Resolución sancionatoria N° 56790 de 2021

(02 SEPTIEMBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Radicación 18-267612 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX (en adelante, “la Titular”), identificada con cédula de ciudadanía No. xx.xxx.xxxx, presentó reclamación bajo radicado 182676121-00000 del 16 de octubre de 2018 en contra de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, y la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, en la cual narra los siguientes hechos: 1.1 Manifiesta que: “[e]l año pasado, cuando trabajaba en la compañía Norton Rose Fulbright Colombia SAS, aquiri (sic) un curso de Excel a través de la Escuela Colombiana de competitividad ESIC, identificados con NIT: 9004772847; inmediatamente perdí mi trabajo, me comuniqué con ellos telefónicamente explicando mi situación actual de desempleo y solicitando un plazo de 2 meses para hacer el pago de esta obligación…. estuve 8 meses desempleada la escuela no se volvió a comunicar conmigo ni yo con ellos”. 1.2 Asevera lo siguiente: “[h]ace tres semanas sorpresivamente recibi (sic) una llamada de Acevedo y Abogados (…) en esa llamada me hablo el Sr. xxxxx (sic) xxxxxxx Representante Legal de la firma, le manifiesto mi intención de pagar el curso teniendo en cuenta que firme el pagaré y que previamente había solicitado a la escuela ESIC, la devolución del mismo por mi condición de desempleada y porque a varias personas nos vendieron el curso a diferentes precios.

(eso lo manifeste (sic) en el momento que me comunique (sic) con la escuela ESIC) Me parecio (sic) injusto que nos cobraran diferentes valores por el mismo curso”. 1.3 Así las cosas, expresa lo siguiente: “(…) con migo (sic) no se han vuelto a comunicar llaman a mi jefe actual y a mi anterior empleador. Por tal motivo el dia (sic) de hoy pongo esta denuncia en contra de la Escuela ESIC y de Acevedo y Abogados Asociados ya que están dañando mi buen nombre y están revelando información que es confidencial y que no he autorizado a revelar, (…)”.

SEGUNDO: Que en desarrollo de la etapa preliminar adelantada por el Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Protección de Datos Personales, se solicitaron y recaudaron los siguientes documentos y elementos de prueba: 2.1 Oficio con radicado 18-267612-00005 5 del 18 de marzo de 2019, mediante el cual se solicitó a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. que informara lo siguiente: “1.

Manifieste cuál fue el mecanismo implementado por ustedes para la recolección de los datos personales de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. 2. Manifieste qué datos personales de la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx reposan en sus bases de datos. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” 3.

En los términos del artículo 9 de la Ley 1581 de 2012 ¿cuenta con la autorización expresa, previa e informada de la señora xxxxxxxxxxxxxxxxxxxxxxxxxx para la recolección y tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al Titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 4.

¿Cuáles son las Políticas de Tratamiento de Datos Personales desarrolladas e implementadas por ustedes? Sírvase remitir copia de las mismas. 5. ¿Cuáles son los procedimientos usados por ustedes para la recolección, almacenamiento, uso, circulación y supresión de la información, las finalidades para las cuales la información es recolectada y la necesidad de recolectar los datos en cada caso? Sírvase remitir copia del manual en que dichos procedimientos estén descritos. 6.

¿Cuáles son las medidas y procedimientos de seguridad usados por ustedes para impedir la adulteración, perdida, consulta uso o acceso no autorizado o fraudulento de los datos personales que reposan en sus bases de datos y/o archivos? Sírvase remitir copia del manual en el que dichos procedimientos estén descritos. 7. Remita copia del manual desarrollado e implementado por ustedes para la atención de consultas y reclamos. 8.

Informe si actúa en calidad de Encargado del Tratamiento. En caso positivo, sírvase acreditar el contrato de transmisión de datos personales y, en todo caso, informar los datos de identificación y contacto del Responsable del Tratamiento”. 2.2 Comunicación con radicado 18-267612-00006 del 29 de marzo de 2019 mediante el cual la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. informó lo siguiente: “1.

ACEVEDO & ABOGADOS ASOCIADOS S.A.S., mediante un contrato de colaboración realiza el cobro de cartera para las compañías ESIC S.A.S., y/o EDITORIAL BEBE GENIAL S.A.S., gestión de cobranza judicial y extrajudicial que se efectúa bajo el requisito sine quanom de autorización del tratamiento de datos tal y como lo dispone la constitución política en su art 15 y la ley 1266 de 2008 por parte del cliente.

En este caso; la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx autorizó el tratamiento de datos e información mediante el documento PAGARÉ, que se aporta al presente escrito, y nosotros como agente de cobranza, realizamos la labor de la misma bajo los supuestos facticos que se establecen, en este evento, nos faculta un acto contractual en el cual se cede la labor de cobranza y nos permite mediante los documentos suscritos ejercer la misma. 2.

Los datos personales que reposan para el tratamiento de la información son los que la misma titular autorizó en el pagaré y los que por vía telefónica suministro. 3. La autorización expresa de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx proviene de la suscripción del título valor PAGARÉ, donde ella manifiesta de manera libre y voluntaria el tratamiento de sus datos personales, aunado a esto en el numeral segundo de la autorización expresamente hace relación ‘autorizo a ESIC S.A.S. para que obtenga de cualquier fuente las informaciones y referencias relativas a mi persona, a mi comportamiento y crédito comercial, hábitos de pago, manejos de mis cuentas corrientes, y en general cumplimiento de mis obligaciones’.

De esta manera se indago de forma respetuosa en los números y correos electrónicos de suministrados por la titular a efectos de conocer su lugar de trabajo o sus nuevos teléfonos, información que la titular a plena satisfacción permite realizar en aras de satisfacer las obligaciones contractuales que se derivan de la suscripción del título valor pagaré. Así mismo, el inciso segundo del artículo 9 de la ley 1581 de 2012 establece: “Artículo 9.

(…) Por esta razón, y a sabiendas de la obligación de carácter comercial que se deriva del título valor pagaré, establece que se puede seguir con el tratamiento de la información hasta el cumplimiento de la obligación legal que en este mismo se incorpora. De la misma forma se anexa el formato de tratamiento de información que se utiliza por parte de la compañía para el procedimiento”.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, el 28 de agosto de 2020 se inició la HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” presente investigación administrativa mediante la expedición de la Resolución No. 52105 por medio de la cual se formuló: (i) TRES (3) cargos a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, por la presunta contravención de lo dispuesto en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 de la misma Ley y; (iii) el literal h) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma Ley, el artículo 9 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

(ii) DOS (2) cargos a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, por la presunta contravención de lo dispuesto en: (i) el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley y; (ii) el literal f) del artículo 18 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la precitada Ley.

La mencionada resolución le fue notificada a las investigadas para que se pronunciaran sobre los hechos materia de investigación y aportaran y/o solicitaran las pruebas que pretendieran hacer valer dentro del referido trámite, con el fin de que ejercieran a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada a la denunciante.

CUARTO: Que las sociedades ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. y ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN no presentaron descargos ni aportaron o solicitaron las pruebas que pretenden hacer valer dentro de esta actuación administrativa, en los términos de la Resolución No. 52105 de 2020.

QUINTO: Que mediante la Resolución No. 75416 de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente 18-267612, del radicado 18-267612-00000 al 18-26761200020, con el valor probatorio que les corresponda, y corrió traslado para alegatos de conclusión a las sociedades investigadas.

SEXTO: Que a través de la comunicación con radicado 18-267612-000261 del 11 de diciembre de 2020 la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, por conducto de su liquidadora, anexa: 6.1 El documento con referencia “REF. INOBSERVANCIA DE LA RADICACIÓN N°18-267612”, suscrito por el representante legal de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. y la liquidadora de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, en el que expresan que este Despacho no tuvo en cuenta el escrito de descargos y las pruebas aportadas que radicaron mediante correo electrónico el 2 de octubre de 2020, en los siguientes términos: “De conformidad con la documentación remitida mediante correo electrónico el día 2 de octubre de 2020, y allegada a el (sic) despacho, la sociedad ACEVEDO & ABOGADOS ASOCIADOS SAS con Nit N° 901.177.568-1 representada por xxxxxxxxxxxxxxxxxxxxxxx xxxxxx identificado con cédula de ciudadanía N° x.xxx.xxx.xxxxx y ESCUELA INTERNACIONAL DE COMPETITIVIDAD identificada con NIT 900.477.284-7 representada por xxxxxxxxxxxxxxxxxxxxxxxxxx identificada con cédula de ciudadanía N° xx.xxx.xxxx, dentro de la oportunidad procesal oportuna se radicó escrito a las objeciones señaladas dentro del lívelo (sic) de la presente acción incoada, por tanto, es menester argumentar al despacho que esta misma se impetró dentro de la oportunidad procesal referida en la resolución objeto de esta inobservancia (…). 1 Reiterada con los mismos anexos mediante las comunicaciones con radicados: (i) 18-267612-00027 del 11 de diciembre de 2020 remitida por el representante legal de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., (ii) 18-267612-00028 del 11 de diciembre de 2020 enviada por el representante legal de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., (iii) 18-267612-00029 presentada por la liquidadora de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, (iv) 18-267612-00030 del 11 de diciembre de 2020 remitida por el representante legal de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. y;

(v) 18267612-00031 del 11 de diciembre de 2020 enviada por el representante legal de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Así las cosas, en razón a lo anteriormente descrito manifestamos que dentro de la oportunidad procesal se remitieron vía correo electrónico las descritas comunicaciones y alegaciones frente a lo referido mediante el auto, por tanto, es menester manifestar al despacho que las alegaciones fueron aportadas dentro del término otorgado por la autoridad administrativa mediante correo electrónico, por lo tanto, se evidencia el aporte de la contestación en tiempo y oportunidad de conformidad con lo señalado en la resolución identificada con radicado N° 18-267612.

Por lo anterior, es menester informar al despacho que las respuestas a los literales se dieron en tiempo y que por confirmación no fueron allegadas por motivos circunstanciales en razón a plataforma que recibe y proscribe dichos asuntos. Por la cual se aporta prueba sumaria de la radicación que en el livelo (sic) se radicó en la oportunidad descrita por la actuaciones que se describen en razón de la radicación, así las cosas no es cierto que se guardó silencio frente a las disposiciones requeridas al caso, y por tanto se dio explicación, tanto de la sociedad ACEVEDO & ABOGADOS ASOCIADOS SAS con Nit N° 901.177.568-1 y ESCUELA INTERNACIONAL DE COMPETITIVIDAD identificada con NIT 900.477.284-7, en los literales y acusaciones propuestas por la Superintendencia de industria y Comercio, por tanto deben revocarse dicha decisión, pronunciarse y/o observar que las respuestas a lo requerido fueran aportadas dentro de la oportunidad procesal, teniendo en cuenta el material probatorio que se anexa a la misma es menester que se revoque la etapa procesal incoada teniendo en cuenta los argumentos aquí señalados, por tal razón, es ministerio de la dichas respuestas, por cuanto la dirección de notificaciones fue aportada, dentro del escrito objeto de reproche, por tanto la competencia es exclusiva de la Superintendencia de Industria y Comercio, en cerciorarse que dichas respuestas fueron allegadas en término legal oportuno, por tanto no es procedente continuar con la actuación descrita dentro de lo señalado, así mismo, es de congelar la actuación procesal que se derive dentro de lo referido en la legislación administrativa, es de entender entonces, que hasta cuando no se rectifique la interposición a lo exclamado en la resolución y ser verifique que la misma fue aportada en tiempo, no debe proseguir con la actuación procesal que esta misma continua, por ello, solicito respetuosamente como extremo procesal de la actuación administrativa incoada, se revise y se otorgue en consecuencia de las fallas electrónicas, la oportunidad de presentar nuevamente los hechos anteriormente descritos, confiando en que lo anteriormente enunciado corresponde a derecho previa manifestación de la prueba sumaria aportada; esta modifique la situación jurídica que fue notificada por parte de la accionada el día en que se tenía que aportar”. 6.2 Pantallazo de prueba de envío del 2 de octubre de 2020 del escrito de descargos por parte de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., remitido al correo electrónico correocertificado@sic.gov.co.

Se extrae del pantallazo la siguiente imagen: Imagen 1. Obrante en la comunicación con radicado 18-267612-00026. 6.3 Pantallazo de prueba de envío del 2 de octubre de 2020 del escrito de descargos, la política de tratamiento de datos personales y los estados financieros de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, enviado al correo electrónico correocertificado@sic.gov.co.

Se extrae del pantallazo la siguiente imagen: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen 2. Obrante en la comunicación con radicado 18-267612-00026. 6.4 Escrito de descargos de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., suscrito pos su representante legal, en el cual manifiesta que: 6.4.1 El presunto incumplimiento por el primer cargo corresponde al literal b) del artículo 17 de la Ley 1581 de 2012 que hace referencia a “[g]arantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”. 6.4.2 A través de la figura de delegación de funciones se llevó a cabo la gestión de cobranza y se le informó al Titular que en virtud de la autorización para el Tratamiento de su información dada en el pagaré es que se realiza dicha gestión en nombre de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. Añade lo siguiente: “(…) Ahora bien, la gestión que se realizó, se manipulo la información suministrada y no se solicitó nueva información, pero en lo referido en la sentencia C-748 de 20111 se precisa que se contaba con la autorización por parte del titular de los datos, pero que en ejercicio de la acción de cobro de manera delegada no se perdió la competencia por parte de la sociedad ESCUELA INTERNACIONAL DE COMPETIVIDAD ESIC S.A.S., y que por lo mismo solo tiene el mismo efecto jurídico, que es el de perseguir realizar la acción de cobro, por las obligaciones contraídas en el pagaré suscito, como quiera que la norma debe entenderse que también se encuentra “prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista una autorización legal expresa”, aducimos que la misma base se manejó con la información obtenida del pagare y no se consultó por otras bases de datos (…)”. 6.4.3 Se tome en cuenta el criterio de graduación de la sanción por reconocimiento de la responsabilidad, en consideración a que “(…) a través de la comunicación enviada al empleador del Titular, se pudo compartir información correspondiente con una obligación, situación que pudo afectar el derecho que le asiste como titular de su información, mediante el ejercicio de cobro de cartera, (…)”. 6.4.4 Respecto del segundo cargo, expresa que cuentan con la política de protección de datos personales que fue allegada en su oportunidad, y señala que “(…) recalcamos la anotación sobre la vigencia de los datos y los medios de comunicación (…)”. 6.5 Escrito de descargos de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN., suscrito por su liquidadora, en la que expresa: 6.5.1 La sociedad cuenta con la autorización escrita de la Titular en los términos previstos en la ley y como se evidencia en el pagaré, agregando lo siguiente: “Y frente a esto la SIC reconoce la autorización para el tratamiento de datos según menciona en la resolución [1] y nos da a entender que por ende se cumple con el requisito del artículo 9 de la Ley 1581 de 2012, que de manera expresa realiza el titular de los datos mediante la aceptación de la autorización en el pagaré, así mismo, el literal b del artículo 17 de la ley en mención nos habla de solicitar y conservar copia de la respectiva autorización que otorga el titular, situación que se subsana con la respectiva copia del pagare (sic) que se envió y que por lo tanto obra en el expediente.

En cuanto al modo de obtener dicha autorización se realizó acorde con lo dispuesto en el artículo 7 del decreto 1377 de 2013 (…)”. 6.5.2 El pagaré tiene por finalidad que se ejerzan las funciones de cobranza en caso de incumplimiento en el pago de las obligaciones, de manera que al aceptarse sus condiciones HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” el Titular sabe que puede ser “(…) llamado o localizado o ubicado con la información que entrego y autorizo (…)”.

Al respecto, indica la recurrente: “Bajo ese entendido se cumple a cabalidad el punto de informar al usuario del tratamiento de sus datos al momento de generar o suscribir el documento que sirve de garantía para el cumplimiento de sus obligaciones, en este entendido es el pagaré suscrito y por el cual se denota que de estar en cursa en incumplimiento, estos mismos se usarían para la labor de localización, siendo estos los que la misma usuaria entrego (sic) y diligencio (sic) al momento de contraer la obligación. Por tal razón solicito se exhorte de dicho cargo, toda vez que se presume el conocimiento del titular de los datos, su manipulación y autorización de conformidad a lo dispuesto en la autorización suscrita.

(…)”. 6.5.3 Se allana al tercer cargo, ya que en calidad de Responsable del Tratamiento no contaba con la autorización de la Titular para que la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. ejerciera la gestión de cobro. 6.6 Política de Tratamiento de Datos Personales de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. 6.7 Estados financieros de los años 2017, 2018 y 2019 de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN.

SÉPTIMO: Que a través de la Resolución No. 19198 del 9 de abril de 2021, este Despacho decidió: (i) reabrir la etapa probatoria en consideración con lo expuesto y las pruebas aportadas por las investigadas mediante la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020, (ii) incorporar todos los documentos obrantes en el expediente digital desde el radicado 18-26761200000 al 18-267612-00032, con el valor probatorio que les corresponda y;

(iii) correr traslado a las investigadas para presentar alegatos de conclusión.

OCTAVO: La Resolución No. 19198 de 2021 fue comunicada el 12 de abril de 2021 a las sociedades ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., por conducto de su representante legal, y ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, a través de su liquidadora, como consta en la certificación 18-267612-00038 del 3 de mayo e 2021 emitida por la Secretaria General Ad-Hoc de esta Superintendencia, no presentando ninguna de las investigadas alegatos de conclusión.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ‘las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica’.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.

(…)”2. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN se concreta en la posible vulneración de lo consagrado en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 de la misma Ley y;

(iii) el literal h) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma Ley, el artículo 9 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. Así mismo, a partir de los hechos invocados por la denunciante y de las pruebas que obran en esta actuación administrativa, la conducta desplegada por la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. se concreta en el presunto desconocimiento de lo previsto en: (i) el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley y;

(ii) el literal f) del artículo 18 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la precitada Ley. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por las investigadas dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, así como las razones de hecho y de derecho aducidas por las investigadas en los escritos de descargos, así como el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a la investigada en la presente actuación, así como el acervo probatorio recaudado, para en cada caso establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 10.2.1 Respecto de los cargos formulados a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN 10.2.1.1 Respecto de los deberes de solicitar y conservar copia de la autorización previa, expresa e informada El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

Conforme con el principio de libertad consagrado en el literal c) del artículo 4 de la Ley 1581 de 2012, según el cual “[e]l Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento (…)”, es claro que la información personal del Titular no es susceptible de Tratamiento sino media autorización previa, expresa e informada para la finalidad específica consentida. 2 Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. F.J:3.6.2.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática”.

Por su parte, el literal e) del artículo 3 de la Ley 1581 de 2012 definió al Responsable del Tratamiento de los datos personales en los siguientes términos: “(…) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

( )”. Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, expresó lo siguiente: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato. ( )”. Este deber es ratificado en el literal b) del artículo 17 de la misma ley, que incluye expresamente la obligación de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

En este orden, se tiene que el Responsable requiere de la autorización previa e informada del Titular para el Tratamiento3 de su información personal, como lo establece el artículo 9 de la Ley 1581 de 2012 en los siguientes términos: “Artículo 9. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales 3 Literal g), artículo 3.

Definiciones. Ley 1581 de 2012. “Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” serán recolectados así como todas las finalidades especificas del Tratamiento para cuales se obtiene consentimiento”.

Preliminarmente este Despacho encontró que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN contaba con la autorización de la Titular para el Tratamiento de su información; sin embargo, se desbordó en el uso de los datos recolectados de la Titular, ya que ella no autorizó que se realizara llamadas de gestión de cobro y se enviara comunicaciones sobre el estado de su deuda a sus empleadores por intermedio de un tercero. La investigada en escrito de descargos 4 señala que esta Superintendencia en la Resolución No. 52105 de 2020 dio a entender que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN sí dio cumplimiento al artículo 9 de la Ley 1581 de 2012 al reconocer que hubo autorización para el Tratamiento de la información de la Titular.

Además, indica que el deber de solicitar y conservar copia de la autorización otorgada por el Titular del literal b) del artículo 17 de la Ley 1581 de 2012 se subsana “(…) con la respectiva copia del pagare (sic) que se envió y que por tanto obra en el expediente (…)”. En primer lugar, en el documento de Pedido No. 233415 se evidencia que la Titular de la información entregó a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN los siguientes datos de sí: nombre, dirección de residencia, números telefónicos de contacto, empresa donde trabaja, cargo y antigüedad en la empresa y dirección de correo electrónico.

Esto se visualiza en la siguiente imagen: Imagen 3. Obrante en la comunicación con radicado 18-267612-00006. A su vez, en el documento de Pedido No. 233416 suscrito por la denunciante el 18 de agosto de 2017, se encuentra la siguiente autorización para el Tratamiento de datos personales, a saber: 4 Anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. 5 Obrante en la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019. 6 Ibídem.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen 4. Obrante en la comunicación con radicado 18-267612-00006. De acuerdo con la anterior imagen, se advierte que la Titular suscribió una autorización para que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN obtenga su información personal a través de cualquier medio al indicar “(…) autorizo (…) para que obtenga de cualquier fuente las informaciones y referencias relativas a mi persona (…)”.

Adicionalmente, autoriza que su información sea tratada conforme con la política de tratamiento de datos personales de la empresa. En el mismo documento de Pedido No. 233417 se encuentra el siguiente pagaré: Imagen 5. Obrante en la comunicación con radicado 18-267612-00006. 7 Ibídem. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” En este pagaré, también suscrito por la denunciante, se evidencia que autoriza para que en caso de incumplimiento de sus obligaciones de “(…) por vencido el plazo pendiente de la obligación y exigir de inmediato judicial o extrajudicialmente el pago total del saldo insoluto de las obligaciones aquí incorporadas en el evento de que dejare (dejaremos) de pagar (…)”.

Por su parte, dentro del acervo probatorio se halla que la señora xxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxx fue contactada por la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. para la gestión de cobro de la obligación contraída con la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, evidenciándose con los siguientes documentos: (i) Carta fechada del 12 de octubre de 2018, remitida al empleador de la denunciante por parte de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., en la que se indica que la Titular debe pagar la deuda con la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN so pena de continuarse con el proceso ejecutivo singular de mínima cuantía. A continuación, una imagen de esta carta: Imagen 6.

Obrante anexa a la denuncia con radicado 18-267612-00000. (ii) En la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019 la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. expresa que ejerce el cobro de la cartera de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, en virtud de un contrato de colaboración, y para llevar a cabo su actividad de gestión de cobro es requisito sine qua non que se cuente con la autorización de los Titulares, como lo fue en el caso de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

En esta comunicación también expresa que la denunciante autorizó en el pagaré a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN “(…) para que obtenga de cualquier fuente las informaciones y referencias relativas a mi persona, a mi comportamiento y crédito comercial, hábitos de pago, manejos de mis cuentas corrientes, y en general cumplimiento de mis obligaciones (…)”.

Y agrega que en virtud de esta autorización y en ejercicio de su gestión de cobranza: “(…) se indago (sic) de forma respetuosa en los números y correos electrónicos de suministrados por la titular a efectos de conocer su lugar de trabajo o sus nuevos teléfonos, información que la titular a plena satisfacción permite realizar en aras de satisfacer las obligaciones contractuales que se derivan de la suscripción del título valor pagaré”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” (iii) En escrito de descargos8 de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., esta empresa expresa que realizó la gestión de cobro por la delegación de funciones de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN y señala que le informaba a la Titular que esta gestión la realizaba en virtud de la autorización para el Tratamiento de sus datos que otorgó en el pagaré. Además, indica que “(…) a través de la comunicación enviada al empleador del Titular, se pudo compartir información correspondiente con una obligación (…)”.

(iv) La sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en su escrito de descargos9 señala expresamente que no contaba con la autorización de la Titular para que a través de un tercero, que para el caso es la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., se ejerciera la gestión de cobro. De acuerdo con las cuatro evidencias anteriores, se encuentra que con la carta del 12 de octubre de 2008 como con las afirmaciones obrantes en los escritos radicados10 por la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. y en los descargos 11 de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. sí contactó a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y a su empleador en desarrollo de las actividades de cobro de la cartera de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. Además, de las autorizaciones otorgadas en el documento Pedido No. 2334112 por la Titular de la información para el Tratamiento de sus datos, se sustrae que no autorizó a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN para que un tercero ejerciera Tratamiento de sus datos personales en desarrollo de actividades de gestión de cobro.

Asimismo, si bien en este documento se indica que la Titular autoriza el Tratamiento de sus datos conforme con la política de tratamiento de datos de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, en la Política de Tratamiento de Datos Personales13 de esta sociedad no se señala que, por ejemplo, una de las finalidades del Tratamiento es que los datos personales pueden ser transmitidos a un tercero con el fin de hacer exigible el cumplimiento de las obligaciones en mora.

A su turno, respecto a lo señalado en el documento Pedido No. 23341 14 en el sentido que la información y referencias de la Titular se pueden obtener por cualquier fuente de información, es preciso señalar que este tipo de autorización carece de validez por desconocer abiertamente el Régimen General de Protección de Datos Personales. Esto por cuanto el Responsable de modo alguno puede ser autorizado para realizar un Tratamiento abusivo, extralimitado y exorbitante de la información personal de los Titulares, ya que en virtud del principio de libertad previsto en el literal c) del artículo 4 de la Ley 1581 de 2012 y el deber contemplado en el literal b) del artículo 17 de la misma Ley, es mandatorio que para la recolección de los datos se obtenga el consentimiento previo, expreso e informado del Titular con clara indicación de los datos que le son recolectados y cuáles son las finalidades específicas de estos.

En este orden de ideas, la Titular no autorizó el Tratamiento de sus datos personales para que la gestión de cobro se efectuara a través de una empresa diferente a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. Además, se desconoció que todo dato que se somete a Tratamiento debe contar con autorización previa, expresa e informada de la Titular al indagarse por su información para efectos de ejercer el cobro de la deuda.

Así las cosas, se presentó un actuar negligente de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en el cumplimiento del deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el 8 Ibídem. 9 Ibídem. 10 Comunicación con radicado 18-267612-00006 del 29 de marzo de 2019 y escrito de descargos de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020.

Escrito de descargos de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. 12 Obrante en la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019. 13 Obrante en los anexos a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. 14 Obrante en la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. Por ello, en virtud de la facultad prevista para esta Superintendencia en el literal e) del artículo 21 de la Ley 1581 de 2012 y las particularidades empresariales de la investigada que se encuentran demostradas dentro de esta actuación administrativa y documentos públicos15 se impondrá una orden administrativa. 10.2.1.2 Respecto del deber de informar las finalidades del Tratamiento El artículo 4 de la Ley 1581 de 2012, contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra en el literal b) el principio de finalidad que señala que “[e]l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”.

Sobre esto, la Honorable Corte Constitucional en sentencia C-748 de 2011, señala que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explícito, razón por la cual se impone el deber de informar clara, suficiente y previamente al Titular acerca de la finalidad de la información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.

Sobre el principio de finalidad, la Corte Constitucional en sentencia C-748 de 2011 manifestó: “‘(…) tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad[210] constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista’.

(…) Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas”.

El principio rector, que para el cargo objeto de análisis es el de finalidad, debe confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el cargo es relevante mencionar el deber consagrado en el literal c) del artículo 17 de “[i]nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”.

Adicionalmente, el artículo 12 de la misma Ley, señala que el Responsable debe informar clara y expresamente al Titular: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;

(iii) los derechos que le asisten como Titular y; (iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. 15 Certificado de existencia y representación legal obrante en el RUES. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el Responsable del Tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

Ahora bien, preliminarmente este Despacho encontró que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN contaba con autorización de la Titular para el Tratamiento de sus datos; sin embargo, el Tratamiento se ejerció de forma indiscriminada al suministrarse los datos a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. en virtud de un vínculo contractual.

“(…) esta última envió mensajes electrónicos y físicos, y realizó llamadas al empleador de la reclamante, conforme con lo asegurado en la queja interpuesta”. La sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en su escrito de descargos señala que la Titular tiene claras cuáles son las finalidades en razón a la autorización otorgada en el pagaré, de manera que conocía que en caso de incumplimiento en sus obligaciones su información podía utilizarse para localizarla y agrega que “(…) se presume el conocimiento del titular de los datos (…)”.

Dentro del acervo probatorio este Despacho en el documento Pedido No. 23341 están consignadas las siguientes finalidades para el Tratamiento de los datos personales de la Titular, a saber: (i) “(…) autorizo a la empresa de forma libre y espontánea para que en caso de mora en el pago de las obligaciones adquiridas, reporte mi nombre y documento de identidad en datacrédito (sic) o cualquier banco de datos que preste el servicio de información comercial”.

(ii) “(…) autorizo de manera voluntaria, previa y explícita, informada e inequívoca a la compañía para tratar mis datos personales de acuerdo con la política de tratamiento de datos personales de la compañía y para los fines relacionados con su objeto social y en especial para fines legales, contractuales, comerciales descritos en la política de Tratamiento de Datos Personales del editor.

(…)”. (iii) “Expresamente, autorizo (autorizamos) al acreedor para dar por vencido el plazo pendiente de la obligación y exigir de inmediato judicial o extrajudicialmente el pago total del saldo insoluto de las obligaciones aquí incorporadas en el evento de que dejare (dejaremos) de pagar (…)” Por su parte, en la Política de Tratamiento de Datos de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN las finalidades para el Tratamiento de la información personal previstas son las siguientes: Imagen 7.

Obrante anexa a la comunicación con radicado 18-267612-00026. Teniendo en cuenta las anteriores evidencias, en el documento de Pedido No. 23341 las finalidades para el Tratamiento son muy generales al señalar que “(…) para los fines relacionados con su objeto social y en especial para fines legales, contractuales, comerciales descritos en la política de Tratamiento de Datos Personales (…)”, ya que ello implica que puede abarcarse un gran número de finalidades que no están descritas de manera clara y específica.

La única finalidad específica es la HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” de hacer exigible el cumplimiento de la obligación al acreedor. Cabe aclarar que toda finalidad en el Tratamiento, además de informarse de forma previa, debe ser específica y explícita, por lo cual no es dable que en ningún caso se estime que se presume o se supone que el Titular de la información conoce sobre la finalidad del Tratamiento.

Así mismo, en la Política de Tratamiento de Datos no se preven las finalidades particulares del Tratamiento sino que a grosso modo se describen, habida cuenta que no se especifica para qué la consulta en bases de datos públicas o privadas, información general respecto de qué (¿relacionada directamente con los servicios de la compañía?) y cuáles fines administrativos.

Además, en esta política al expresarse “(…) para los fines propios que se obtuvo (…)” deja un vacío enorme sobre la finalidad de recolección de los datos de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, debido a que en el documento Pedido No. 2334116 tampoco se enuncian las finalidades específicas. Así, a la Titular no se le informaron previamente a su autorización, las finalidades específicas y explícitas del Tratamiento de sus datos recolectados a través del documento Pedido No. 23341.

Adicionalmente, los datos de la Titular fueron sometidos a Tratamiento para la gestión de cobro por parte de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. sin que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN informara previamente en el documento Pedido No. 23341 que el cobro de cartera podía efectuarse a través de un tercero. En este orden de ideas, la investigada no informó de forma clara y específica a la Titular de la información las finalidades del Tratamiento de su información personal.

Así mismo, la finalidad del Tratamiento para la gestión del cobro estaba prevista solo para la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en calidad de acreedora de la obligación. Así, se configuró un actuar negligente de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en el cumplimiento del deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 de la misma Ley, por lo cual en virtud de la facultad prevista para esta Superintendencia en el literal e) del artículo 21 de la Ley 1581 de 2012 y las particularidades empresariales de la investigada que se encuentran demostradas dentro de esta actuación administrativa y documentos públicos 17 se impondrá una orden administrativa. 10.2.1.3 Respecto del deber de suministrar al Encargado datos previamente autorizados El literal h) del artículo 17 de la Ley 1581 de 2012 señala que el Responsable del Tratamiento solo puede suministrar al Encargado los datos consentidos en los términos de esta norma, al preceptuar: “h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley (…)”.

Este deber es una manifestación tanto del principio de libertad como de finalidad, los cuales son definidos en el artículo 4 de la Ley 1581 de 2012 así: “(…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. Sobre el principio de finalidad dentro del marco del deber del literal h) del artículo 17 de la Ley 1581 de 2012 de los responsables del Tratamiento, la Corte Constitucional en sentencia C-748/11 expresó: “(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos 17 En el certificado de existencia y representación legal consultado en el RUES.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas. En este orden de ideas, los deberes establecidos en los literales a), b) y h) son desarrollo del principio de finalidad”. (Se subraya fuera de texto) La autorización del Titular que faculta el Tratamiento de los datos por parte del Responsable estrictamente en los términos consentidos, se encuentra descrita en el artículo 9 de la Ley 1581 de 2012 en las siguientes palabras: “ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”. A su vez, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades especificas del Tratamiento para cuales se obtiene consentimiento”.

Por su parte, este Despacho preliminarmente encontró que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN suministró los datos de la Titular de la información a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. para un “(…) Tratamiento no autorizado al establecer un vínculo contractual (…)”, toda vez que esta “(…) última envío mensajes electrónicos y físicos, y realizó llamadas al empleador de la reclamante, conforme a lo asegurado en la queja interpuesta”.

La sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en escrito de descargos18 se allana y manifiesta que “(…) no se contaba con la autorización de la Titular para realizar la gestión de cobro por intermedio de un tercero que implicara llamadas y, envío de cartas y correos electrónicos a sus empleadores (…)”. En primer lugar, la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN recolectó los datos personales de la Titular sin informar previamente las finalidades específicas del Tratamiento, como se desprende del documento Pedido No. 2334119 y de la Política de Protección de Datos20.

Además, en el pagaré suscrito por la Titular se indica que “(…) autorizo (autorizamos) al acreedor para dar por vencido el plazo y exigir de inmediato judicial o extrajudicialmente el pago del total del saldo insoluto de las obligaciones aquí incoporadas en el evento de que dejare (dejaremos) de pagar (…)”. Sobre la gestión de cobro prevista en el pagaré, en el documento Pedido No. 23341 y en la Política de Protección de Datos no se informa a la Titular lo siguiente: (i) que la gestión de cobro prevista en el pagaré puede ejercerse a través de un tercero y;

(ii) los datos personales recolectados que son objeto de Tratamiento para la finalidad específica de gestión de cobro. Por ello, la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN no contaba con autorización de la Titular para suministrar sus datos personales a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., así como tampoco se podía indagar sobre información adicional de la Titular al requerirse su autorización previa, expresa e informada para el Tratamiento de sus datos.

En este orden de ideas, la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN suministró información personal de la Titular a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. para que ejerciera la gestión de cobro, sin contar con la autorización previa, expresa e informada de la Titular para ello, por lo cual actuó negligente la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN en el cumplimiento del deber previsto en el literal h) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Frente a este 18 Anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. 19 Anexo a la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019. 20 Anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” incumplimiento y en razón a la facultad prevista para esta Superintendencia en el literal e) del artículo 21 de la Ley 1581 de 2012 y las particularidades empresariales de la investigada que se encuentran demostradas dentro de esta actuación administrativa y documentos públicos 21 se impondrá una orden administrativa. 10.2.2 Respecto de los cargos formulados a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. 10.2.2.1 Respecto del deber de conservar la información bajo condiciones de seguridad para evitar su uso o acceso no autorizado En primer lugar, el artículo 18 de la Ley 1581 de 2012 dispone los deberes de los encargados del Tratamiento, especificando en el literal b) lo siguiente: “ARTÍCULO

18. DEBERES DE LOS ENCARGADOS DEL TRATAMIENTO. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. El anterior deber de los encargados del Tratamiento, es desarrollo de los principios de acceso y circulación restringida y seguridad previstos en el artículo 4 de la Ley 1581 de 2012, así: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. A su vez, respecto de estos principios es preciso traer a colación lo determinado por la Corte Constitucional en sentencia C-748 de 2011 en los siguientes términos: “(…) En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” La norma debe entenderse que también se encuentra prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista una autorización legal expresa, es decir, lo que la jurisprudencia ha denominado el principio de individualidad del dato.

Como consecuencia de lo anterior, queda prohibido generar efectos jurídicos adversos frente a los Titulares, con base, únicamente en la información contenida en una base de datos. (…) Debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. (…) En aras del principio de acceso y circulación restringida, seguridad y confidencialidad, el Titular tiene derecho a exigir que su información sea tratada de conformidad con los límites impuestos por la Ley y la Constitución. (…)”.

Preliminarmente este Despacho respecto de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. evidenció que “(…) a través de la comunicación enviada a los empleadores de la Titular, compartió información correspondiente a nombre completo, cédula y su situación financiera relacionada con una obligación, esta sociedad expuso sus datos personales de carácter privado (…)”.

La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. en escrito de descargos22 señala que el literal b) del artículo 18 de la Ley 1581 de 2012 se refiere a “[g]arantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data” y expresa que el Titular autorizó al Responsable el Tratamiento de sus datos conforme con las finalidades previstas en el pagaré. Frente a esta autorización y en virtud de un contrato de colaboración con la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, ha sometido a Tratamiento los datos de la Titular en calidad de Encargado y ha informado a la Titular sobre la delegación de funciones en materia de cobranza.

Se allana al cargo y agrega lo siguiente: “(…) la misma base se manejó con la información obtenida del pagare y no se consultó por otras bases de datos, pero que a través de la comunicación enviada al empleador del Titular, se pudo compartir información correspondiente con una obligación, situación que pudo afectar el derecho que le asiste como titular de su información, mediante el ejercicio de cobro de cartera, por tanto, se reconoce posible responsabilidad en el tratamiento de esta situación, a lo cual solicitamos sea tenido en cuenta como criterio de atenuación de la responsabilidad al momento de la graduación de las sanciones a imponer, toda vez que si bien se cuenta con la autorización por parte del responsable del dato, presuntamente existo circunstancia donde se puso afectar el tratamiento de estos”.

En primer lugar, es preciso señalar que la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. incurre en una imprecisión al manifestar que el primer cago materia de investigación del literal b) del artículo 18 de la Ley 1581 de 2012 corresponde a “[g]arantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, por cuanto el citado literal b) corresponde a “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

Al respecto, es menester señalar que en esta investigación no hay duda respecto al cargo formulado, por cuanto esta Dirección en la Resolución No. 52105 del 28 de agosto de 2020 “[p]or la cual se inicia una actuación administrativa y se formulan cargos” formuló de manera clara y precisa el primer cargo a esta sociedad por las disposiciones presuntamente vulneradas, así: “‘5.1.

Cargo Primero: El presunto incumplimiento por parte de la investigada en su condición de Encargado del Tratamiento al deber de implementar los requisitos mínimos establecidos para la Política de Tratamiento de Datos Personales de acuerdo a lo consagrado en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley.

Ley 1581 de 2012 22 Anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Artículo 18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

Artículo 4º. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…)’. (…) ‘ARTÍCULO SEGUNDO: ABRIR INVESTIGACIÓN y en consecuencia FORMULAR PLIEGO DE CARGOS contra la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. identificada con Nit. 901.177.568-1 7, por la presunta contravención de lo dispuesto en: (i) El literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley;’”.

Por su parte, a través de la certificación fechada del 28 de marzo de 2019 y emitida por la representante legal de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN se indica que “(…) manifiesto por el presente escrito que, con la sociedad ACEVEDO & ABOGADOS ASOCIADOS S.A.S., se realizó un contrato de colaboración para la gestión de cobranza por vía judicial y extra judicial (sic) de la cartera de nuestra propiedad”.

Al respecto, las investigadas no aportaron prueba alguna que permita conocer a qué tipo de contrato de colaboración hacen referencia, las obligaciones y deberes de las partes y el alcance de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. frente a la gestión de cobranza. En todo caso, y aunque las particularidades sobre el contrato de colaboración no fueron allegadas al expediente, lo que sí está demostrado es que la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx no autorizó que una empresa diferente a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN sometiera a Tratamiento sus datos personales para efectos de la gestión de cobro, lo cual se demuestra a través de: (i) El pagaré solo indica que la Titular autoriza “(…) al acreedor para dar por vencido el plazo pendiente de la obligación y exigir de inmediato judicial o extrajudicialmente el pago del total del saldo insoluto (…)” 23, correspondiendo el acreedor a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. (ii) Ni en el documento Pedido No. 2334124 ni en el la Política de Tratamiento de Datos25 se informa que una de las finalidades del Tratamiento es la de ejercer la gestión de cobro que puede ser desarrollada por una tercera empresa.

Está plenamente demostrado que la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. no estaba autorizada por la Titular para ejercer acciones de gestión de cobro; no obstante, de acuerdo con el acervo probatorio y lo reconocido por esta sociedad, sometió a Tratamiento los datos personales de la Titular, para lo cual, en todo caso, debía adoptar las medidas de seguridad necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos de la Titular, así como debía respetar todo el Régimen de Protección de Datos Personales y, en particular, los principios de confidencialidad, acceso y circulación restringida, así como de seguridad.

Al respecto, en la denuncia26 la Titular de la información manifiesta: 23 Obrante en el documento Pedido No. 23341 anexo a la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019. 24 Anexo a la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019. 25 Anexa a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. 26 Comunicación con radicado 18-267612-00000 del 16 de octubre de 2018.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” “Hace tres semanas sorpresivamnete (sic) recibi (sic) una llamada de Acevedo y Abogados Asociados, identificados con NIT: 901.177.568-1, en esa llamada me hablo (sic) el Sr. xxxxxx (sic) xxxxxxx Representante Legal de la Firma, le manifiesto mi Intención (sic) de pagar el curso teniendo en cuenta que firme (sic) el pagaré y que previamente había (sic) solicitado a la escuela ESIC, la devolución (sic) del mismo (…).

El Sr. xxxxxx (sic) xxxxxx me dice que lo unico (sic) que puedo hacer es pagar al dia (sic) siguiente el valor total de la deuda, sin ningún (sic) tipo de descuento le digo que es imposible para mi (sic) y que puedo pagar en cuentas mensuales, de ahi (sic) para alla (sic) ha sido una persecución y esta firma de abogados se ha dedicado a comunicarse con mi anterior empleador a decirles que soy una mala paga, que me van a embargar el salario, que ya hay una demnada (sic) en mi contra y un sin numero (sic) de cosas dañando mi buena imagen; adicional ellos lograron conocer el lugar donde labóro (sic) actualmente que es Holland &Night Colombia, con mentiras lograron conocer el teléfono (sic) y el correo de mi Jefe actual diciéndole (sic) exactamente lo mismo (adjunto envio (sic) comunicado enviado por ellos).

Cabe anotar que con migo (sic) no se han vuelto a comunicar llaman a mi jefe actual y a mi anterior empleador. Por tal motivo el dia (sic) de hoy pongo esta denuncia en contra de la Escula ESIC y de Acevedo y Abogados Asociados ya que estan (sic) dañando mi buen nombre y estan (sic) revelado (sic) informacion (sic) que es confidencial y que no he autorizado a revelar, adicional he verificado que en mi contra no hay ninguna demanda.

Razon (sic) por la cual no pueden hacer ningún (sic) tipo de embargo a mi salario y mucho menos revelar esta informacion (sic) ya que es falsa”. (Se subraya fuera de texto) Además, en la denuncia27 la Titular aporta la siguiente carta fechada de 12 de octubre de 2018, con la cual el representante legal de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. informa al empleador de la Titular que tiene una obligación adeudada con la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN que debe ser cancelada en su totalidad de forma inmediata y que se dará inicio a un proceso ejecutivo de mínima cuantía. La carta es la siguiente: Imagen 7.

Obrante anexa a la denuncia con radicado 18-267612-00000. A su vez, en el documento Pedido No. 23341 28 se encuentra que las referencias del empleador consignadas por la Titular corresponden a las de su antiguo empleador y no a los de la empresa destinataria de la anterior carta del 12 de octubre de 2018. A continuación, en la siguiente imagen encuadrado en rojo los datos del empleador del documento Pedido No. 23341: 27 Ibídem. 28 Anexo a la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen 8. Obrante anexa a la denuncia con radicado 18-267612-00000. De acuerdo con la anterior imagen, está probado que la Titular solo suministró los datos de su anterior empleador; sin embargo, la carta del 12 de octubre de 2018 está dirigida al empleador de la Titular para dicha fecha, por lo cual es claro que a través de algún medio la investigada obtuvo la información del último empleador, lo cual deja sin sustento lo afirmado por la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. en el sentido que “(…) aducimos que la misma base se manejó con la información obtenida del pagare y no se consultó por otras bases de datos (…)” 29.

Adicionalmente, si bien en el documento Pedido No. 2334130 la Titular de la información suministra los datos del empleador para quien trabajaba para la fecha de compra del curso a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN y selecciona las opciones de entregar en empresa y cobrar en empresa. Ello no implica que las gestiones de cobro a través de comunicaciones, llamadas o cartas, se realizaran a la empresa empleadora sino que debían realizarse directamente a la Titular a través de los medios de contacto suministrados por ella de la empresa, por lo cual cualquier comunicación efectuada a dicha empresa implica un uso no autorizado por la Titular.

A su vez, está demostrado a través de la carta del 12 de octubre de 2018 que la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. contactó al último empleador de la Titular e informó sobre la obligación adeudada por una de sus empleadas. Dentro de esta investigación está probado que la Titular no suministró los datos de este empleador. Así, la investigada provocó que se expusieran los datos privados de la Titular, desconociéndose los principios de confidencialidad, acceso y circulación restringida y, seguridad en el Tratamiento de los datos personales de la Titular.

En síntesis, se encuentra demostrado en esta actuación administrativa que la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. no conservó la información privada de la Titular con las medidas de seguridad necesarias, usándola abiertamente con sus empleadores, por lo cual está probado su actuar negligente en el cumplimiento del deber previsto en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley.

Por ello, se impondrá una sanción pecuniaria a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. acorde con el literal a) del artículo 23 de la Ley 1581 de 2012 y en la medida en que reconoció el incumplimiento del deber se aplicará el criterio de atenuación previsto en el literal f) del artículo 24 de la misma norma. Adicionalmente, este Despacho impartirá unas órdenes administrativas. 10.2.2.2 Respecto del deber de adoptar una política de tratamiento de datos personales El literal f) del artículo 18 de la Ley 1581 de 2012 establece el siguiente deber: “f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares”.

A su vez, el artículo 25 de la Ley 1581 de 2012 dispone que: “(…) los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. 29 Anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020. 30 Anexo a la comunicación con radicado 18-267612-00006 del 29 de marzo de 2019.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley (…)”. En este sentido, esta Dirección preliminarmente encontró respecto de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. que: “(…) la Política de Tratamiento de Datos Personales no se incorpora la información correspondiente al procedimiento para que los titulares puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización ni la fecha de entrada en vigencia de la política de tratamiento de datos de la información y período de vigencia de la base de datos (…)”.

La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. en escrito de descargos31 aporta la Política de Tratamiento de Datos Personales y expresa lo siguiente: “(…) cerciorando el cumplimiento de esta disposición con fecha de entrada en vigencia sujeta desde el inicio de la actividad económica enmarcada en el objeto social, que es de --/-/---- de tal forma, que esta misma fue aportada en su oportunidad, y que por lo mismo se encuentra en cumplimiento de lo solicitado, ahora bien, recalcamos la anotación sobre la vigencia de los datos y los medios de comunicación los cuales se incorporan al presente.

Así las cosas, manifestando lo siguiente damos claridad al cargo imputado aportando nuevamente la política de tratamiento de datos que se maneja en la sociedad, obedeciendo lo dispuesto y saneando cualquier tipo de irregularidad que se pudiese presentar”. Ahora bien, este Despacho precisa que las Políticas de Tratamiento de la Información deben desarrollarse por los Responsables del Tratamiento, conteniendo cuanto menos lo establecido en el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, el cual en su primer párrafo señala que “[l]os responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas”.

(Se subraya fuera de texto) En este caso, se encontró que la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. actuó como Encargado del Tratamiento de la información que fue recolectada por la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, lo cual se indicó en la Resolución No. 52105 de 2020 “[p]or la cual se inicia una investigación administrativa y se formulan cargos”, así: “(…) Encargado del Tratamiento en los términos del literal d) del artículo 3 de la Ley 1581 de 2012, el cual establece lo siguiente: ‘Ley 1581 de 2012, artículo 3: “Para los efectos de la presente ley, se entiende por: (…) d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

(…)’. Lo anterior, toda vez que, se suscribió un contrato de colaboración para la gestión de cobranza en la que la sociedad en comento realiza el Tratamiento de los datos en interés de la empresa ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. De igual manera, a partir de los documentos recaudados en la etapa preliminar, es posible establecer de manera previa que, ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. ha realizado el Tratamiento de los datos de la Titular por cuenta de la empresa contratante en tanto que, no lo hace en interés propio sino con la finalidad de recaudar la cartera morosa”.

Es necesario señalar que los deberes que le asisten a los Encargados del Tratamiento están previstos en el artículo 19 de la Ley 1581 de 2012 mientras que en el artículo 18 de esta norma se establecen los deberes de los Responsables. En consideración a los primeros, el literal f) del artículo 18 de la Ley 1581 de 2012 dispone: 31 Anexo a la comunicación con radicado 18-267612-00026 del 11 de diciembre de 2020.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” “ARTÍCULO

18. DEBERES DE LOS ENCARGADOS DEL TRATAMIENTO. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares”.

Sobre este artículo, la Corte Constitucional en sentencia C-748/11 dispuso lo siguiente: “Por su parte, el artículo 18 señala que los encargados del tratamiento del dato, al igual que los responsables, están obligados a garantizar el derecho al habeas data al titular. En consecuencia, tienen deberes de: (i) actualizar, rectificar y suprimir los datos cuando a ello haya lugar y en los tiempos indicados para el efecto, literales c) y d).

Por tanto, como una forma de cumplir con estos deberes, se le impone (ii) la obligación de incluir en la información que suministre, leyendas tales como “información en discusión judicial” cuando la autoridad judicial lo notifique sobre el particular, o “reclamo en trámite”, tal como lo indica el artículo 15, numeral 2 del proyecto en revisión, literales g) y h), (iii) no circular información que por orden de la autoridad de control este bloqueada mientras se adopta la decisión definitiva;

(iv) tramitar los reclamos y consultas. Para el efecto, debe adoptar un manual que no solo le permita el adecuado cumplimiento de la ley sino responder en forma eficaz y eficiente a los reclamos y a las consultas que se le efectúen en los términos indicados en el título IV de la ley; (v) al igual que los responsables, informar cualquier violación a los códigos de seguridad y administración de la información y (vi) cumplir las instrucciones y requerimientos del órgano de vigilancia y control del dato personal”.

Así mismo, el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015: “Artículo 2.2.2.25.2.8. Limitaciones temporales al Tratamiento de los datos personales. Los Responsables y Encargados del Tratamiento solo podrán recolectar, almacenar, usar o circular los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento, atendiendo a las disposiciones aplicables a la materia de que se trate y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez cumplida la o las finalidades del tratamiento y sin perjuicio de normas legales que dispongan lo contrario, el Responsable y el Encargado deberán proceder a la supresión de los datos personales en su posesión. No obstante lo anterior, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual.

Los responsables y encargados del tratamiento deberán documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio”. (Resaltado fuera del texto).

De acuerdo con las dos normas anteriores y la jurisprudencia, los Encargados del Tratamiento deben adoptar manual(es) internos con política(s) y procedimiento(s) para garantizar el adecuado cumplimiento de la Ley 1581 de 2012, por lo que en general se requiere para: (i) la atención de consultas y reclamos; (ii) la seguridad de la información y;

(iii) la actualización, rectificación o supresión de los datos en términos. Así las cosas, en calidad de Encargado del Tratamiento la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. debió adoptar estos manuales; no obstante, dentro del acervo probatorio no se evidencia que los tengas. Por ello, con el objeto de evitar que se desconozca el derecho de hábeas data de los Titulares y/o el Régimen General de Protección de Datos Personal, se impondrá una orden administrativa a la mentada sociedad con fundamento en la facultad prevista para esta Superintendencia en el literal e) del artículo 21 de la Ley 1581 de 2012.

DÉCIMO PRIMERO: ORDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por las investigadas, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN deberá adoptar e implementar las políticas y procedimientos necesarios, pertinentes y útiles para garantizar que personas jurídicas y naturales no autorizadas por los Titulares accedan a su información.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá eliminar toda información personal de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xx.xxx.xxxx, que obre en todas sus bases de datos.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá implementar un mecanismo o medida que le permita verificar que previo al Tratamiento en calidad de Encargado, el Responsable cuenta con la autorización previa, expresa e informada del Titular en los términos previstos en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. como Encargado deberá abstenerse de llevar a cabo Tratamiento de datos personales de los cuales no cuente el Responsable con la autorización previa, expresa e informada por parte del Titular, en los términos de la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá aprobar e implementar manual(es) de política(s) y procedimiento(s) para: (i) la atención de consultas y reclamos;

(ii) la seguridad de la información y; (iii) la actualización, rectificación o supresión de los datos en términos. De lo anteriormente ordenado la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional32. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la Ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional33 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: 32 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 33 “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…)”. (Negrita añadida) HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”34. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros35. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”36.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia37. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2338 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: 34 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 35 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 36 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 38Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”39. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados40. c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 39 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 40 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. actuó negligentemente al no adoptar con las medidas necesarias de seguridad que llevaron a que dentro de su empresa se usara la información de la Titular para contactar a los empleadores de esta, por lo cual se impondrá a esta sociedad una sanción pecuniaria equivalente a CIENTO VEINTE (120) UNIDADES DE VALOR TRIBUTARIO – UVT por la vulneración del literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley. 12.1.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación previsto en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., ya que en su escrito de descargos, anexo a la comunicación con radicado 18-267612-00026 del 12 de diciembre de 2020, reconoció la comisión de infracción al deber contemplado en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley al expresamente señalar: “(…) se pudo compartir información correspondiente con una obligación, situación que pudo afectar el derecho que le asiste como titular de su información, mediante el ejercicio de cobro de cartera, por tanto, se reconoce posible responsabilidad en el tratamiento de esta situación, a lo cual solicitamos sea tenido en cuenta como criterio de atenuación de la responsabilidad al momento de la graduación de las sanciones a imponer, toda vez que si bien se cuenta con la autorización por parte del responsable del dato, presuntamente existo circunstancia donde se puso afectar el tratamiento de estos”.

De manera que, se procederá a reducir la sanción impuesta a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. por la vulneración al deber establecido en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley en TREINTA (30) UNIDADES DE VALOR TRIBUTARIO – UVT. 18.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y;

(iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO NOVENO: CONCLUSIÓN Se procederá a imponer una sanción e impartir unas órdenes administrativas por las siguientes razones: (i) Se encontró demostrado en esta actuación administrativa que se desconocieron los deberes previstos en el: (i) literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 de la misma Ley, (iii) literal h) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma Ley, el artículo 9 de la misma Ley, indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y; (iv) literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley. (ii) De acuerdo con carta fechada del 12 de octubre de 2018, comunicación con radicado 18267612-00006 del 29 de marzo de 2019 de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. y los escritos de descargos de esta última y la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. sí contactó a la Titular y a su empleador en desarrollo de las actividades de cobro de la cartera de la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. (iii) Se probó que a través del documento Pedido No. 23341 la Titular no autorizó a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN para que un tercero hiciera exigible la obligación en caso de mora en el pago.

Además, en el pagaré solo se señala que el acreedor es quien ejercería la exigibilidad de forma inmediata de forma judicial o extrajudicial. (iv) No es válida la autorización para que los datos de la Titular se puedan recolectar por cualquier medio, ya que es mandatorio que en la recolección de los datos se obtenga el consentimiento previo, expreso e informado del Titular con clara indicación de los datos que le son recolectados y cuáles son las finalidades específicas de estos.

(v) En el documento Pedido No. 23341 las finalidades para el Tratamiento son muy generales, encontrándose que la única finalidad específica es la de hacer exigible el cumplimiento de la obligación al acreedor que para el caso, es la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN. A su vez, en la Política de Tratamiento de Datos no se preven las finalidades particulares del Tratamiento sino que a grosso modo se describen.

(vi) Los datos de la Titular fueron sometidos a Tratamiento para la gestión de cobro por parte de la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. sin que la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN informara previamente en el documento Pedido No. 23341 que el cobro de cartera podía efectuarse a través de un tercero. (vii) La sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN no contaba con autorización de la Titular para suministrar sus datos personales a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. e indagó sobre información adicional de la Titular que ella no había autorizado para su Tratamiento.

(viii) La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. no estaba autorizada por la Titular para ejercer acciones de gestión de cobro; no obstante, de acuerdo con el acervo probatorio y lo reconocido por esta sociedad, sometió a Tratamiento los datos personales de la Titular, para lo cual, en todo caso, debía adoptar las medidas de seguridad necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos de la Titular.

(ix) Está demostrado que con la carta del 12 de octubre de 2018 la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. contactó al último empleador de la Titular y le informó sobre la obligación adeudada por la Titular, a pesar que ella no suministró los datos de este empleador. Así, la investigada provocó que se usaran y expusieran los datos privados de la Titular, desconociéndose los principios de confidencialidad, acceso y circulación restringida y, seguridad en el Tratamiento de los datos personales de la Titular.

(x) La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., en calidad de Encargada del Tratamiento debe adoptar e implementar unos manuales de políticas y procedimientos de acuerdo con lo previsto en el literal f) del artículo 18 de la Ley 1581 de 2012. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente de TRES MILLONES DOSCIENTOS SESENTA Y SIETE MIL SETECIENTOS VEINTE PESOS M/CTE ($ 3.267.720), equivalente a NOVENTA (90) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del deber previsto en el literal b) del artículo 18 de la Ley 1581 de 2012, en HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” concordancia con el literal f) y g) del artículo 4 de la precitada Ley, a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1.

VIGÉSIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de las sociedades ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, y ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, esta Dirección ha concedido el acceso al presente expediente digital a cada una de estas.

A la primera a través de su liquidadora y a la segunda, por conducto de su representante legal principal, vinculados al correo electrónico de notificación judicial de las sociedades admoncompetitividad@gmail.com y asesoju@gmail.com, respectivamente, quienes deben registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que las sociedades requieran un acceso adicional de consulta del expediente, deberán dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la respectiva sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si las sociedades ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN y ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. consideran estrictamente necesario el acceso del expediente en físico, deberán enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, de TRES MILLONES DOSCIENTOS SESENTA Y SIETE MIL SETECIENTOS VEINTE PESOS M/CTE ($ 3.267.720), equivalente a NOVENTA (90) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del deber previsto en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, NIT. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, que dentro del término de DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a la siguiente instrucción:  La ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN deberá adoptar e implementar las políticas y procedimientos necesarios, pertinentes y útiles HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” para garantizar que personas jurídicas y naturales no autorizadas por los titulares accedan a su información.

PARÁGRAFO PRIMERO: La sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la entidad sin ánimo de lucro.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: ORDENAR a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, que dentro del término de DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones:  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá eliminar toda información personal de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xx.xxx.xxxx, que obre en todas sus bases de datos.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá implementar un mecanismo o medida que le permita verificar que previo al Tratamiento en calidad de Encargado, el Responsable cuenta con la autorización previa, expresa e informada del Titular en los términos previstos en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. como Encargado deberá abstenerse de llevar a cabo Tratamiento de datos personales de los cuales no cuente el Responsable con la autorización previa, expresa e informada por parte del Titular, en los términos de la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.  La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá aprobar e implementar manual(es) de política(s) y procedimiento(s) para: (i) la atención de consultas y reclamos;

(ii) la seguridad de la información y; (iii) la actualización, rectificación o supresión de los datos en términos.

PARÁGRAFO PRIMERO: La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la entidad sin ánimo de lucro.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, acreedora de las sanciones previstas en la ley.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, a través de su liquidadora, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas” el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO SEXTO: COMUNICAR el contenido de la presente resolución al señora xxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xx.xxx.xxxx.

ARTÍCULO SÉPTIMO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 02 SEPTIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.09.02 18:16:03 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Sociedad: ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN Identificación: NIT. 900.477.284-7 Liquidadora: xxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xxxxxxxxxxx Dirección: Carrera 49B No. 91 – 90 Ciudad: Bogotá Correo electrónico: admoncompetitividad@gmail.com Investigada: Sociedad: ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. Identificación: NIT. 901.177.568-1 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xxxxxxxxxxxxx Dirección: Calle 19 No. 6 – 68, oficina 1605 Ciudad: Bogotá Correo electrónico: asesoju@gmail.com COMUNICACIÓN: Señora: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxx