responsabilidad de Colsubsidio, quien confió en la buena fe del señor Xxxxxx y creyó de manera legítima que dicho número de celular era de él y que la digitación allí consignada correspondía con el número de celular XXXXXXXXX.

Conforme las evidencias expuestas frente a la relación con el señor Xxxx XXXXX Xxxxxx quien, reiteramos, indicó ser el titular del dato personal representado en el número de celular XXXXXXXXXX, Colsubsidio contó con autorización previa, expresa e informada para su tratamiento, así luego, con base en las incidencias formuladas por el señor Xxxx xxxxxx xxx XXxxxxxx, se haya descubierto que el señor Xxxxxx no era el titular de ese dato y que había incurrido en un error de digitación manual en su entrega” En conclusión, tal y como se evidenció en el cargo anterior, al no contar con la autorización del Titular, se tiene que la investigada no le informo las finalidades del tratamiento al quejoso.

En virtud de lo expuesto, este Despacho evidenció el actuar negligente de la sociedad investigada, y quedó demostrado plenamente el incumplimiento del deber de informar al Titular de manera previa, clara y expresa sobre las finalidades del Tratamiento al que serían sometidos sus datos personales, por tanto, se impondrá la sanción correspondiente por violar lo contenido en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015. 8.2.3.

Respecto del deber de tramitar las consultas y reclamos formulados por los Titulares. El literal j) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley.

El artículo 14 de Ley 1581 de 2012, establece el término máximo con el que cuentan los Responsables y Encargados del tratamiento para atender las consultas que ante éstos se presentan y la forma como deben hacerlo. Tal precepto señala que los titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado.

El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular. Para el efecto, la consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma.

Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que HOJA NnNº,2 “Por la cual se impone una sanción administrativa” se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término ”9.

Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la sentencia C-748 de 2011 10 cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargado del tratamiento, señalando lo siguiente: “Este artículo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimiento hechos son los mismo que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular el dato ejercer las facultades que se derivan del habeas data”.

Al respecto es importante precisar que los mecanismos de consulta y reclamos frente a los Responsables y Encargados de tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda de derecho de hábeas data.

Por tanto, es deber de los Responsables y Encargados del tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las preguntas y solicitudes de los titulares, sin dilaciones ni atrasos y especialmente, de manera completa y de fondo.

Este Despacho por medio de la Resolución N°. 57180 de 03 de septiembre de 2021 en cuanto al cargo tercero, se expresó que: “(…) En el presente caso, esta Dirección le requirió a la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO para que confirmara si el Titular XXXX XXXXX XXXXXX XXXXXX presentó petición, consulta o reclamo relacionado con los hechos objeto de la denuncia y que, en caso afirmativo, informara el trámite surtido y remitiera copia de la respuesta suministrada al Titular, sobre el particular la entidad manifestó “Al respecto nos permitimos indicar que el titular presentó una reclamación el 21 de octubre de 2019, la cual fue atendida enviándole la respuesta al peticionario al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxx” Considerando la información y los elementos materiales probatorios remitidos por la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO y las pruebas presentadas por el Titular XXXX XXXXX XXXXXX XXXXXXX en su escrito de denuncia y en los complementos de información enviados con posterioridad, se observa que éste presentó Derecho de Petición ante la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO el 21 de octubre de 2019, en el que consultó acerca de la información que reposaba en las bases de datos de la entidad, asimismo se percibió que la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO acusó recibido de la referida petición el 24 de octubre de 2019, informando que el trámite se adelantaría bajo el radicado No. ‘XXXXXXX’ y manifestando que “La respuesta será enviada a la dirección o email de contacto suministrada por usted, de 10 a 15 días hábiles”., inclusive se evidenció que el Titular se comunicó con la investigada a través de correo electrónico del 21 de diciembre de 2019 consultando acerca del estado de su petición, ya que a la fecha habían transcurrido dos (2) meses desde la presentación de la misma sin haber obtenido la respuesta correspondiente. 9 Artículo 14.

Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta 10 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. 2.16.4. El reclamo: otro mecanismo para hacer efectivos, entre otros, la rectificación, actualización, corrección, oposición y supresión. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” No obstante, hasta el 9 de marzo de 202019 la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO dio respuesta al Derecho de Petición presentado el 21 de octubre de 2019 por el Titular XXXX XXXXX XXXXXX XXXXXXX Conforme lo anterior, no se evidenció que la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO haya acreditado la respuesta correspondiente a la consulta presentada por el Titular, en la cual éste solicitó a aquella como Responsable del Tratamiento que se le informara “La relación de la información que a nombre de XXXX XXXXX xxxxxx xxxxxxx reposa en las bases de datos automatizadas y manuales, así como en los archivos físicos y digitales de COLSUBSIDIO.;

Remitir copia del mecanismo a través del cual COLSUBSIDIO recolectó los datos personales de Xxxxx XXxxx Xxxxxxxxx xxxxxxx; Copia de la autorización de tratamiento de la información otorgada por xxxx xxxxx xxxxxxx xxxxxxx y conforme a la ley 1581 de 2012 en la cual se detalle que autoricé el envío de promociones y ofertas a mi número personal.”, en el término establecido en la Ley (….)” Al respecto, frente al escrito de descargos la sociedad investigada argumentó: “(…) En conclusión, una vez Colsubsidio recibió la petición del señor Xxxxxxx, tuvo la idea inicial de que aquel no era el titular identificable de la información en sus bases de datos, sino alguien diferente, lo que implicó llevar a cabo una verificación exhaustiva de si se habían remitido mensajes a un número de celular de quien no era su titular.

Estas verificaciones hicieron que la respuesta por parte de la Caja tomara más tiempo del habitual, lo cual, de todas maneras, resultaba necesario para poder comprender y explicar lo ocurrido frente su verdadero titular (…)11”. Sumado a esto, la sociedad investigada sostuvo que no amerita una sanción un hecho superado, basta con una amonestación: “(…) Estos hechos dan muestra de que Colsubsidio finalmente solucionó la problemática descrita frente a los datos del reclamante, así lo que de fondo hubiese existido haya sido el suministro de información inexacta y confusa por parte de un tercero ajeno a la investigación. Por ello, consideramos que existe un hecho superado que incluso fue remediado mucho antes de que iniciara la presente investigación. Al concurrir un hecho superado frente a los reclamos del señor xxxxx, respetuosamente manifestamos que, en el presente caso, no concurren elementos de proporcionalidad que ameriten la imposición de una multa en contra de Colsubsidio, sino, a lo sumo, una amonestación por lo ocurrido (…)”12.

El presente caso tuvo su génesis en la queja interpuesta por el reclamante ante esta Superintendencia bajo el radicado N°. 20-97192-0 de 16 de abril de 2020 contra la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO., quien mediante un derecho de petición fechado del 21 de octubre de 2019 indicó que desde los números cortos XXX-XX y XXX-XXX le han enviado a su teléfono móvil XXXXXXXXXX una serie de mensajes de texto sin autorización para ello.

El Titular, además, agrega que reiteró dicha situación ante la investigada. Situación que fue reiterada nuevamente ante esta Superintendencia el 16 de mayo del 2020 mediante radicado N°. 20-97192-3 de 16 de mayo de 2020 y N°. 20-97192-4 de 7 de junio de 2020. Para el efecto, se adjuntan copia de uno de los mensajes de texto incorporados por el Titular dentro de su denuncia, así: Fuente: bajo radicado N°. 20097192—0000300002.

Página 1 De la misma manera, esta Dirección requirió a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO mediante radicado N°. 20-97192-6 el 20 de junio de 2020 para que: 11 Disponible en radicado N°. 20097192—0002400017. Página 10. 12 Disponible en radicado N°. 20097192—0002400017. Página 11. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” “(…) 4.

Informen si el Titular XXXX XXXX XXXXXX XXXXXX ha presentado petición o reclamo relacionado con los hechos objeto de denuncia. De ser así, informen el trámite interno que surtió la petición y alleguen a este Despacho la respuesta suministrada con el respectivo soporte de envío (…)”. En respuesta la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO mediante radicado N°. 20-97192-9 de 7 de julio de 2020 manifestó: “(…) 4Al respecto nos permitimos indicar que el titular presentó una reclamación el 21 de octubre de 2019, la cual fue atendida enviándole la respuesta al peticionario al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx.

(…) En este punto, vale la pena recordar, recordar lo señalado por la jurisprudencia de la Corte Constitucional acerca de la protección fundamental del derecho de petición. Así, por ejemplo, en la sentencia T-149 del 2013, el Alto Tribunal precisó que el derecho de petición solo se garantiza y satisface en la medida en que “(…) la entidad [notifique] la respuesta al interesado (…)”.

Sobre este punto, precisó la Corte: “(…) debe precisarse en primer lugar, que esta debe ser efectiva, es decir, real y verdadera, y que cumpla el propósito de que la respuesta de la entidad sea conocida a plenitud por el solicitante. (…)”. De igual manera, en la sentencia T-490 del 2018 la Corte recordó las siguientes reglas: “(…) 1. El derecho de petición está previsto en el artículo 23 de la Constitución Política y fue regulado por la Ley estatutaria 1755 de 2015.

A la luz de esta normativa, toda persona tiene derecho a “presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución”. En la sentencia C-951 de 2014, la Corte determinó que “el núcleo esencial del derecho de petición se circunscribe a” (i) la formulación de la petición, (ii) la pronta resolución, (iii) la respuesta de fondo y (iv) la notificación de la decisión. 42.

Primero, la formulación de la petición implica el derecho que tienen las personas de presentar “solicitudes respetuosas, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas”. Segundo, la pronta resolución implica el derecho de las personas a que las autoridades y los particulares respondan las solicitudes en el menor plazo posible, sin que se exceda el tiempo legal previsto para el efecto, esto es, por regla general, “dentro de los quince (15) días siguientes a su recepción”. 43.

Tercero, la respuesta de fondo no implica “otorgar lo pedido por el interesado”, sino el derecho que tienen las personas a que las autoridades y los particulares respondan sus peticiones de manera clara, precisa, congruente y consecuente. La claridad supone que la respuesta sea inteligible y de fácil comprensión. La precisión exige que la respuesta atienda, de manera concreta, lo solicitado, sin información impertinente “y sin incurrir en fórmulas evasivas o elusivas” La congruencia implica que la respuesta “abarque la materia objeto de la petición y sea conforme con lo solicitado”.

La consecuencia de la respuesta conlleva que “no basta con ofrecer una respuesta como si se tratara de una petición aislada o ex novo, sino que, si resulta relevante, debe darse cuenta del trámite que se ha surtido y de las razones por las cuales la petición resulta o no procedente. 44. Cuarto, la notificación de la decisión garantiza el derecho de la persona a conocer la respuesta a su solicitud, así como a impugnarla y controvertirla.

(…)”. (Subrayado fuera del texto original). En el caso en concreto, se encuentra lo siguiente: 1. El denunciante radicó 2 (dos) quejas ante la investigada fechadas y posteriormente elevó queja ante la Superintendencia de Industria y Comercio, así Número de queja Fechada Fecha estimada de respuesta Observación 1ra queja a la sociedad investigada 21 de octubre de 2019 1 de noviembre de 2019 No se contestó en los términos de ley HOJA NnNº,2 “Por la cual se impone una sanción administrativa” Reiteración del derecho de petición 18 de diciembre de 2019 2 de enero de 2020 No se contestó en los términos de ley 2da queja a la sociedad investigada 21 de diciembre de 2019 8 de enero de 2020 No se contestó en los términos de ley - 23 de diciembre de 2019 Respuesta definitiva de por parte de la sociedad investigada - 9 de marzo de 2020 Queja interpuesta a la Superintendencia de Industria y Comercio por parte del quejoso. 16 de abril de 2020 - Respuesta parcial por parte de la sociedad investigada Ahora bien, se evidencia que la investigada no dio respuesta de fondo y en términos legales de acuerdo con lo señalado en la Ley 1581 de 2012.

Por otro lado, para este Despacho no es de recibo el argumento del hecho superado ya que al exceder el tiempo de respuesta del derecho de petición viola el ordenamiento jurídico colombiano respecto a esta materia. En virtud de lo expuesto, este Despacho evidenció el actuar negligente de la sociedad investigada, y quedó demostrado plenamente el incumplimiento del al deber de tramitar las consultas y reclamos formulados por los Titulares en los términos señalados en la norma, por tanto, se impondrá la sanción correspondiente por violar lo contenido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

NOVENO: En virtud de todo lo anterior, EXHORTAMOS a la representante legal de CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)” 13. 2.

Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3. Respetar y garantizar los derechos de los titulares de los datos. 4. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 5. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6.

Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas. 13 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada HOJA NnNº,2 “Por la cual se impone una sanción administrativa”

DÉCIMO: Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000 14, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “(…Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 15.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Cfr. Corte Constitucional; C-478, M.P. Dr. Vladimiro Naranjo Mesa, 16 de mayo de 2000. 2.3. Recuento de la jurisprudencia constitucional en materia de planeación económica. 15 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”17 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”16.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia17. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y 16 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. 17 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1.

Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”18 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO actuó negligentemente al incumplir con el deber consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, y el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, frente al primero cargo relacionado con el deber de solicitar y conservar copia de la autorización previa, expresa e informada del Titular esta Dirección impondrá, dentro del margen que le otorga la Ley 1581 de 2012, una multa, correspondiente a QUINCE MILLONES ONCE MIL QUINIENTOS OCHENTA PESOS M/CTE ($15.011.580) equivalentes a TRESCIENTOS NOVENTA Y CINCO (395) UNIDADES DE VALOR TRIBUTARIO VIGENTES, por la violación del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

En efecto, frente al segundo cargo relacionado con el deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada esta Dirección impondrá, dentro del margen que le otorga la Ley 1581 de 2012, una multa, correspondiente a QUINCE MILLONES ONCE MIL QUINIENTOS OCHENTA PESOS M/CTE 18 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. HOJA NnNº,2 “Por la cual se impone una sanción administrativa” ($15.011.580) equivalentes a TRESCIENTOS NOVENTA Y CINCO (395) UNIDADES DE VALOR TRIBUTARIO VIGENTES por la violación del Literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015.

Así las cosas, frente al tercero cargo relacionado con el deber de tramitar las consultas y reclamos formulados por los Titulares en los términos señalados en la norma esta Dirección impondrá, dentro del margen que le otorga la Ley 1581 de 2012, una multa, correspondiente a QUINCE MILLONES ONCE MIL QUINIENTOS OCHENTA PESOS M/CTE ($15.011.580) equivalentes a TRESCIENTOS NOVENTA Y CINCO (395) UNIDADES DE VALOR TRIBUTARIO VIGENTES por la violación del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015. 10.1.2.

Otros criterios de graduación Por un lado, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. 10.1.3. El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo citado no será aplicado toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO PRIMERO: CONCLUSIÓN A manera de conclusión, es evidente que la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO vulneró el derecho fundamental, de acuerdo con las siguientes situaciones: 1. Incumplió el deber de solicitar y conservar copia, en las condiciones previstas en la presente ley, de la respectiva autorización otorgada por el Titular de la información. 2.

Vulneró deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada. 3. Frente al cargo tercero, se evidencia que LA INVESTIGADA no dio respuesta a la petición de la Titular dentro del término de la Ley 1581 de 2012, conforme a la tabla señalada, ni de fondo frente a la reiteración de petición del Titular.

DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos fundamentales de la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su apoderado vinculado al correo electrónico jose.miguel.delacalle@garrigues.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho, HOJA NnNº,2 “Por la cual se impone una sanción administrativa”

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, CUARENTA Y CINCO MILLONES TREINTA Y CUATRO MIL SETECIENTOS CUARENTA PESOS M/CTE ($45.034.740) equivalentes a MIL CIENTO OCHENTA Y CINCO (1185) UNIDADES DE VALOR TRIBUTARIO VIGENTES, por el incumplimiento a lo dispuesto en: (i) Lliteral b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) Literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015; (iii) Literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la entidad a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: COMUNICAR al señor Xxxx XXXXX xxxxxxx xxxxxxx, identificado con la cédula de ciudadanía N°. x.xxx.xxx.xxx el contenido de la presente decisión.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 22 AGOSTO 2022 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUNOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUNOZ Fecha: 2022.08.22 11:45:37 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: BFPL Revisó: SRB Aprobó: CESM HOJA NnNº,2 “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico 1: Correo electrónico 2: Ciudad: CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO NIT. 860.007.336-1 XXXX xxxxxx Xxxxxx Xxxxx C.C. N°. x.xxx.xxx Xxxxx xx Xx. xx - xx xxxx x servicioalcliente@colsubsidio.com ccfcolsubsidio@ssf.gov.co XXXXXX X.X. Apoderado: Identificación: Dirección: Ciudad: Correo Electrónico: Xxxx Xxxxxx Xx Xx Xxxxx XXXXXXXX C.C. N°.

XX.XXX.XXX Xx. xxxxx xx xx. xx-xx Xxxxxx, x.x. jose.miguel.delacalle@garrigues.com COMUNICACIÓN: Señor: Identificación: Correo electrónico: Xxxx XXXXX xxxxxx XXXXXX C.C. N°. X.XXX.XXX.XXX xxxxxxxxxxxxxxxxxxxxxxxxxx