Resolución sancionatoria N° 80023 de 2021

(07 DICIEMBRE 2021) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 19-5267 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 21 de la Ley 1581 de 2012 y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, identificada con Nit. 830.016.046 - 1, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: 1.

El denunciante, el señor XXXX XXXXXXX XX XXXXXX XXXXX asegura que le están llegando “correos masivos CC en los que todo el mundo puede ver las direcciones de los destinatarios” desde la dirección electrónica “XXXXXXXXXXXXXXXXXXXXX” y solicita que sus datos sean retirados de las listas de correo de la sociedad investigada.

SEGUNDO: Que, mediante oficio con radicado N°. 19-5267-2 de fecha 25 de enero de 2019, este Despacho le solicito al denunciante que aclarara los hechos y pretensiones y aportara la copia del reclamo radicado ante la investigada, así como la copia de la respuesta desfavorable.

TERCERO: Que el denunciante allegó comunicación radicada bajo el N°. 19-5267-3 de fecha 2 de febrero del 2019 en la cual reitera el contenido de su denuncia y anexa la lista de receptores del correo de la investigada en los cuales la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN estaba ofertando planes comerciales.

CUARTO: Que este Despacho consultó el registro conocido como “WHOIS” evidenciando que la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN., es la organización registrante del dominio “Avantel.com.co”

QUINTO: Que, con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 28 de junio de 2019 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 24820 de 2019 por medio de la cual se formularon cargos a la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN., por el presunto incumplimiento a las disposiciones contenidas en: (i) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley, y (ii) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem.

La mencionada resolución le fue notificada a la investigada mediante aviso N°. 9394 del 16 de julio del 2019, de conformidad con la certificación de fecha del 14 de agosto del 2019 expedida por la Secretaría General de esta Superintendencia, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se le comunicó esta actuación al denunciante.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N, SEXTO: Que la sociedad investigada aportó escrito de descargos con los siguientes puntos: Inicialmente, realiza un recuento de la actuación administrativa y frente al cargo primero asegura que se trata de la culpa exclusiva de un tercero, así: “Se manifiesta al Despacho que, los hechos materia de investigación no son imputables a Avantel ello en razón a que el correo electrónico mediante el cual se envió el mensaje de datos que alega el quejoso.

Avantel, realizó las validaciones de información pertinentes e idóneas, las cuales arrojaron que el correo XXXXXXXXXXXXXXXXXXXX, estaba vinculado a uno de los contact center que tiene contrato de prestación de servicios contratados por Avantel, esto es la contact center Avanza Colombia S.A.S. (…) Por lo anterior se encontró que, materialmente quien realizaba el uso del correo electrónico XXXXXXXXXXXXXXXXXXXX era la persona Xxxxx Xxxxxxxx Xxxxxxxxx, quien estaba vinculada a la empresa Avanza Colombia S.A.S. Por lo anterior, no cabe duda entonces que cualquier situación referente a los mensajes de datos recibidos o enviados mediante el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxx, en este punto se considera pertinente indicar que el contrato al que se hizo referencia en cuanto a las obligaciones de Avanza Colombia S.A.S. en cuanto al manejo de las normas referentes a Habeas Data [están contenidas en la cláusula 13 del mencionado contrato].

(…) Así las cosas, no cabe duda entonces que Avantel no puede entrar a responder por presuntos incumplimientos en cuanto a las normas de habeas data, presuntamente desplegadas por los aliados comerciales de la compañía no pueden ser imputables a la compañía, así las cosas, de forma clara se encuentra que, en la presente actuación administrativa, existe la ocurrencia del hecho de un tercero, razón por la cual debe archivarse la presente actuación administrativa.”1 Frente al cargo segundo afirma que “si bien el auto de apertura de cargos señala que Avantel no atendió una petición presentada por el usuario respecto de los hechos objeto de investigación, lo cierto es que revisadas las bases de datos tampoco se encontró que la misma hubiera sido radicada ante la compañía, por lo tanto, en cuanto este cargo debe ser a su vez aplicado el principio in dubio pro disciplinado”2.

Además, asegura que “Avantel ha obrado de buena con la SIC y sus usuarios, lo anterior dentro del ejercicio de sus relaciones legales y contractuales, esto es actuado con la lealtad y diligencia debida para esclarecer hechos que no le son jurídicamente imputables, motivo por el cual es claro que lo procedente en la presente actuación administrativa es ordenar su archivo”3.

Por otro lado, asevera que “[t]eniendo en cuenta lo narrado anteriormente y a su vez, se encuentra que no existe prueba fehaciente que demuestre que fue por parte de Avantel, el solo hecho de que en la página WHOIS.CO aparezca que dominio de “Avantel.com.co”, no implica que pueda imputarse los hechos investigados a Avantel, situación que conlleva a inferir que existe duda respecto que Avantel, fuera quien ejecutó el hecho objeto de investigación, lo que implica que para este caso debe aplicarse el principio in dubio pro disciplinado.”4 Finalmente, solicita al Despacho que se sirva a revocar el acto administrativo recurrido, por los argumentos de hecho y de derecho que se expusieron en este escrito y como consecuencia de ello se archive la presente actuación administrativa.

SÉPTIMO: Que, este Despacho advirtió que la Resolución N°. 24820 del 28 de junio de 2019 no se le comunicó al denunciante a raíz de un error de digitación. Escrito de descargos, radicado 19-5267-13-1, páginas 3 a 6 Escrito de descargos, radicado 19-5267-13-1, página 6 Ibidem Escrito de descargos, radicado 19-5267-13-1, páginas 6 y 7 HOJA N, “Por la cual se impone una sanción y se imparten órdenes administrativas” En virtud de ello, se expidió la Resolución N°. 36963 del 15 de agosto del 2019, la cual forma parte integral de la Resolución N°. 24820 del 28 de junio de 2019.

OCTAVO: Que, de conformidad con la certificación5 expedida por la Secretaria General, se le comunicó a la investigada y al denunciante la Resolución N°. 36963 del 15 de agosto del 2019 para garantizar el mandato contenido en los artículos 376 y 387 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo), y salvaguardar el derecho al debido proceso.

NOVENO: Que mediante la Resolución N°. 49220 del 25 de septiembre de 2019, este Despacho incorporó las pruebas obrantes en el expediente, así: 9.1 Denuncia realizada por el Titular, señor XXXX XXXXXXX XX XXXXXX XXXXX 9.2 Solicitud de aclaración de los hechos materia de denuncia, las pretensiones de la queja, la copia del reclamo radicado ante el responsable, copia de la respuesta desfavorable o la afirmación de que la petición no ha sido atendida en el término de quince (15) días hábiles e informe el número de cédula de ciudadanía. 9.3 Aclaración de la queja conforme a lo solicitado por este Despacho, radicada por el señor XXXX XXXXXXX XX XXXXXX XXXXX, junto con sus respectivos anexos. 9.4 Remisión por correo electrónico del escrito de descargos y las pruebas aportadas con radicado 19-5267-13-1 de fecha 5 de agosto de 2019. 9.4.1 Certificado de Existencia y Representación Legal de fecha 3 de julio de 2019, donde figura como representante legal el señor Ignacio Román Vila, en calidad de Presidente y la señora Paula Guerra Tamara, como segunda suplente del Presidente. 9.4.2 Comunicación de la investigada, fechada el 6 de marzo de 2019, en la cual notifica a su Contact Center, AVANZA COLOMBIA SAS sobre la terminación del contrato de prestación de servicios celebrado entre las partes. 9.4.3 Copia del contrato de prestación de servicios con anexos N°. 2017-00301 celebrado entre las sociedades AVANTEL S.A.S. – EN REORGANIZACIÓN y su Contact Center AVANZA COLOMBIA SAS 9.4.4 Otrosí N°. 1 al contrato de prestación de servicios con anexos N°. 2017-00301 celebrado entre las sociedades AVANTEL S.A.S. – EN REORGANIZACIÓN y su Contact Center AVANZA COLOMBIA SAS 9.4.5 Escrito de descargos 9.4.6 Remisión por correo electrónico de los estados financieros de los años 2017 y 2018, con radicados 19-5267-14-1 y 19-5267-15-1 de fecha 5 de agosto de 2019. 5 Radicado N° 19-5267-21 del 5 de septiembre de 2019 ARTÍCULO

37. DEBER DE COMUNICAR LAS ACTUACIONES ADMINISTRATIVAS A TERCEROS. Cuando en una actuación administrativa de contenido particular y concreto la autoridad advierta que terceras personas puedan resultar directamente afectadas por la decisión, les comunicará la existencia de la actuación, el objeto de la misma y el nombre del peticionario, si lo hubiere, para que puedan constituirse como parte y hacer valer sus derechos.

La comunicación se remitirá a la dirección o correo electrónico que se conozca si no hay otro medio más eficaz. De no ser posible dicha comunicación, o tratándose de terceros indeterminados, la información se divulgará a través de un medio masivo de comunicación nacional o local, según el caso, o a través de cualquier otro mecanismo eficaz, habida cuenta de las condiciones de los posibles interesados.

De tales actuaciones se dejará constancia escrita en el expediente.

ARTÍCULO

38. INTERVENCIÓN DE TERCEROS. Los terceros podrán intervenir en las actuaciones administrativas con los mismos derechos, deberes y responsabilidades de quienes son parte interesada, en los siguientes casos: 1. Cuando hayan promovido la actuación administrativa sancionatoria en calidad de denunciantes, resulten afectados con la conducta por la cual se adelanta la investigación, o estén en capacidad de aportar pruebas que contribuyan a dilucidar los hechos materia de la misma. 2.

Cuando sus derechos o su situación jurídica puedan resultar afectados con la actuación administrativa adelantada en interés particular, o cuando la decisión que sobre ella recaiga pueda ocasionarles perjuicios. 3. Cuando la actuación haya sido iniciada en interés general.

PARÁGRAFO. La petición deberá reunir los requisitos previstos en el artículo 16 y en ella se indicará cuál es el interés de participar en la actuación y se allegarán o solicitarán las pruebas que el interesado pretenda hacer valer. La autoridad que la tramita la resolverá de plano y contra esta decisión no procederá recurso alguno. HOJA N, “Por la cual se impone una sanción y se imparten órdenes administrativas” Igualmente, mediante el mencionado acto administrativo, se decretó de oficio la práctica de la siguiente prueba: “Requerir a la sociedad AVANZA COLOMBIA S.A.S. para que informe si el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx pertenece a un trabajador suyo, al igual que el uso dado a dicho correo electrónico.

En tal caso, se sirva aportar copia del contrato celebrado entre dicha sociedad y el mencionado trabajador. La sociedad AVANTEL S.A.S. deberá informar a esta Dirección lo siguiente: 1. Se sirva informar si retiró al señor XXXX XXXXXXX XX XXXXXX XXXXX de sus listas de correo electrónico. En caso afirmativo, se sirva aportar la prueba que acredite técnicamente la supresión de la información del señor XXXX XXXXXXX XX XXXXXX XXXXX en la cual, además, se evidencie la fecha exacta de supresión de la información referida. 2.

Se sirva aportar copia del Manual de Peticiones, Quejas y Reclamos implementado para la fecha de los hechos, y/o la copia del procedimiento interno de manejo y atención de Manual de Peticiones, Quejas y Reclamos. 3. Se sirva señalar el trámite interno dado a la queja remitida mediante el correo electrónico XXXXXXXXXXXXXXXXX, radicada por el señor XXXX XXXXXXX XX XXXXXX XXXXX el 11 de enero de 2019 a la dirección de correo electrónico:xxxxxxxxxxxxxxxxxxxxxx. 4.

Se sirva indicar si realiza alguna capacitación a sus trabajadores respecto de la recepción y atención oportuna, acorde con su Manual y Procedimientos, a las quejas y solicitudes radicadas por los Titulares que sean recibidas por la compañía mediante sus correos electrónicos. En caso afirmativo, se sirva aportar la documentación que acredite lo anterior.” La mencionada resolución le fue comunicada a la investigada en fecha 26 de septiembre de 2019 de conformidad con la certificación de fecha del 24 de octubre del 2019 expedida por la Secretaría General de esta Superintendencia.

DÉCIMO: Que la empresa AVANTEL S.A.S. – EN REORGANIZACIÓN allegó respuesta radicada bajo el N°. 19-5267-30-1 de fecha 1 de octubre de 2019 a lo solicitado en la Resolución N°. 49220 del 25 de septiembre de 2019, en la cual afirma que validó en sus bases de datos y que no cuenta con información del Titular y que “a quien le compete realizar trámites internos es a la empresa AVANZA COLOMBIA, ya que Avantel suscribió un contrato de prestación de servicios con esta compañía (…)”.

DÉCIMO PRIMERO: Que, a través del Grupo de Trabajo de Investigaciones Administrativas, este Despacho requirió por medio del oficio 19-5267-31-1 de fecha 4 de octubre de 2019 a la empresa AVANZA COLOMBIA S.A.S. con el fin de que la misma contestara el requerimiento realizado por medio de la Resolución N°. 49220 del 25 de septiembre de 2019.

DÉCIMO SEGUNDO: Que la referida sociedad AVANZA COLOMBIA S.A.S., por intermedio de su apoderado general, radicó respuesta con radicado N°. 19-5267-35-1 en fecha 11 de octubre de 2019 aduciendo que los trabajadores de dicha compañía utilizan el correo electrónico corporativo, el cual se describe con el nombre “(…) @avanzasa.com (…)”.

DÉCIMO TERCERO: Que mediante oficio con radicado N°. 19-5267-37 de fecha 12 de noviembre de 2019, este Despacho le corrió traslado a la investigada por el término de diez (10) días hábiles para que la misma, si lo considerase pertinente, aportara escrito de alegatos de conclusión.

DÉCIMO CUARTO: Que mediante comunicación de fecha 18 de diciembre de 2019 bajo los radicados N°. 19-5267-38-1 y 19-5267-39-1, el denunciante reiteró que la sociedad investigada no había borrado su correo electrónico de sus bases de datos. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N, DÉCIMO QUINTO: Que la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN guardó silencio frente a la oportunidad procesal para aportar alegatos de conclusión.

DÉCIMO SEXTO: Que mediante Resolución N°. 31330 del 25 de junio del 2020 este Despacho decidió reaperturar el periodo probatorio al considerar que no contaba con los elementos probatorios suficientes para decidir sobre el presunto incumplimiento de los deberes imputados a la investigada, y por lo tanto se decretó de oficio la práctica de la siguiente prueba:  “Requerir a la sociedad “.CO Internet S.A.S.”, identificada con Nit. 900.308.815 - 4, en su calidad de administrador de la operación técnica del ccTLD.CO, a fin de que la misma suministre la siguiente información: i. ii. iii. el nombre del Registrante/Titular del siguiente dominio “@avantel.com.co”; la fecha en que se efectuó tal registro; y el nombre de la sociedad responsable del uso y administración de dicho dominio.” La mencionada resolución le fue comunicada a la investigada en fecha 2 de julio de 2020 de conformidad con la certificación de fecha del 10 de agosto del 2020 expedida por la Secretaría General de esta Superintendencia.

DÉCIMO SÉPTIMO: Que a través del Grupo de Trabajo de Investigaciones Administrativas, este Despacho requirió por medio del oficio 19-5267-44 de fecha 25 de agosto del 2020 a la empresa “.CO Internet S.A.S.” con el fin de que la misma contestara el requerimiento realizado por medio de la Resolución N°. 31330 del 25 de junio del 2020.

DÉCIMO OCTAVO: Que mediante comunicación radicada bajo el N°. 19-5267-45-1 de fecha 28 de agosto del 2020, la sociedad “.CO Internet S.A.S.” aportó respuesta a la comunicación enviada por este Despacho.

DÉCIMO NOVENO: Que mediante oficio con radicado N°. 19-5267-46 de fecha 21 de septiembre de 2020, este Despacho le corrió traslado a la investigada por el término de diez (10) días hábiles para que la misma, si lo considerase pertinente, aportara escrito de alegatos de conclusión.

VIGÉSIMO: Que la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN nuevamente guardó silencio frente a la oportunidad procesal para aportar alegatos de conclusión.

VIGÉSIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

VIGÉSIMO SEGUNDO: Análisis del caso 22.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20118, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N, incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a a) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley, y b) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en el escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 22.2 Valoración probatoria y conclusiones 22.2.1 Consideraciones preliminares La Ley 1581 de 2012 define al Responsable del tratamiento como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la bases de datos y/o el Tratamiento de estos”, imponiéndole las obligaciones contempladas en el artículo 17 del cuerpo normativo en cita.

Respecto de las calidades de Responsable y Encargado la Corte Constitucional mediante sentencia C- 748 de 2011, manifestó lo siguiente: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.

Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos (…) Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.

Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.

Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera. De otro lado, el criterio de delegación coincide con el término “por cuenta de” utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato.

Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.

Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsable señala a la otra –el encargado- como quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados.

Volvamos al ejemplo de la historia clínica, en el que la institución de salud contrata con una compañía el procesamiento de las historias para que con un programa especial que puede determinar el responsable o la empresa contratada, le organice la información contenida en ellas, siguiendo las indicaciones que establece el hospital. En este caso, “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N, el encargado del tratamiento de los datos es la persona jurídica que se contrata para el procesamiento de las hojas de vida.

(Negrilla fuera del texto original) Dado lo anterior, la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN obra como Responsable del Tratamiento de los datos personales del señor XXXX XXXXXXX XX XXXXXX XXXXX y de los demás Titulares de la información vinculados a las bases de datos de la compañía, en tanto determina los fines y los medios del tratamiento al cual serán sometidos los datos personales de los Titulares.

Por lo tanto, le corresponde cumplir con los deberes dispuestos en el artículo 17 de la Ley Estatutaria 1581 de 2012. Por otra parte, los argumentos esgrimidos por la sociedad investigada en torno a que el tratamiento de los datos es atribuible de manera exclusiva a un tercero, con quien sostuvo una relación comercial, carecen de fundamento y resultan contrarios a la estipulación consagrada en la cláusula décimo tercera del contrato de prestación de servicios número 2017-000301 suscrito entre la sociedad AVANZA COLOMBIA S.A.S y la sociedad investigada en el mes de octubre de 2017, la cual señala lo siguiente: “13 Cláusula 13°: Protección de Datos y Manejo de la Información Avantel declara que respecto de los archivos a los que el Contratista tendrá acceso como consecuencia del desarrollo del contrato, ha cumplido con todos los requisitos y formalidades exigidos por las leyes aplicables, en materia de Habeas Data y Derecho a la información. Así mismo Avantel, en calidad de Responsable del Tratamiento, declara que ha obtenido todas las licencias, permisos y autorizaciones necesarias de los titulares de la información suministrada a el Contratista para el desarrollo del contrato, y que cuenta con una Política de Tratamiento de Datos conforme lo dispuesto en la Ley 1581 de 2012 y Decreto 1377 de 2013, así como que ha efectuado todos los registros que está obligado a realizar de acuerdo con la normativa relativa a la protección de datos de carácter personal, al objeto de cumplir las obligaciones previstas en este Contrato, por lo cual el Contratista no será responsable de cualquier infracción a la normatividad sobre la materia que se origine en un incumplimiento, pero sí será responsable del buen manejo, confidencialidad y reserva de los datos que Avantel le suministre o a aquellos a que tenga acceso.

Con el fin de poder prestar a Avantel los Servicios, el Contratista deberá tratar datos de carácter personal contenidos en archivos de Avantel en nombre y por cuenta de éste, asumiendo la consideración de Encargado del Tratamiento. El Contratista, como encargado del tratamiento, se compromete a: Tratar los datos personales incluidos en los archivos de Avantel siguiendo, en todo momento, las instrucciones que el Contratista reciba de éste, y no aplicar o utilizar dichos datos con fin distinto al previsto en el objeto de este contrato.

Teniendo en cuenta que el Contratista realizará el tratamiento de los archivos en sus instalaciones, el Contratista se compromete a implantar los procedimientos y medidas de seguridad que se encuentran determinadas en las leyes aplicables. El Contratista conoce que estas medidas de seguridad tienen el carácter de mínimo exigible y que está autorizado a implantar cualesquiera otras medidas de seguridad adicionales para garantizar la seguridad de la información tratada.

Permitir acceso a dicha información y/o material únicamente a las personas directamente sometidas al Contrato que tengan necesidad de conocer dicha información para la realización de los servicios encomendados a el Contratista y que necesariamente deberán asumir las obligaciones que aquí se contienen, al igual que comprometerse a no divulgarla, ni en todo ni en parte, a ninguna persona que no tenga necesidad de acceder a su conocimiento, debiendo respetar su deber de secreto.

En los supuestos en los que el Contratista deba recabar nuevos datos personales directamente de los afectados para poder prestar los servicios a Avantel, esta obtención de datos se realizará en nombre y por cuenta de ésta, resultando Avantel responsable de tales datos, siempre y cuando Avantel autorice al Contratista por medio escrito, debidamente firmado por las Partes.

Las Partes serán responsables cada una, de los daños causados, entendiendo por daños las pérdidas, daños, gastos de cualquier naturaleza (incluyendo honorarios y desembolsos de abogados, contables y expertos), sanciones, medidas coercitivas, multas y otras cantidades, cuando tales daños se deriven de la actuación u omisión culpable o negligente imputable a alguna de las Partes respecto del incumplimiento de las obligaciones impuestas por la ley aplicable en materia de Habeas Data y Derecho a la información. El Contratista se obliga a almacenar toda la información generada, bases de datos, grabaciones de las llamadas, copias del chat, etc., de manera codificada identificando el cliente o prospecto, “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N, mes, día, hora de la gestión y resultado de la gestión. El Contratista debe almacenar esta información siguiendo los protocolos de seguridad establecidos por la industria y las leyes aplicables.

El Contratista debe implementar una solución para que Avantel consulte esta información de forma remota. El Contratista se obliga a almacenar esta información por 1 año o según la ley lo indique, mientras el contrato este vigente, y se obliga a entregar la información a Avantel en medio magnético una vez el contrato termine, garantizando que la información es entregada a Avantel en su totalidad codificada identificando el cliente o prospecto, mes día, hora de gestión y resultado de la gestión.” Frente a lo anterior, para este Despacho resulta muy grave la afirmación de la investigada acerca de que un tercero deba asumir la responsabilidad por las infracciones cometidas, no solamente en abierta contravención a lo pactado entre las partes sino en abierta vulneración de la Ley Estatutaria 1581 de 2012 y demás normas concordantes.

En este punto, este Despacho se sirve traer a colación los pronunciamientos de la Corte Constitucional y de la Corte Suprema de Justicia relativos a la responsabilidad del representante legal ante el régimen de culpabilidad consagrado en el régimen comercial. Sobre la responsabilidad del representante legal, la Corte Constitucional se pronunció en sentencia C 123 del 20069, cuando conceptuó que: “(…) 3.

La responsabilidad de los administradores. Constitucionalidad de la presunción de culpa establecida para los casos contemplados en el artículo 24 de la Ley 222 de 1995 Debe la Corte recordar en primer lugar, que con la expedición de la Ley 222 de 1995, se modificó el libro segundo del Código de Comercio referente a las sociedades comerciales, como también se expidió un nuevo régimen de procesos concursales, y se dictaron otras disposiciones sobre esta materia.

Al respecto de la nueva regulación de las sociedades, tuvo como fin el legislador adaptarla a las nuevas circunstancias del país, especialmente a los nuevos principios que introdujo la Constitución de 1991, que modifican el papel del Estado y el modelo económico, así como las funciones de sus distintos estamentos, lo que a su vez cambia la orientación en cuanto a su función e intervención en la órbita de los particulares, a fin de que éstos puedan participar de manera ágil en las distintas fases de la actividad económica; y, para que la empresa, como base del desarrollo, pueda cumplir adecuadamente la función social que se le encomendó10.

Y, en relación con los administradores, dada la importante labor que desempeñan, por los inmensos poderes que hoy en día detentan, consideró necesario el legislador someterlos a un estricto código de conducta, para lo cual se precisó el marco general de sus actividades, sus funciones y responsabilidad, estableciendo, además, normas que agilizaran y facilitaran las consecuentes acciones para el establecimiento de dicha responsabilidad.

Así lo recordó el legislador durante el trámite legislativo de la Ley 222 de 1995, cuando señaló en la ponencia para segundo debate en la Cámara de Representantes que: “La necesidad de abandonar los modelos tradicionales de responsabilidad referidos al buen padre de familia, que hoy resultan disueltos, para acoger como nuevo patrón el del correcto y leal empresario, ha llevado a proponer un acápite sobre administradores.

Una mejor protección del crédito, del público, de los trabajadores y de los mismos socios hace indispensable detallar y precisar las funciones y responsabilidades de los administradores así como las consecuentes acciones de responsabilidad, puesto que es claro que tales funcionarios detentan hoy inmensos poderes y adoptan decisiones de profundas implicaciones sociales, que como es de esperar deben ceñirse a un estricto código de conducta, que resulta concordante con las normas de rendición de cuentas previstas en el capítulo de estados financieros.

(…) Confiamos que con estas nuevas disposiciones no sea difícil, como hasta ahora, establecer las responsabilidades de los administradores y lograr el reconocimiento de las respectivas indemnizaciones, con la seguridad que a los buenos administradores el régimen no les impone obligaciones distintas de las que ya tienen.” (Subrayas fuera del texto).11 En efecto, en el Libro I de la Ley 222 de 1995, se estableció el Régimen de Sociedades, y en el Capítulo IV, de los Órganos Sociales, se consagra en la Sección II lo referente a los administradores Cfr. Corte Constitucional, sentencia C 123 del 2006, M.P.: Clara Inés Vargas Hernández Gaceta del Congreso No. 381 de 4 de noviembre de 1993, exposición de motivos al proyecto de ley que culminó con la expedición de la Ley 222 de 1995.

Ver Gaceta del Congreso No. 61 del 25 de abril de 1995. Pag. 4 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N, (artículos 22 al 25), señalando quienes tienen esta calidad, sus deberes y responsabilidades, y lo relacionado con la acción social de responsabilidad contra éstos. En efecto, el art. 22 de la citada ley, indica que son administradores el representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes conforme a los estatutos ejerzan o detenten dichas funciones.

Así mismo, respecto de la conducta de los administradores, el art. 23 de la ley, señala que deben obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios, así como que sus actuaciones se cumplirán en interés de la sociedad y observando los intereses de sus asociados. Además, de manera específica se establecen, los deberes de los administradores en el cumplimiento de su función así: “En el cumplimiento de su función los administradores deberán: 1.

Realizar los esfuerzos conducentes al adecuado desarrollo del objeto social. 2. Velar por el estricto cumplimiento de las disposiciones legales o estatutarias. 3. Velar porque se permita la adecuada realización de las funciones encomendadas a la Revisoría Fiscal. 4. Guardar y proteger la reserva comercial e industrial de la sociedad. 5. Abstenerse de utilizar indebidamente información privilegiada. 6.

Dar un trato equitativo a todos los socios y respetar el ejercicio del derecho de inspección de todos ellos. 7. Abstenerse de participar por sí o por interpuesta persona en interés personal o de terceros, en actividades que impliquen competencia con la sociedad o en actos respecto de los cuales exista conflicto de intereses, salvo autorización expresa de la junta de socios o asamblea general de accionistas.

En estos casos, el administrador suministrará al órgano social correspondiente toda la información que sea relevante para la toma de la decisión. De la respectiva determinación deberá excluirse el voto del administrador, si fuera socio. En todo caso, la autorización de la junta de socios o asamblea general de accionistas sólo podrá otorgarse cuando el acto no perjudique los intereses de la sociedad.” Por su parte, el artículo 24 de la mencionada ley, consagra la responsabilidad solidaria e ilimitada de los administradores por los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros, a la que no estarán sujetos los que no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

Además, se establece la presunción de culpabilidad para ciertos casos expresamente mencionados, de los cuales se ocupará esta providencia más adelante. Finalmente, el artículo 25 de la citada ley, consagra la acción social de responsabilidad contra los administradores, señalando expresamente que: “ACCION SOCIAL DE RESPONSABILIDAD. La acción social de responsabilidad contra los administradores corresponde a la compañía, previa decisión de la asamblea general o de la junta de socios, que podrá ser adoptada aunque no conste en el orden del día. En este caso, la convocatoria podrá realizarse por un número de socios que represente por lo menos el veinte por ciento de las acciones, cuotas o partes de interés en que se halle dividido el capital social.

La decisión se tomará por la mitad más una de las acciones, cuotas o partes de interés representadas en la reunión e implicará la remoción del administrador. Sin embargo, cuando adoptada la decisión por la asamblea o junta de socios, no se inicie la acción social de responsabilidad dentro de los tres meses siguientes, ésta podrá ser ejercida por cualquier administrador, el revisor fiscal o por cualquiera de los socios en interés de la sociedad.

En este caso los acreedores que representen por lo menos el cincuenta por ciento del pasivo externo de la sociedad, podrán ejercer la acción social siempre y cuando el patrimonio de la sociedad no sea suficiente para satisfacer sus créditos. Lo dispuesto en este artículo se entenderá sin perjuicio de los derechos individuales que correspondan a los socios y a terceros.” Puede concluir la Corte, que en materia de sociedades, dada la importante labor que desempeñan sus administradores, en razón a la gran responsabilidad que asumen y la repercusión que sus actuaciones pueden tener en el desarrollo social, ha sido la ley la que les ha impuesto de manera general a éstos, ejercer sus funciones con sujeción a los principios de lealtad y buena fe, así como actuar con la diligencia de un buen hombre de negocios, en interés de la “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 10, sociedad y teniendo en cuenta los intereses de sus asociados.

En tal medida, la actuación de los administradores debe ir más allá de la diligencia común y corriente, pues su gestión profesional de carácter comercial debe orientarse al cumplimiento de las metas propuestas por la sociedad. Cabe recordar, que la Ley 222 de 1995, impuso a los administradores un grado de diligencia y prudencia superiores a la mediana que hasta entonces tenían12, la de un buen padre de familia, pues ahora deberán actuar con la diligencia propia de un buen hombre de negocios, es decir, con la que pondría un comerciante normal en sus propios asuntos, lo que supone una mayor exigencia en la administración de los asuntos propios de la sociedad.

Dicho marco general anotado, así como las reglas específicas que imponen deberes a los administradores, se complementan en la citada Ley 222, con las normas relativas a la responsabilidad solidaria e ilimitada en que éstos pueden incurrir por los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. Responsabilidad en la que se presumirá la culpa del administrador en los casos de incumplimiento o extralimitación de funciones, violación de la ley o de los estatutos, o cuando hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

(…) En relación con las presunciones, ha considerado esta Corporación13 con fundamento en lo previsto en el artículo 66 del Código Civil14, que éstas pueden ser de derecho o juris et de jure y simplemente legales o juris tantum. Además, que es un asunto que toca de lleno con el aspecto probatorio de determinado supuesto de hecho. En efecto, en el caso de las presunciones simplemente legales y de derecho, al probarse los antecedentes o circunstancias conocidos, resulta probado el hecho al cual se refiere la presunción. Así pues, a quien favorece una presunción solo corresponde demostrar estos antecedentes o circunstancias y la ley infiere de ellos la existencia del hecho presumido y del derecho subsiguiente, correspondiéndole a la parte que se opone demostrar la inexistencia del hecho que se presume o de los antecedentes o circunstancias de donde se infirió, si la presunción es simplemente legal, o solamente la inexistencia de éstos últimos, si la presunción es de derecho.

(…) En el caso que nos ocupa, cabe recordar que el legislador consagró la presunción de culpa del administrador solamente para cuando ésta se origine por incumplimiento o extralimitación de funciones, violación de la ley o de los estatutos, y para cuando hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas correspondientes.

Al respecto de la presunción de culpa consagrada para los casos citados, coincide la Corte con la Vista Fiscal en cuanto a que se trata de presunciones simplemente legales, conclusión a la que se llega analizando el contenido mismo del artículo que las contiene, en el que no se hizo la consagración expresa de tratarse de aquellas de derecho; por el contrario, después de sentarse la regla general de que los administradores responderán solidaria e ilimitadamente de los perjuicios que por el dolo o culpa ocasionen a la sociedad a los socios o a terceros, se dispuso la posibilidad expresa de prueba en contrario al consagrarse, que no estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

(…) En el caso concreto, en el que se presume la culpa de los administradores por incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, y cuando hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia, éstos tiene la posibilidad de desvirtuar la presunción probando que cumplieron con sus funciones o no se extralimitaron en ellas, que no violaron la ley o los estatutos, o que no tuvieron conocimiento de la acción o la omisión, o votaron en contra de la decisión o no la ejecutaron.

(…)” El artículo 200 del Código de Comercio, sin las modificaciones introducidas por la Ley 222 de 1995 consagraba: Los administradores responderán de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. Al respecto de la modificación a éste artículo ver comentario, OSPINA FERNÁNDEZ Guillermo. Teoría general de los actos o negocios jurídicos, vol. 2.

Editorial Temis, Bogotá, 1983, pág. 332 Sentencia C-238 de 1997 M.P. Vladimiro Naranjo Mesa Código Civil, art. 66: “Se dice presumirse el hecho que se deduce de ciertos antecedentes o circunstancias conocidas. Si estos antecedentes o circunstancias que dan motivo a la presunción son determinados por la ley, la presunción se llama legal. Se permitirá probar la no existencia del hecho que legalmente se presume, aunque sean ciertos los antecedentes o circunstancias de que lo infiere la ley, a menos que la misma ley rechace expresamente esta prueba, supuestos los antecedentes o circunstancias.

Si una cosa, según la expresión de la ley, se presume de derecho, se entiende que es inadmisible la prueba contraria, supuestos los antecedentes o circunstancias”. HOJA N 11, “Por la cual se impone una sanción y se imparten órdenes administrativas” Ahora bien, conforme a lo señalado en los extractos jurisprudenciales en cita y a los estipulado en la Ley 222 de 1995, las afirmaciones realizadas por la sociedad investigada en lo corrido de la presente actuación administrativa van en contravía de la responsabilidad social exigible al representante legal de la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, más aun cuando el contratista de la investigada actuara por cuenta de esta, asumiendo la calidad de Encargado del Tratamiento; figura legal, que según la legislación aplicable, es definida como aquella que ostenta una sociedad para actuar por cuenta de otra, es decir, del Responsable. 22.2.2 Respecto del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data El literal a) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. (…)”. Relacionado con dicho deber, se encuentra el principio de seguridad dispuesto en el literal g) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” (Subrayado fuera del texto original). Al respecto de dicho principio, la Corte Constitucional en la sentencia C-748 del 2011 señaló lo siguiente: “(…) 2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de protección reforzadas, en razón al manejo de datos reservados. En el año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los Servicios de Redes Sociales” o “SRS debe protegerse la información del perfil en el usuario mediante el establecimiento de “parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos”.[241] “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 12, Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.

(…)”. (Negrilla fuera del texto original) (Negrilla fuera del texto original) En este sentido, esta Dirección encontró, en etapa preliminar, que la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN remitió un correo electrónico a múltiples destinatarios, sin tomar las medidas de seguridad necesarias para que las direcciones de correo de los Titulares hacia quienes iba dirigida la información no estuvieran a la vista de cada una de las personas que recibieron el mensaje de datos en mención, es decir, abriendo la posibilidad para que los mismos fueran usados por parte de terceros no autorizados.

En cuanto al primer cargo, la investigada asegura que los hechos del caso tratan de la culpa exclusiva de un tercero, así: “Se manifiesta al Despacho que, los hechos materia de investigación no son imputables a Avantel ello en razón a que el correo electrónico mediante el cual se envió el mensaje de datos que alega el quejoso. Avantel, realizó las validaciones de información pertinentes e idóneas, las cuales arrojaron que el correo xxxxxxxxxxxxxxxxxxxxxxxxxx, estaba vinculado a uno de los contact center que tiene contrato de prestación de servicios contratados por Avantel, esto es la contact center Avanza Colombia S.A.S. (…) Por lo anterior se encontró que, materialmente quien realizaba el uso del correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxx era la persona Xxxxx Xxxxxxxx Xxxxxxxxxx, quien estaba vinculada a la empresa Avanza Colombia S.A.S. Por lo anterior, no cabe duda entonces que cualquier situación referente a los mensajes de datos recibidos o enviados mediante el correo electrónico xxxxxxxxxxxxxxxxxxxxx, en este punto se considera pertinente indicar que el contrato al que se hizo referencia en cuanto a las obligaciones de Avanza Colombia S.A.S. en cuanto al manejo de las normas referentes a Habeas Data [están contenidas en la cláusula 13 del mencionado contrato].

(…) Así las cosas, no cabe duda entonces que Avantel no puede entrar a responder por presuntos incumplimientos en cuanto a las normas de habeas data, presuntamente desplegadas por los aliados comerciales de la compañía no pueden ser imputables a la compañía, así las cosas, de forma clara se encuentra que, en la presente actuación administrativa, existe la ocurrencia del hecho de un tercero, razón por la cual debe archivarse la presente actuación administrativa.”15 Aunado a ello, afirma que “[t]eniendo en cuenta lo narrado anteriormente y a su vez, se encuentra que no existe prueba fehaciente que demuestre que fue por parte de Avantel, el solo hecho de que en la página WHOIS.CO aparezca que dominio de “Avantel.com.co”, no implica que pueda imputarse los hechos investigados a Avantel, situación que conlleva a inferir que existe duda respecto que Avantel, fuera quien ejecutó el hecho objeto de investigación, lo que implica que para este caso debe aplicarse el principio in dubio pro disciplinado.”16 Ahora bien, revisado el acervo probatorio que obra en el expediente se observa lo siguiente: El quejoso señaló en su denuncia que la investigada le envió un correo en el cual se pueden apreciar las direcciones de los destinatarios; situación que es visible de acuerdo con el anexo de la queja que se copia como imagen, así: Escrito de descargos, radicado 19-5267-13-1, páginas 3 a 6 Escrito de descargos, radicado 19-5267-13-1, páginas 6 y 7 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 13, Adicionalmente, se encuentra que este Despacho consultó el registro conocido como “WHOIS” evidenciando que la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, es la organización registrante del dominio “Avantel.com.co” En este punto es importante aclarar que la consulta al registro conocido como “WHOIS.CO” se realiza para apoyarse en dicha herramienta para buscar información sobre un nombre de dominio; es decir, para determinar quién administra y es responsable del funcionamiento de dicho dominio17, ya que la importancia de este nombre radica en que es la medio único para identificar una página web.

En términos técnicos, “El protocolo de WHOIS es un Protocolo de Control de Transmisión (TCP), o protocolo de consulta/respuesta orientado a transacciones, que se utiliza para brindar servicios de información a los usuarios de Internet.”18 Por otro lado, la investigada aportó la copia del contrato de prestación de servicios que celebró con la sociedad AVANZA COLOMBIA S.A.S.; en dicho contrato está claramente establecido, de acuerdo con la cláusula decimo tercera del mismo, que: “Clausula 13°: Protección de Datos y Manejo de la información Avantel declara que respecto de los archivos a los que el Contratista [Avanza Colombia SAS] tendrá acceso como consecuencia del desarrollo del contrato, ha cumplido con todos los requisitos y formalidades exigidos por las leyes aplicables (…) Así mismo Avantel, en calidad de Responsable del Tratamiento, declara que ha obtenido todas las licencias, permisos y autorizaciones necesarias de los titulares de la información suministrada a el Contratista para el desarrollo del contrato, y que cuenta con una Política de Tratamiento de Datos conforme a lo dispuesto en la Ley 1581 de 2012 y Decreto 1377 de 2013, así como ha efectuado todos los registros que está obligado a realizar de acuerdo con la normativa relativa en este Contrato, por lo cual el Contratista no será responsable de cualquier infracción a la normatividad sobre la Definición de Whois, disponible en: https://techterms.com/definition/whois Para claridad técnica, consultar la siguiente página web: https://whois.icann.org/es/descripci%C3%B3n-t%C3%A9cnica HOJA N 14, “Por la cual se impone una sanción y se imparten órdenes administrativas” materia que se origine en un incumplimiento, pero si será responsable del buen manejo, confidencialidad y reserva de los datos que Avantel le suministre o a aquellos a que tenga acceso.” Aunado a ello, obra dentro del expediente el requerimiento de este Despacho por medio del oficio 19-5267-31-1 de fecha 4 de octubre de 2019 a la empresa AVANZA COLOMBIA S.A.S. con el fin de que la misma contestara el requerimiento realizado por medio de la Resolución N°. 49220 del 25 de septiembre de 2019.

Por su parte, la sociedad AVANZA COLOMBIA S.A.S., por intermedio de su apoderado general, radicó respuesta con radicado N°. 19-5267-35-1 en fecha 11 de octubre de 2019 aduciendo que los trabajadores de dicha compañía utilizan el correo electrónico corporativo, el cual se describe con el nombre “(…) @avanzasa.com (…)”. Finalmente, obra en el expediente el requerimiento N°. 19-5267-44 de fecha 25 de agosto del 2020 realizado a la sociedad “.CO Internet S.A.S.”, para que la misma en su calidad de administrador de la operación técnica del ccTLD de nombre ‘.CO’, suministrase a este Despacho la siguiente información: “(…) i. ii. iii. el nombre del Registrante/Titular del siguiente dominio “@avantel.com.co”; la fecha en que se efectuó tal registro; y el nombre de la sociedad responsable del uso y administración de dicho dominio.

(…)” Ante el requerimiento en cita, la sociedad “.CO Internet S.A.S.” contestó mediante comunicación con radicado 19-5267--45-1 de fecha 28 de agosto del 2020 lo siguiente: Ahora bien, en cuanto a la importancia del administrador/operador de la operación técnica del ccTLD de nombre ‘.CO’, el artículo séptimo de la Resolución 161 5 de febrero del 2020, expedida por el Ministerio de Tecnologías de la Información y las Comunicaciones – MINTIC19, señala las siguientes funciones sobre el operador y/o administrador en la administración del dominio ‘.CO’ así: “7.2.

Operador del Registro: persona natural, jurídica, consorcio o unión temporal contratado por el MinTIC, que tendrá la condición de contacto técnico para el ccTLD.co ante ICANN. Tendrá las siguientes responsabilidades: 7.2.1. Prestar los Servicios de Registro. 7.2.2. La comercialización, a través de los Registradores, del Dominio de Primer Nivel y de los Dominios de Segundo Nivel que son susceptibles de comercialización. 7.2.3.

Coordinar la relación con los registradores para lo cual debe firmar y velar por el cumplimiento de los acuerdos con estos. 7.2.4. Mantener la relación con los entes de resolución de conflictos. 7.2.5. Desarrollar la promoción y mercadeo del ccTLD.co. 7.2.6. Todas aquellas que a su cargo sean establecidas en el Contrato de Operación.” De esta manera, el operador del registro del ccTLD ‘.CO’ es clave para determinar la promoción, mercadeo y demás labores de las entidades que deseen registrar o adquirir un dominio como Resolución 161 del 5 de febrero del 2020, disponible en: https://normograma.mintic.gov.co/mintic/docs/resolucion_mintic_0161_2020.htm HOJA N 15, “Por la cual se impone una sanción y se imparten órdenes administrativas” registrador; de ahí, que para determinar la entidad que es responsable del uso de un dominio, la información que otorga el operador resulta determinante.

Ahora bien, no puede perderse de vista que la sociedad AVANTEL SAS – EN REORGANIZACIÓN para el caso de estudio no dispuso de las medidas de seguridad que lograsen impedir la filtración y puesta en conocimiento de los datos de 56 Titulares a terceros, al no emplear la función de correo electrónico conocida como “con copia oculta”, más conocido por su acrónimo “CCO”.

Con base de todo lo anterior y del estudio de los documentos obrantes en el expediente, se concluye lo siguiente: (i) A partir de la queja y del anexo de la misma aportada por el denunciante, es claro que la sociedad investigada envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo.

(ii) El Contrato de Prestación de Servicios, que fue allegado como anexo del escrito de descargos, celebrado entre la sociedad investigada y la sociedad AVANZA COLOMBIA SAS prevé que el Responsable del Tratamiento es AVANTEL SAS – EN REORGANIZACIÓN. (iii) A partir de la búsqueda realizada por esta Dirección en la herramienta conocida como “WHOIS” y la respuesta del administrador del ccTLD respecto del dominio ‘.CO’, se establece que la sociedad AVANTEL SAS – EN REORGANIZACIÓN efectivamente es la sociedad que administra el nombre de dominio “avantel.com.co” en la medida en que dicha sociedad registró ese nombre de dominio el 1 de septiembre de 1998 y hasta la fecha sigue siendo esta sociedad la que usa y es responsable de dicho nombre de dominio.

En este punto, vale la pena reiterar la información entregada por la sociedad AVANZA COLOMBIA SAS, quien es clara en esclarecer que la misma no usa el correo electrónico terminado en “@avantel.com.co” sino que la misma utiliza el dominio “@avanzacolombia.com (…)”20. Así las cosas, se encuentra probado el incumplimiento al deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Consecuencia de lo expuesto, esta Dirección impondrá la sanción correspondiente por el incumplimiento al deber que la investigada ostenta como Responsable del Tratamiento establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la norma en mención. 22.2.3 Respecto del deber de tramitar los reclamos presentados por los Titulares La Ley 1581 de 2012 señala en el literal j) del artículo 17 que el Responsable del Tratamiento de Datos de estos deben “[t]ramitar las consultas y reclamos formulados en los términos señalados en la presente ley”.

Adicionalmente, la misma Ley menciona en su artículo 15 que: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. Radicado 19-5267-35-1 de fecha 11 de octubre de 2019 HOJA N 16, “Por la cual se impone una sanción y se imparten órdenes administrativas” En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” (Subrayado fuera del texto original) En este punto, vale la pena recordar lo señalado por la jurisprudencia de la Corte Constitucional acerca de la protección fundamental del derecho de petición. Así, por ejemplo, en la sentencia T-149 del 2013, el Alto Tribunal precisó que el derecho de petición solo se garantiza y satisface en la medida en que “(…) la entidad [notifique] la respuesta al interesado (…)”.

Sobre este punto, precisó la Corte: “(…) debe precisarse en primer lugar, que esta debe ser efectiva, es decir, real y verdadera, y que cumpla el propósito de que la respuesta de la entidad sea conocida a plenitud por el solicitante. (…)”. De igual manera, en la sentencia T-490 del 2018 la Corte recordó las siguientes reglas: “(…) 1. El derecho de petición está previsto en el artículo 23 de la Constitución Política y fue regulado por la Ley estatutaria 1755 de 2015.

A la luz de esta normativa, toda persona tiene derecho a “presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución”. En la sentencia C-951 de 2014, la Corte determinó que “el núcleo esencial del derecho de petición se circunscribe a” (i) la formulación de la petición, (ii) la pronta resolución, (iii) la respuesta de fondo y (iv) la notificación de la decisión. 42.

Primero, la formulación de la petición implica el derecho que tienen las personas de presentar “solicitudes respetuosas, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas”. Segundo, la pronta resolución implica el derecho de las personas a que las autoridades y los particulares respondan las solicitudes en el menor plazo posible, sin que se exceda el tiempo legal previsto para el efecto, esto es, por regla general, “dentro de los quince (15) días siguientes a su recepción”. 43.

Tercero, la respuesta de fondo no implica “otorgar lo pedido por el interesado”, sino el derecho que tienen las personas a que las autoridades y los particulares respondan sus peticiones de manera clara, precisa, congruente y consecuente. La claridad supone que la respuesta sea inteligible y de fácil comprensión. La precisión exige que la respuesta atienda, de manera concreta, lo solicitado, sin información impertinente “y sin incurrir en fórmulas evasivas o elusivas” La congruencia implica que la respuesta “abarque la materia objeto de la petición y sea conforme con lo solicitado”.

La consecuencia de la respuesta conlleva que “no basta con ofrecer una respuesta como si se tratara de una petición aislada o ex novo, sino que, si resulta relevante, debe darse cuenta del trámite que se ha surtido y de las razones por las cuales la petición resulta o no procedente. 44. Cuarto, la notificación de la decisión garantiza el derecho de la persona a conocer la respuesta a su solicitud, así como a impugnarla y controvertirla.

(…)”. (Subrayado fuera del texto original). Es evidente, por lo tanto, que la obligación del Responsable del Tratamiento no cesa con la simple resolución del derecho de petición elevado por el titular de la información, es necesario además que dicha solución remedie sin confusiones el fondo del asunto; que este dotada de claridad y congruencia entre lo pedido y lo resuelto; e igualmente, que su oportuna respuesta se ponga en conocimiento del solicitante, sin que pueda tenerse como real, una contestación falta de constancia y que sólo sea conocida por la persona o entidad de quien se solicita la información relacionada con sus datos personales.

En este sentido, esta Dirección encontró, en etapa preliminar, que, en el caso analizado, el señor XXXX XXXXXXX XX XXXXXX XXXXX, mediante correo electrónico del 11 de enero de 2019, le solicitó a la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN que lo retirara “de sus listas de correo” pues advirtió un presunto incumplimiento a los deberes establecidos en el Régimen General de Protección de Datos Personales.

HOJA N 17, “Por la cual se impone una sanción y se imparten órdenes administrativas” Al respecto, no reposa dentro de la presente actuación administrativa prueba alguna que permita acreditar que la sociedad investigada, como Responsable del Tratamiento, tramitó la reclamación presentada por el Titular de la información el día11 de enero de 2019.

En cuanto al segundo cargo, la investigada alegó que, “si bien el auto de apertura de cargos señala que Avantel no atendió una petición presentada por el usuario respecto de los hechos objeto de investigación, lo cierto es que revisadas las bases de datos tampoco se encontró que la misma hubiera sido radicada ante la compañía, por lo tanto, en cuanto este cargo debe ser a su vez aplicado el principio in dubio pro disciplinado”21.

Ahora bien, revisado el acervo probatorio obrante en el expediente, este Despacho observa lo siguiente: El quejoso señaló en su denuncia que la investigada le envió un correo en el cual se pueden apreciar las direcciones de los destinatarios. Adicionalmente, en respuesta al correo electrónico que este recibió por parte de la investigada, el Titular le exigió a esa entidad que se le retirara “de sus listas de correo” Esta situación es reiterada por el Titular, cuando el mismo expresa, en comunicaciones de fecha 18 de diciembre de 2019 y bajo los radicados N°. 19-5267-38-1 y 19-5267-39-1, que la sociedad investigada no había borrado su correo electrónico de sus bases de datos.

Al respecto, no se observa dentro del expediente que la sociedad investigada haya tramitado, de conformidad con lo establecido en la Ley 1581 de 2012 y la jurisprudencia citada líneas atrás, la petición del Titular cuya pretensión era la eliminación de su información de las listas de correo electrónico que maneja la investigada. Lo anterior, ya que la investigada asegura que en su respuesta radicada bajo el N°. 19-5267-30-1 de fecha 1 de octubre de 2019 que validó en sus bases de datos y que no cuenta con información del Titular y que “a quien le compete realizar trámites internos es a la empresa AVANZA COLOMBIA, ya que Avantel suscribió un contrato de prestación de servicios con esta compañía (…)”.

Por lo anterior, se encuentra probado el incumplimiento al deber legal de tramitar los reclamos presentados por los Titulares en la medida en que no existe prueba que demuestre que la investigada haya tramitado y resuelto tal petición. Así las cosas, se impondrá una sanción por el cargo referido. De manera previa a la impartición de las ordenes administrativas correspondientes, este Despacho considera muy grave el actuar de la investigada al pretender la misma escudarse en el actuar de otra compañía, cuando el Régimen de Protección de Datos Personales es muy claro en su definición de encargado del Tratamiento, situación que se configura para el caso de AVANZA COLOMBIA SAS por la delegación de funciones que se realizó por parte de AVANTEL SAS EN REORGANIZACIÓN hacia aquella en virtud del contrato de prestación de servicios mencionado.

Así las cosas, al ser AVANZA COLOMBIA SAS un encargado del Tratamiento, los deberes a los que debe dar cumplimiento están establecidos en la ley y, en todo caso, las gestiones que dicha sociedad realiza se dan en virtud de la delegación de funciones. Sobre los deberes de cada actor, la Corte Constitucional, en sentencia C 748 del 2011, aclaró que “la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio”.

De forma que, no puede la sociedad AVANTEL SAS EN REORGANIZACIÓN pretender no cumplir con sus obligaciones claramente establecidas en el Régimen General de Protección de Datos Personales, más aun cuando, de acuerdo con el contrato de prestación de servicios, la investigada reconoce actuar en calidad de Responsable del Tratamiento. Así las cosas, este Despacho no acepta los argumentos esgrimidos por la investigada.

VIGÉSIMO TERCERO: ÓRDENES ADMINISTRATIVAS Escrito de descargos, radicado 19-5267-13-1, página 6 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 18, En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La entidad AVANTEL S.A.S. – EN REORGANIZACIÓN, deberá desarrollar, implementar y mantener un procedimiento para atender todas las peticiones de los Titulares y contestar de fondo y de manera congruente sobre el contenido de las mismas.  La entidad AVANTEL S.A.S. – EN REORGANIZACIÓN deberá desarrollar, implementar y monitorear los controles de seguridad de la información suficientes para garantizar la confidencialidad, disponibilidad e integridad de los datos personales, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Adicionalmente, la entidad AVANTEL S.A.S. – EN REORGANIZACIÓN deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. Para demostrar lo anterior, la entidad AVANTEL S.A.S. – EN REORGANIZACIÓN, deberá: Primero: Acreditar ante esta entidad y dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad.

Dicha certificación debe ser emitida por una persona jurídica–nacional o extranjero-, la cual debe ser un tercero imparcial y especializado en los temas que involucra la implementación de cada orden. Segundo: Realizar una auditoría externa enfocada en la verificación de la aplicación de las medidas efectivas y apropiadas para cumplir con todo lo ordenado por esta entidad.

Los resultados de la auditoría deben ser remitidos a la Superintendencia de Industria y Comercio, en el término de tres (3) meses siguientes al cumplimiento oportuno de las órdenes. 23.1 RESPECTO DE LA RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE DATOS PERSONALES El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 19, puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora bien, según el artículo 22 de la ley 222 de 1995 22 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1266 de 2008 y cualquier otra norma.

Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”23 (Subrayado fuera del texto original) Nótese que el artículo 2424 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”25.

En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En virtud de todo lo anterior, EXHORTAMOS a la representante legal de AVANTEL S.A.S. – EN REORGANIZACIÓN para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la principio de responsabilidad demostrada (accountability)”26. 2.

Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3. Respetar y garantizar los derechos de los titulares de los datos. 4. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 5. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma.

Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” Cfr. Numeral 2 del artículo 23 de la ley 222 de 1995 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.

Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 20, 6. Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

VIGÉSIMO CUARTO: Imposición y graduación de la sanción 24.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2327. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 228, 429 y 630 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 31.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”32 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 33.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 21, “Por la cual se impone una sanción y se imparten órdenes administrativas” “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional34 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”35 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 22, consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros36.

La imposición de sanciones por violación de la 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”37.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia38. 24.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub examine, quedó demostrado que la sociedad AVANTEL SAS – EN REORGANIZACIÓN incumplió su obligación de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto la misma envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo.

Igualmente, quedó demostrado que la investigada incumplió con su deber legal de tramitar los reclamos presentados por los Titulares, ya que no se observa dentro del expediente que la sociedad investigada haya tramitado, de conformidad con lo establecido en la Ley 1581 de 2012 y la jurisprudencia citada líneas atrás, la petición del Titular cuya pretensión era la eliminación de su información de las listas de correo electrónico que maneja la investigada.

En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data del Titular la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo; (ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros;

(iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente39. Por tanto, se impondrá como sanción: (i) Frente al cargo primero relacionado con el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes por la vulneración del deber establecido en el literal Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Corte Constitucional, Sentencia T-167 de 2015.

M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 23, a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley; (ii) Frente al cargo segundo relacionado con el deber de tramitar los reclamos presentados por los Titulares, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes por la vulneración del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem. 24.1.2.

Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción;

(iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. Así mismo, no se beneficiará del criterio de atenuación del literal f) ibídem, con relación a los cargos, porque no aceptó la comisión las infracciones.

VIGÉSIMO QUINTO: CONCLUSIONES A partir del análisis realizado, esta Dirección encuentra plenamente probado dentro del expediente, lo siguiente: (i) Quedó demostrado que la sociedad AVANTEL SAS – EN REORGANIZACIÓN incumplió su obligación de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto la misma envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo.

(ii) Igualmente, quedó demostrado que la investigada incumplió con su deber legal de tramitar los reclamos presentados por los Titulares, ya que no se observa dentro del expediente que la sociedad investigada haya tramitado, de conformidad con lo establecido en la Ley 1581 de 2012 y la jurisprudencia citada líneas atrás, la petición del Titular cuya pretensión era la eliminación de su información de las listas de correo electrónico que maneja la investigada”. c) No obra dentro del expediente prueba técnica de la eliminación de la información del Titular de las bases de datos de la sociedad investigada.

VIGÉSIMO SEXTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad AVANTEL SAS – EN REORGANIZACIÓN con Número de Identificación Tributaria 830.016.046 1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificacionesjudiciales@avantel.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 24, números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, se indica que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1 de NOVENTA Y OCHO MILLONES NOVECIENTOS DOS MIL NOVECIENTOS NOVENTA Y DOS PESOS M/CTE ($98.902.992), equivalente a DOS MIL SETECIENTAS VEINTICUATRO (2.724) Unidades de Valor Tributario Vigentes, por la violación a lo dispuesto en (i) literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley; y (ii) el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1 cumplir con las siguientes instrucciones:  La entidad AVANTEL S.A.S. – EN REORGANIZACIÓN, deberá desarrollar, implementar y mantener un procedimiento para atender todas las peticiones de los Titulares y contestar de fondo y de manera congruente sobre el contenido de las mismas.  La entidad AVANTEL S.A.S. – EN REORGANIZACIÓN deberá desarrollar, implementar y monitorear los controles de seguridad de la información suficientes para garantizar la confidencialidad, disponibilidad e integridad de los datos personales, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Adicionalmente, la entidad AVANTEL S.A.S. – EN REORGANIZACIÓN deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. Para demostrar lo anterior, la entidad AVANTEL S.A.S. – EN REORGANIZACIÓN, deberá: Primero: Acreditar ante esta entidad y dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad.

Dicha certificación debe ser emitida por una persona jurídica–nacional o extranjero-, la cual debe ser un tercero imparcial y especializado en los temas que involucra la implementación de cada orden. Segundo: Realizar una auditoría externa enfocada en la verificación de la aplicación de las medidas efectivas y apropiadas para cumplir con todo lo ordenado por esta entidad.

Los resultados de la auditoría deben ser remitidos a la Superintendencia de Industria y Comercio, en el término de tres (3) meses siguientes al cumplimiento oportuno de las órdenes.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 25, sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1 a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente Resolución al señor XXXX XXXXXXX XX XXXXXX XXXXX.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 07 DICIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.12.07 16:43:58 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: AMCC/SRB Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: AVANTEL S.A.S.- EN REORGANIZACIÓN Nit. 830.016.046 – 1 ALEXANDRA TURBAY ARANGO 33.334.398 TRANSVERSAL 23 # 95 - 53 EDIFICIO ECOTEK Bogotá, D.C. notificacionesjudiciales@avantel.com.co Denunciante: Señor: Identificación: Correo electrónico: 40 No se cuenta con identificación XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX no identificado40 XXXXXXXXXXXXXXXXXXXXXXXXXXXX