Resolución sancionatoria N° 82622 de 2021

(17 DICIEMBRE 2021) “Por la cual se impone una sanción y se imparte una orden administrativa” Radicación 19-88694 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas sobre protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con Nit. 860.032.330-3, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: 1.1.

Que el señor XXXX XXXXXXXX XXXXXXXX XXXXX interpuso una queja, en la cual manifestó: 1.2. El reclamante adjuntó en su queja un oficio remitido por la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., de fecha 12 de abril de 2019, en la que le expresa al titular: “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” 1.3.

El 09 de julio de 2019, mediante número de radicación 19-88694-4-1 esta Superintendencia envió un requerimiento al titular de la información con el propósito de tener mas elementos de juicio sobre los hechos denunciados, en el cual solicitaron entre otras cosas que informe el teléfono al cual presuntamente ha recibido llamadas a nombre de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. 1.4.

De igual manera, el 09 de julio de 2019, esta Superintendencia envió solicitud de información a la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. mediante número de radicación 19-88694-51 con el fin de que informara, entre otras cosas, cual fue el mecanismo implementado por la compañía para la recolección de los datos personales del titular XXXX XXXXXXXX XXXXXXXX XXXXX. 1.5.

El 15 de julio de 2019, el señor XXXX XXXXXXXX XXXXXXXX XXXXX allegó respuesta al requerimiento, mediante número de radicación 19-88694-00006-0001 en el cual afirmó que anexó las cartas emitidas por la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. e informó que no mantiene relación permanente con XXXXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX y que la sociedad investigada, siguió llamando para que les ayudara a ubicar a las personas para ejercer su función de cobro de deudas, lo cual violaba no solo los derechos a la intimidad, sino de los deudores pues la sociedad investigada estaba contándole a un extraño, que las señoras son deudoras morosas atentando contra su buen nombre pues no saben cuales son las circunstancias del atraso. 1.6.

Manifestó que en estos momentos no tiene registrados los números de los que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. llamó al número personal XXXXXXXXXXX puesto que no consideró que ello fuera a servir como material probatorio. 1.7. Que el 25 de julio de 2019, mediante radicación número 19-88694-00007-0001 la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A, allegó respuesta a esta Superintendencia, dando respuesta al requerimiento, manifestando que recolectó la información correspondiente a copia de cédula, número del teléfono celular; dirección de residencia, dirección de trabajo y correo electrónico del señor XXXX XXXXXXXX XXXXXXXX XXXXX mediante el proceso de vinculación y de suscripción de los documentos relativos al crédito solicitado el día 27 de noviembre de 2015. 1.8.

Aclaró que el Acuerdo de apertura suscrito, establece la autorización para el manejo de la información personal suministrada y remite copia de la solicitud de crédito con el fin de que se pueda validar la autorización y los términos de esta. En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara pruebas que pretendiera hacer valer en la presente actuación. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una de investigación Que mediante Resolución N°.60989 del 06 de noviembre 2019, se y se inició la investigación y se decreta de oficio la práctica de otras formularon cargos en contra de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con ” el Nit. 860.032.330-3, por la presunta contravención de lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

(ii) El literal c) del artículo 17 de a Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

SEGUNDO: Que la Resolución N° 60989 del 06 de noviembre de 2019, fue notificada mediante aviso 26000 del 20 de noviembre de 2019, tal como consta en la certificación con número de radicado 19-88694-18 de fecha 27 de noviembre de 2019 expedida por la Secretaria General AdHoc de esta Superintendencia.

TERCERO: Que encontrándose dentro del término establecido en la Resolución N° 60989 del 06 de noviembre de 2019 la sociedad investigada mediante comunicación radicada con número 19088694-00019-00011 presentó descargos manifestando: 3.1. Que las señoras XXXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX radicaron ante la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A una solicitud de crédito el 3 de julio y 9 de julio de 2015, respectivamente. 3.2.

Aclaró que, dentro de ambas solicitudes, estas personas, en desarrollo del proceso de diligenciamiento del formato de solicitud de crédito, suministraron de manera voluntaria y autónoma el nombre del señor XXXX XXXXXXXX XXXXXXXX XXXXX y sus datos de contacto telefónico en la sección del formato titulada “Referencias” y que en el inicio de la labor de cobranza respecto de la señora XXXXX XXXXXXXX XXXXX, no fue posible contactarla mediante los datos personales que suministró a la entidad. 3.3.

Indicó el 26 de febrero de 2019 ante la imposibilidad de localizar a XXXX XXXXXXXX XXXXX la sociedad investigada efectuó una llamada al señor XXXX XXXXXXXX XXXXXXXX XXXXX en su calidad de “Referencia”, con el único de fin de preguntarle si conocía a la titular y si podía ayudar a contactarla, la comunicación se realizó sin brindarle ninguna información respecto a la obligación en mora y otra información personal de la deudora, respetando su privacidad. 3.4.

Manifestó que, frente a la solicitud realizada por la sociedad investigada, el señor XXXX XXXXXXXX XXXXXXXX XXXXX respondió de manera ruda y grosera señalando que no colaboraría con la entidad para contactar a esa persona. Adicionalmente, resaltó que en ningún momento de la conversación, se indicó que se estaba llamando desde una determinada área de la Compañía que permitiera inferir que se trataba de una llamada de cobranza, tal y como se puede constatar en la llamada que adjuntar en anexo N°.6. 3.5.

Informó que el 15 de marzo de 2019 el señor XXXX XXXXXXXX XXXXXXXX XXXXX atendió la llamada de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A solo para indicar su inconformidad por ser contactado en calidad de referencia de la deudora morosa, en consecuencia, la sociedad investigada señaló que la entidad entraría a revisar su solicitud de eliminación del dato y que se le daría respuesta por escrito a la misma y en atención a la inconformidad manifestada, la sociedad investigada, procedió a eliminar su dato de contacto que había recolectado en calidad de referencia y así se lo informó de manera clara y completa el día 22 de marzo de 2019, con el fin de evitar mayores incomodidades al señor XXXX XXXXXXXX XXXXXXXX XXXXX a pesar del riesgo, que esta eliminación, suponía en la labor de cobranza de la obligación de la señora XXXXXXXXX XXXXXXXX XXXXX. 3.6.

Al respecto de la autorización de las referencias, en la labor de gestión del riesgo por parte de una entidad financiera manifestó que, la inclusión en la solicitud de crédito de las señoras XXXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX, se hizo como parte del proceso de otorgamiento del crédito, que cumplió con las normas establecidas para los 1 Expediente virtual Radicado 19088694—0001900001, página 2.

HOJA Nº,2 “Por la cual se impone una sanción y se imparte una orden administrativa” Por la cual se incorporan pruebas dentro de una investigación establecimientos de crédito y de acuerdo a las normas para la y se administración del riesgo de decreta de oficio la práctica de otras crédito, debido a que, la referencia es un dato que las entidades financieras requieren y que es ” solicitado al potencial consumidor financiero (deudor). 3.7.

Hace referencia al sistema de Administración de Riesgo de Crédito – SARC y los riesgos asociados al Lavado de Activos y la Financiación de Terrorismo – LAFT, los cuales no pueden ser desconocidos por las entidades financieras, y que uno de los mecanismos que han optado muchas de las entidades del sistema financiero colombiano, incluida la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A, es la exigencia de referencias que pueden servir como terceros independientes a la relación comercial y que puedan ayudar a cumplir también con la Debida Diligencia del Cliente y que debido a esto, la sociedad investigada tenía una necesidad y obligación de obtener información, sobre las referencias personales de sus potenciales clientes y que le llevó a conocer, recibir y utilizar los datos del señor XXXX XXXXXXXX XXXXXXXX XXXXX y que son estas obligaciones, las que autorizan a la sociedad investigada a acceder a esta información personal, con ese fin especifico, derivado de las normas que regulan la administración de riesgo de crédito en Colombia, y por ende no se requirió consentimiento adicional. 3.8.

Al respecto de la Competencia de la Superintendencia de Industria y Comercio en el presente caso y aplicación de la Ley 1581 de 2012, indicó que, el presente caso es propia del sistema financiero y que el tratamiento de datos del señor XXXX XXXXXXXX XXXXXXXX XXXXX se relaciona con la gestión de riesgo de crédito y el riesgo de Lavado de Activos y Financiación del Terrorismo- LAFT, y destacó que la práctica de contactar a las referencias de una persona para el cobro de una obligación en mora, es una práctica validada y aceptada por la Superintendencia Financiera de Colombia descrita en la Guía de Mejores Prácticas de la Gestión de Cobranza del año 2018: 3.9.

Indicó que si bien esta práctica es reconocida por la Superintendencia Financiera de Colombia, la misma se deriva de la falta de cumplimiento de las obligaciones crediticias, por parte de los consumidores financieros y de no realizar de forma diligente la labor de cobranza, por lo cual considera que contactar a las referencias puede ser una práctica válida y necesaria para hacer una gestión de cobranza efectiva y en el caso en concreto, el contacto que se realizó con el señor XXXX XXXXXXXX XXXXXXXX XXXXX siguió estos parámetros y respetó la privacidad de la señora XXXXXX XXXXXXXX XXXXX en todo momento. 3.10.

Señala que bajo las normas y guías de administración de riesgo de crédito, la referencia es (i) un dato que se recolecta de manera legítima (ii) que quien lo suministra – potencial deudor incumplido- conoce que debe entregar información veraz, de personas que estén en la disponibilidad de servir en calidad y brindar información de forma independiente (iii) que durante la fase de mantenimiento específicamente en la gestión de cobranza reconoce la necesidad de contactarlos “cuando se hayan agotado los demás medios de localización y no haya sido posible ubicar al deudor”. 3.11.

Consideró que la autoridad llamada a analizar si la gestión de los datos del señor XXXX XXXXXXXX XXXXXXXX XXXXX es la Superintendencia Financiera de Colombia, ya que las finalidades del tratamiento se limitaron a propósitos que están únicamente bajo la competencia de esta entidad y conforme a los lineamientos dados por esta misma Superintendencia y no fue con la finalidad de mercadeo, de publicidad y prospección comercial o cualquier otro en cuyo caso sería inobjetable la competencia que le correspondería a la Superintendencia de Industria y Comercio. 2 Obrante en el expediente con número de radicado 19088694—0001900001.

HOJA Nº,2 “Por la cual se impone una sanción y se imparte una orden administrativa” Porque la se cual se incorporan dentro una aplicable investigación 3.12. Solicitó reconozca la pruebas especialidad de de régimen y y deseconformidad con ello se decreta de oficio la práctica de otras archive la investigación dentro de la Superintendencia de Industria y Comercio, y se dé ” traslado, para lo que sea de su competencia a la Superintendencia Financiera de Colombia, de igual forma, solicitó que se reconozca el rol e importancia que tiene para el buen funcionamiento del sistema financiero el tratamiento de los datos personales como “referencias” y el carácter excepcional en su uso, incluso sin necesidad de autorización expresa. 3.13.

Señaló el principio de buena fe al considerar que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. pudo establecer que el señor XXXX XXXXXXXX XXXXXXXX XXXXX, ya había sido también titular de un crédito en la misma entidad y que había suministrado información de referencias personales, entre las cuales incluyó familiares de las personas que posteriormente el también refirió, luego afirmó que él conocía la existencia de ese requisito y que por ende el hecho de ser contactado en su calidad de referencia era una situación previsible, que no se podría considerar extraña para él, desconocida o ilegitima. 3.14.

Argumentó que una de las referencias del señor XXXX XXXXXXXX XXXXXXXX XXXXX al solicitar un crédito con la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. en el año 2015 coincide con una de las referencias personales entregadas por la señora XXXXXX XXXXXXXX XXXXX en el mismo año, lo que demuestra que este grupo de personas, se conocían entre sí, y que acudieron en diferentes momentos a la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. en diferentes calidades y que, de manera voluntaria, decidieron en varias ocasiones servirse de referencia, lo que es una conducta reprochable desde el principio de buena fe y atenta contra el sistema financiero su confianza y la posibilidad de otras personas de acceder al sistema crediticio. 3.15.

Mencionó que es deber del consumidor financiero, actualizar la información de contacto y que si este incumple la entidad financiera debe desplegar su diligencia para tratar de obtener la información que permita localizarlo y, por ello, suele acudir en primera instancia, a la persona que le sirvió de referencia y cuya información fue suministrada por el consumido financiero de manera voluntaria. 3.16.

Reitera que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A actuó de buena fe realizando las practicas propias que como entidad financiera está obligada a desarrollar para el cobro de una obligación y que se hace expresa cuando realizó la eliminación de la información del señor XXXX XXXXXXXX XXXXXXXX XXXXX conforme a su solicitud, dando cumplimiento a los principios que en materia de protección de datos personales son aplicables. 3.17.

Solicita que se dé traslado de la investigación a la Superintendencia Financiera de Colombia para que asuma la competencia, considerando la naturaleza propia de los datos utilizados y fines de tratamiento de estos y en caso de que la Superintendencia de Industria y Comercio decida asumir la investigación nos prospere ninguno de los cargos descritos en la Resolución N°. 60989 del 6 de noviembre de 2019 y se proceda al archivo de la investigación administrativa.

CUARTO: Que mediante la Resolución Nº. 52631 del 31 de agosto de 2021, esta Dirección incorporó las pruebas obrantes en el expediente y decretó de oficio las siguientes pruebas: “Requerir a la sociedad investigada para que la misma allegue copia de la llamada referida como ‘Anexo 6 – Llamada del 26 de febrero del 2019’ del CD aportado en el escrito de descargos radicado con número 19-88694-19-1 de fecha 11 de diciembre de 2019.

Sírvase aportar la mencionada llamada en Formato de Audio Digital MP3 que se pueda reproducir en Windows Media Player.”

QUINTO: Que la Resolución N°. 52631 del 31 de agosto de 2021, fue notificada mediante aviso 52631 del 4 de septiembre de 2020, tal como consta en la certificación con número de radicado 1988694-23 de fecha 8 de septiembre de 2020, expedida por la Secretaria General Ad- Hoc de esta Superintendencia. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una en investigación y se N° 52631 del 31 de SEXTO: Que encontrándose dentro del término establecido la Resolución decreta de oficio la práctica de otras agosto de 2021, la sociedad investigada mediante comunicación radicada con número 19-088694000243 aportó las pruebas solicitadas por ” este Despacho.

SÉPTIMO: Que mediante oficio dirigido al señor XXXX XXXXXXXX XXXXXXXX XXXXX representante legal de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A obrante en el expediente con radicado N° 19088694—0002600002 declaró agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

OCTAVO: Que la sociedad investigada mediante comunicación radicada el 06 de abril de 2021 con número radicado 19-88694-00032-0001 presentó los alegatos de conclusión manifestando: 8.1. Reitera que la información de señor XXXX XXXXXXXX XXXXXXXX XXXXX se obtuvo en razón al cumplimiento del proceso de otorgamiento de crédito definido por la compañía al momento de recibir las solicitudes de las personas que brindaron su información bajo dicha calidad, proceso que no solo se encuentra ajustado a las normas que regulan la actividad de los establecimiento de crédito sino que da cumplimiento a los principios que inspiran la normatividad en materia de Protección de Datos Personales, entre los que resalta los principios de (i) necesidad y proporcionalidad y de (ii) finalidad, en el sentido que se solicitó únicamente la información estrictamente necesaria para el cumplimiento de finalidades legítimas. 8.2.

Resalta el cumplimiento de lo establecido en el Sistema de Administración de Riesgo de Crédito, y de las recomendaciones del Grupo de Acción Financiera Internacional en materia de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo, así mismo, precisó que la práctica de contactar las referencias de una persona para el cobro de una obligación en mora es una práctica validad y aceptada por la Superintendencia Financiera de Colombia bajo los lineamientos que estableció en la Guía de Mejores Prácticas de la Gestión de Cobranza del año 2018. 8.3.

Concluyó que la información sobre referencias es un dato que las entidades financieras requieren y que es solicitado al potencial y actual consumidor financiero en el marco de las normas que regulan los diferentes sistemas de administración de riesgos, que dichas entidades deben implementar con el fin de que puedan usarlo para validar la información que el consumidor financiero suministró, su comportamiento comercial, así como para contactarlo en caso de que no haya sido posible hacerlo a través de los datos suministrados por él, es así, que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A tenía la obligación de obtener información sobre las referencias personales de sus potenciales clientes. 8.4.

Recalcó que se debe tener consideración que tanto el señor XXXX XXXXXXXX XXXXXXXX XXXXX como la señora XXXXXX XXXXXXXX XXXXX conocían el proceso de vinculación para el otorgamiento del crédito y, por ende, la existencia del requisito de aportar la información aportada en dicha calidad excepcionalmente, partiendo de la base que la misma ha sido ha sido autorizada para si suministro por su titular con la finalidad de gestionar el riesgo asociado a la actividad como se ha mencionado anteriormente. 8.5.

Insistió que se debe reconocer el estricto cumplimiento y respeto por parte de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A a la normatividad vigente en materia de protección de datos personales y a los derechos del titular, de conformidad con la actuación desplegada por esta última al atender oportunamente la solicitud de eliminación ejercida por el Titular en ejercicio de sus derechos, a pesar de que la misma dificultara aún más la gestión de cobranza a su cargo pero entendiendo que prevalecían los derechos del señor XXXX XXXXXXXX XXXXXXXX XXXXX. 8.6.

Solicitó que no prospere ninguno de los cargos descritos en la Resolución N°. 60989 del 6 de noviembre de 2019 y se proceda al archivo de la investigación administrativa en contra de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A, toda vez que no se vulneró el derecho al habeas data consagrado en la Constitución Política de Colombia y solicitó que se tenga en cuenta sin perjuicio de haber aplicado el principio finalidad legítima en el contacto, 3 Obrante en el expediente con número de radicado 19088694—0002400001, pagina 4.

“Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan dentro investigación y se al eliminar su dato, adicionalmente que se le diopruebas prelación a lade una solicitud del reclamante decreta de oficio la práctica de otras entendiendo así, que éste había declinado su voluntad de seguir actuando como referencia de las señoras deudoras, esto, dando ” cumplimiento a lo establecido en el artículo 16 de la Ley 1581 de 2012, es decir, al requisito de procedibilidad.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley. 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

(ii) El literal c) del artículo 17 de a Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones 9.2.1 Del deber de solicitar y conservar copia de la respectiva autorización otorgada por la Titular El precepto consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de solicitar y conservar, en las condiciones previstas en la citada ley, copia de la respectiva autorización otorgada por el Titular, dicho precepto se armoniza con el principio de libertad, contenido en el literal c) del artículo 4 de la misma disposición, normatividad que a su vez ha sido 4 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 la cual se incorporan pruebas investigación se quedó reflejado en la objeto de Por especial atención por parte de ladentro Corte de una Constitucional, tal y como decreta de oficio la práctica de otras Sentencia C-748 de 2011, así: ” “El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no es bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere que sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”.

De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. En decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría referirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” Igualmente, es importante indicar que en virtud del principio de libertad, citado en líneas precedentes, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, según lo dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en la mencionada sentencia, se refiere a las características de los datos personales al analizar la constitucionalidad del proyecto de ley de protección de datos personales, a saber: “i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita; iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”, características que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sobre este, que se radica en cabeza del titular.

Así pues, previo a analizar el cargo descrito, este Despacho mencionará lo citado en la ley, inicialmente lo descrito en literal b) del articulo 17 de la Ley 1581 de 2012 en cual menciona: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;” Esto en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley en el cual indica: “Artículo 4°.

Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento” “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la incorporan pruebas de de unalasinvestigación “Artículo 9°. cual se Autorización del Titular.

Sindentro perjuicio excepciones y se previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida decreta de oficio la práctica de otras por cualquier medio que pueda ser objeto ”de consulta posterior.” Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Al respecto, nuevamente se reitera lo mencionado por la Corte Constitucional en la sentencia C-748 de 2011, la cual manifestó: "De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas - contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular-salvo las excepciones previstas en la normativa." A su turno Decreto Único Reglamentario 1074 de 2015 estableció en el artículo 2.2.2.25.2.2 que: “Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso. entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar aI momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento." (Subrayado fuera de texto).” Por su parte el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 estableció en los que: “Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” Con base a la normatividad citada anteriormente, este Despacho entrará a analizar los argumentos señalados en el escrito de descargos y reiterados en los alegatos presentados por la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A, en los que manifiesta que contaba con la autorización del titular para el manejo de sus datos personales debido a que estos datos se encontraban en la solicitud de crédito presentada por las titulares XXXXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX, en el cual ostentaba la calidad de “Referencia” y en aquella solicitud se brindaron de forma autónoma y voluntaria los datos de contacto.

Es importante resaltar que la Ley 1581 de 2012 es clara al indicar que para el manejo de los datos personales se debe contar con la autorización previa e informada del titular y que el respectivo consentimiento se debe obtener a más tardar al momento de la recolección de la información, por lo que se procederá a evaluar las pruebas allegadas por la sociedad investigada, sobre las cuales pretende demostrar el cumplimiento de las normas establecidas en la Ley 1581 de 2012.

HOJA Nº,2 “Por la cual se impone una sanción y se imparte una orden administrativa” Por la cual se incorporan pruebas dentro de una investigación y se XXXXXXXX XXXXX, Como premisa fáctica en primer lugar, se tiene que el señor XXXX XXXXXXXX decreta de oficio la práctica de otras manifiesta que ha sido contactado en reiteradas ocasiones por la COMPAÑÍA DE ” FINANCIAMIENTO TUYA S.A. con el propósito de obtener información de deudores de la compañía toda vez que actúa en calidad de “referencia”, sin embargo señala, que la entidad financiera no cuenta con su autorización previa e informada para el tratamiento de sus datos.

Por su parte la sociedad investigada, afirmó que las señoras XXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX radicaron ante la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A una solicitud de crédito el 3 de julio y 9 de julio de 2015, respectivamente y que estas personas, en desarrollo del proceso de diligenciamiento del formato de solicitud de crédito, suministraron de manera voluntaria y autónoma el nombre del señor XXXX XXXXXXXX XXXXXXXX XXXXX y sus datos de contacto telefónico, en la sección del formato titulada “Referencias”.

Que el 26 de febrero de 2019 ante la imposibilidad de localizar a XXXXXX XXXXXXXX XXXXX la sociedad investigada, efectuó una llamada al señor IVAN MAURICIO GRANADOS ROCHA en su calidad de “Referencia”, con el único de fin de preguntarle si conocía a la titular y si podía ayudar a contactarla, la comunicación se realizó sin brindarle ninguna información respecto a la obligación en mora y otra información personal de la deudora, respetando su privacidad.

De igual manera, la sociedad investigada manifestó que cuenta con una autorización otorgada por el Titular de la información, en razón a un crédito solicitado anteriormente, como lo demuestra la sociedad, con un formulario de solicitud de crédito del año 2015, que se observa a continuación: Ahora bien, al analizar la autorización otorgada por el Titular, se evidencia que los datos personales fueron suministrados para hacer efectiva únicamente, la obligación adquirida directamente por el 5 Prueba tomada del CD anexo No. 8, Radicado Nº. 19088694--0001900001 “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 cual seno se incorporan pruebas dentro de una investigación y se Titular y enPor la la solicitud autoriza a la ociedad investigada que estos puedan ser tratados para decreta de oficio la práctica de otras obtener información de obligaciones adquiridas por terceros o con el fin de obtener información de ” otro titular, hasta que él mismo solicitó expresamente que se dejen de utilizar sus datos de contacto, y si bien la compañía retira la información, la misma ya había tenido tratamiento sin autorización. Ahora bien, en el presente asunto se trató de un contacto telefónico que le realizó la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. al Titular, no por el hecho de tener una obligación adquirida con la entidad, sino por que actuaba en calidad de referencia de las Titulares XXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX, conforme a lo manifestado por la investigada y de acuerdo con las pruebas aportadas en su escrito de descargos, en donde efectivamente se constata que las Titulares XXXXXXX XXXXXXXX XXXXX y XXXX XXXXXXXX XXXXXXXX XXXXX, relacionaron los datos personales del señor XXXX XXXXXXXX XXXXXXXX XXXXX en calidad de “referencia personal”, tal y como se observa a continuación: 6 Prueba tomada del CD anexo No. 8, Radicado Nº. 19088694--0001900001 “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Como bien se puede observar en el presente asunto, el dato del número telefónico del Titular del dato fue suministrado por un tercero para que se tenga como “Referencia Personal”, razón por la cual es importante traer a colación el concepto de referencia, desarrollado por la RAE, palabra que se define entre otras cosas, como: “6. f. Comúnmente en el ejercicio comercial, informe que acerca de la probidad, solvencia u otras cualidades de tercero da una persona a otra..”8 7 Prueba tomada del CD anexo No. 8, Radicado Nº. 19088694--0001900001 8 Cfr. Real Academia Española.

Direccionario de la Lengua Española. https://dle.rae.es/referencia “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una investigación y se de oficio la práctica Bajo la anterior acepción,decreta la referencia utilizada por de la otras COMPAÑÍA DE FINANCIAMIENTO TUYA ” S.A, consiste en la información que se suministra sobre la probidad, solvencia u otras cualidades del solicitante del producto que diligenció la correspondiente solicitud.

En este punto se precisa señalar lo establecido en la Ley 1581 de 2012, en cuanto este asunto previendo lo siguiente: “Artículo 2°. Ámbito de aplicación. (…) El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico.

Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley;” Subraya y negrilla por fuera del texto original.

Así pues, la Ley 1581 de 2012 expresamente no tiene ámbito “bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico”, sin embargo lo mismo no sucede cuando una persona va a suministrar a terceros los datos contenidos en sus bases de datos o archivos para fines personales o domésticos de contacto de sus amigos, por lo que en este caso, deberá previamente informarle de ello al Titular del dato y solicitar la autorización del mismo para entregar esa información a terceros.

En el caso presente no se observa prueba alguna que le permita a este Despacho determinar que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A adoptó medidas para garantizar que el suministro de datos de referidos (terceros) se realice conforme a la ley. Es importante resaltar que los Responsables deben asegurarse de que la persona que le suministre información de terceros este legitimada para ello, pues no solo basta trasladar la responsabilidad del suministro de la información a la persona solicitante del crédito, sino que en este caso la entidad financiera debe ser diligente y adaptar mecanismos eficientes para recolectar la autorización del referido o abstenerse de hacer el tratamiento de los datos si no logra la obtención del consentimiento del mismo.

De otra parte, esta Dirección ha sido enfática al señalar que la figura de “referencia”, típica en el ámbito comercial, no puede desconocer los derechos que le asisten al titular de la información, pues no pueden los Responsables del tratamiento usar el dato personal para fines que no hayan sido previamente autorizados por su titular, en el caso particular, el de ubicar al deudor o actualizar sus datos.

En ese sentido, es claro que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. debía contar con el consentimiento del señor XXXX XXXXXXXX XXXXXXXX XXXXX para el efecto, y no escudarse en una autorización que previamente el titular les otorgó para la adquisición de un servicio con dicha compañía. Ahora bien, con relación a lo descrito por la Superintendencia Financiera de Colombia, bajo los lineamientos que estableció en la Guía de Mejores Prácticas de la Gestión de Cobranza del año 2018, con respecto a la recolección de información bajo la calidad de referencia, para el uso y tratamiento de estos datos, el hecho que se prevea excepcionalmente la posibilidad de “contactar al una persona ajena a la relación crediticia”, ello no quiere decir en ninguna circunstancia, que se exima de la obligación al Responsable de la Información de obtener el consentimiento de este tercero, para el tratamiento de su información, sobre todo debido a que el Titular es el único que cuenta con la libertad de decidir a quien le suministra sus datos, tal como lo establece la Ley 1581 de 2012 y es por ello que se hace reprochable el incumplimiento del deber de contar con dicha autorización a cargo de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. Debe recordarse que el consentimiento de la persona solo legitima el tratamiento de datos personales si cumple unos requisitos exigidos por la ley.

En otras palabras, no basta ni es suficiente obtener una manifestación de voluntad de la persona ya que la misma debe ser previa, expresa e informada. HOJA Nº,2 “Por la cual se impone una sanción y se imparte una orden administrativa” Por la con cual el seliteral incorporan dentro deLey unaEstatutaria investigación y sede 2012, el principio de De conformidad c) delpruebas artículo 4 de la 1581 de sólo oficio la práctica de otras libertad significa que “el decreta tratamiento puede ejercerse con el consentimiento, previo, expreso e ” no podrán ser obtenidos o divulgados sin previa informado del titular.

Los datos personales autorización, o en ausencia de mandato legal o judicial que releve el consentimiento” 9. El Decreto Único Reglamentario 1074 de 2015 no sólo reitera la necesidad de la autorización para el tratamiento de los datos al disponer que “salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular” sino que advierte que los medios para recolectar los datos deben ser lícitos y honestos: “No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”10 Debido a lo anterior se tiene que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A no cumplió con el deber requerido por la Ley 1581 de 2012 específicamente en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, por no solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el señor XXXX XXXXXXXX XXXXXXXX XXXXX y por ello se procederá a imponer la respectiva sanción. 9.2.2 Del deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

El principio de finalidad que se traduce en el deber de informar al Titular lo que se pretende hacer con su información, se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas (sic) versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “( ) [t]anto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”11.

Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que esta se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 201512 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Por lo indicado, en el momento en que se solicita información al titular se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos 9 Cfr. Artículo 2.2.2.25.2.1 Decreto Único Reglamentario 1074 de 2015. 10 Cfr. Artículo 2.2.2.25.2.1 Decreto Único Reglamentario 1074 de 2015.

Corte Constitucional, sentencia C-748 de 2011. M.P. María Victoria Calle Correa. 12 Norma que compiló el Decreto 1377 de 2013 “Por el cual se reglamenta parcialmente la Ley 1581 de 2012”. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 la cual incorporan pruebas dentro una investigación sensibles oPor sobre los se datos de las niñas, niños y de adolescentes (iii) los y se derechos que le asisten como decreta de oficio la práctica de otras titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. ” Ahora bien, abordando estos aspectos la Corte Constitucional en sentencia de constitucionalidad C748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir queel periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Así pues, una vez analizados los argumentos expuestos y las pruebas aportadas por la investigada, donde manifiestan expresamente “Cabe resaltar que TUYA S.A., en cumplimiento de lo establecido en el Sistema de Administración de Riesgo de Crédito –SARC- y de las Recomendaciones del Grupo de Acción Financiera Internacional (GAFI) en materia de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT), ha adoptado dentro de sus procesos la exigencia de referencias que puedan servir para: (i) en la etapa de colocación del crédito, para la valoración de las condiciones del potencial consumidor y definición del otorgamiento del crédito, (ii) en la etapa de mantenimiento, como elemento para gestionar de manera rápida y oportuna un posible deterioro de la capacidad o voluntad de pago del consumidor financiero y (iii) como terceros independientes a la relación comercial que puedan ayudar a tener un conocimiento adecuado y completo de los potenciales clientes.” Subraya y negrilla por fuera del texto original.13 En este sentido, se entiende el argumento mediante el cual la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., recolectó y trató la información del Titular, ya que obedece a prácticas desarrolladas y adoptadas por el sistema de administración de riesgo, en donde se requiere la información de terceros que entre otras cosas permitan validar la veracidad de la información reportada por los solicitantes de los créditos.

Ahora bien, es importante resaltar frente a este aspecto, que independientemente de las prácticas que desarrollen las entidades siguiendo las instrucciones de la superintendencia financiera para la administración del riesgo crediticio o la administración del riesgo de lavado de activos y financiación del terrorismo, sí en ello involucran la recolección y tratamiento de información de Titulares, se debe dar aplicación a los deberes contemplados en la Ley Estatutaria 1581 de 2012 y en especial el deber de dar a conocer a los Titulares, las finalidades por medio de las cuales se está recolectando y tratando sus datos.

Esta consideración tiene especial relevancia, por cuanto las entidades financieras, previo a contactar a los Titulares relacionados por los solicitantes, como Referencias 13 Obrante en el expediente con número de radicado 19088694—0003200003, pagina 3 “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 se deben incorporan pruebas de dentro de una investigación y se personalesPor y/ola cual familiares, asegurarse contar con el consentimiento previo e informar la decreta de oficio la práctica de otras finalidad del tratamiento de los datos. ” Lo anterior teniendo en cuenta que por el simple hecho de que el solicitante del crédito, proporcione información de titulares que hacen parte de su base de “datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico”, no implica que se exima del deber que ostentan los Responsables de adoptar las medidas tendientes para informarle a estos las finalidades para la recolección de la información y todo caso el deber que le asiste de contar con el soporte respectivo, donde el Titular otorgó el respectivo consentimiento informado.

En consecuencia, aunque en el presente asunto no se discute la buena o mala fe con la que actuó la investigada, lo que si es concreto, es que si en la práctica de realizar actividades propias del sistema financiero para el cobro de las obligaciones, involucra el tratamiento de datos de Titulares, el Responsable debe asumir las cargas propias que le impone la ley de protección de datos personales.

Ahora, lo que pretende la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. es que esta Dirección tenga como válida la finalidades informadas al titular en virtud de la autorización otorgada por la adquisición de un servicio financiero adquirido previamente por el mismo, por lo que es claro que para el caso en estudio, la recolección y el tratamiento de la información del señor XXXX XXXXXXXX XXXXXXXX XXXXX, se efectuó para finalidades distintas al tratamiento realizado por la investigada, puesto que contactarlo para que suministrara información de un tercero, no fue informado al titular.

Por lo tanto es claro que, “el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular”14. Sobre este aspecto la Corte Constitucional concluyó y precisó: “los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.

Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular”15, en conclusión, no se pueden recolectar Datos Personales para hacer un uso indiscriminado de los mismos, ni establecer finalidades ambiguas o indeterminadas.

Sólo se permite tratarlos para propósitos concretos y específicos. Por lo que encuentra este Despacho que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. se vulneró el deber contenido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención, razón por la cual se impondrá la correspondiente sanción. 9.2.3 Respecto de la competencia de la Superintendencia de Industria y Comercia para conocer del presente asunto.

La COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. argumenta que la Superintendencia de Industria y Comercio no tiene competencia del presente asunto considerando la naturaleza propia de los datos utilizados y fines de tratamiento de estos. En este punto, vale la pena hacer énfasis sobre la naturaleza de esta entidad y sus funciones, así: De acuerdo con el artículo 25 del Decreto 2974 del 03 de diciembre de 1968, por el cual se creó la de vigilancia y control de acuerdo con las normas vigentes que le corresponden.

De forma que, con la expedición del Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Política de 1991 y, en este caso particular, en la Ley 1581 de 2012. 14 Cfr. Literal b) del artículo 4 de la Ley 1581 de 2012. 15 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.6.5.2.2.

“Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por el la cual se incorporan pruebas de una investigación se indicar el ámbito de Para analizar argumento expuesto por ladentro sociedad investigada, es y preciso decreta de oficio la práctica de otras aplicación de la Ley 1266 2008, teniendo en cuenta que la misma, prevé lo siguiente: ” “ARTÍCULO 2o.

AMBITO DE APLICACIÓN. La presente ley se aplica a todos los datos de información personal registrados en un banco de datos, sean estos administrados por entidades de naturaleza pública o privada. (…)”. Subraya y negrilla por fuera del texto original. Ahora bien, de acuerdo con lo anterior, si bien la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., le es imponible los deberes establecidos en la Ley 1266 de 2008, estos se aplican cuando la entidad actúa en calidad de Fuente o Usuario de información financiera, de acuerdo a las definiciones establecidas en la ley, caso en el cual la competencia es exclusiva de la Superintendencia Financiera.

Sin embargo lo anterior, al estudiar el caso en particular, la recolección y el tratamiento de la información del señor XXXX XXXXXXXX XXXXXXXX XXXXX, como “referencia personal” si bien fue para el cumplimiento de medidas asociadas a la administración del riesgo crediticio y la administración del riesgo de lavado de activos y financiación del terrorismo, esta actividad no corresponde al ámbito de aplicación de la información registrada en bancos de datos, de suerte que se debe dar aplicación al Régimen General de Protección de Datos Personales, cuyo ámbito de aplicación prevé: “Artículo 2°.

Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.” En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos.

Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados del Tratamiento y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación. Finalmente, no debe perderse de vista que la Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por yla cual se que incorporan pruebas dentro investigación y se fundamental y en esa los requisitos deberes les impone la ley porde una tratase de un derecho decreta de oficio la práctica de otras medida esta Superintendencia le compete la vigilancia. ” 9.2.4 Respecto de la responsabilidad de los administradores en materia de Protección de Datos Personales.

Así mismo, en este punto es oportuno traer a acotación lo conceptuado en la Resolución No.91422 del 17 de diciembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, el cual prevé lo siguiente: “Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 199516 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”17 (subrayamos) (…) 16 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 17 Crf.

Numeral 2 del artículo 23 de la ley 222 de 1995. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Porque la el cual se incorporan pruebas dentro de una la culpa investigación Nótese artículo 24 de la ley en comento presume del y se administrador “en los casos de incumplimiento o decreta extralimitación de la suspráctica funciones, violación de la ley o de los estatutos”.

Dicha de oficio de otras presunción de responsabilidad exige que ” los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”19” Ahora bien, este Despacho encuentra que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., realizó tratamiento de información del denunciante, sin contar con autorización previa e informada para el efecto.

En virtud de lo expuesto, se considera imprescindible que los Administradores de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. implementen en la práctica todo lo que ordena la regulación sobre tratamiento de datos personales.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Así mismo, la Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.”20 (Negrilla fuera de texto original). 18 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros.No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos. 19 Crf.

Parte inicial del artículo 24 de la ley 222 de 1995 Corte Constitucional, Sentencia C-564 de 17 de mayo de 2000, Magistrado Ponente Doctor Alfredo Beltrán Sierra. Considerando 5.5.2. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro investigación Por su parte, Corte Constitucional a través de de una Sentencia C-557 dey se 2000, señaló que la Ley decreta de oficio la práctica de otras aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: ” “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental”.

El Plan Nacional de Desarrollo, Ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- implica ser acatado de manera inmediata por parte de todas las Entidades de orden nacional21. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las Entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En efecto, la Ley 152 de 1994 artículo 26, dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción.” En atención a lo anterior, el Plan de Acción Institucional es el instrumento técnico, legal e idóneo en materia implementación del Plan Nacional de Desarrollo para todas las Entidades públicas del orden nacional, y por tanto, las llamadas a incluir todas las herramientas en materia de planeación de la Entidad para cumplir con el mandato del Legislador.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las Entidades que conforman la Rama Ejecutiva del nivel nacional a través del respectivo Plan de Acción Institucional como lo establece la Ley 152 de 1994 artículo 26 inciso 1. Por ende, la Ley 1955 de 2019 artículo 49, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: Las entidades territoriales tienen sus propios Planes de Desarrollo, Ley 152 de 1994 artículos 31 y siguientes.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una investigación y se decretadedelaoficio la práctica de otras De otra parte, dentro del marco Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios” de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”22 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros23. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la 22 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra 23 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº,2 “Por la cual se impone una sanción y se imparte una orden administrativa” 24. Por eso, incorporan pruebas dentro de una investigación conciencia Por de la la cual se humanidad” según dicho documento, se y se considera “esencial que los de por oficio prácticade de otras derechos humanos sean decreta protegidos unlarégimen Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento ” esencial de la democracia 25. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 23 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Frente a los cargos formulado a la sociedad investigada, es claro para esta Dirección que la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. en su calidad de Responsable del Tratamiento infringió los deberes que le asisten, al usar datos personales del señor XXXX XXXXXXXX XXXXXXXX XXXXX, para contactarlo y realizar gestiones para la localización de un tercero titular de otra obligación, sin contar con su autorización previa expresa e informada, con lo que transgredió el deber contemplado El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 y el deber contemplado en el literal c) del artículo 17 de a Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá una sanción pecuniaria en los siguientes términos: a) Por el incumplimiento del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, la suma equivalente A CUATRO MIL QUINIENTAS UNIDADES DE VALOR TRIBUTARIO (4500) b) Por el incumplimiento del deber contemplado en el literal c) del artículo 17 de a Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, la suma, equivalentes a TRES MIL OCHOCIENTAS UNIDADES DE VALOR TRIBUTARIO (3800) 10.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) 24 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 25 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 la cualuse incorporana la pruebas dentro de una de la investigación y se no hubo Por resistencia obstrucción acción investigativa Superintendencia y, (iv) no hubo decreta de oficio la práctica de otras renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. ” El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción al deber contemplado en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales a) y e) del artículo 4 y el artículo 15 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

DECIMO PRIMERO: CONCLUSIÓNES 10.1. La COMPAÑÍA DE FINANCIAMIENTO TUYA S.A recolectó y trató los datos personales del señor XXXX XXXXXXXX XXXXXXXX XXXXX con el fin de poder ser contactado como referido para que suministrara información de terceros, sin cotar con la autorización previa expresa e informada. 10.2. En la recolección y tratamiento de la información, la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A, no acreditó haber informado previamente al Titular la finalidad para poder tratar sus datos con el animo de conseguir información de terceros como referencias comerciales y personales. 10.3.

Si bien la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., cuenta con una autorización otorgada por el titular, en ella no se incorporó que la información pudiera ser utilizada para fines de contacto como referencia comercial y personal, cuando su información fuera suministrada por terceros. 10.4. Teniendo en cuenta que, para el caso en estudio, la información recolectada y tratada del Titular por parte de COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., no se encuentra en un banco de datos, se da aplicación a la Ley Estatutaria 1581 de 2012 y por lo tanto esta Superintendencia es competente para conocer del presente asunto.

DÉCIMO SEGUNDO: En este orden de ideas, y de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguiente orden:  Ordenar la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3 que implemente medidas internas técnicas y administrativas, que sean pertinentes, útiles y efectivas para que se obtenga el consentimiento previo e informado de los Titulares de información relacionados como “referencias”, cuando se recolecte a través de los formularios dispuestos para solicitudes de crédito y/o cualquier otro medio de recolección de información. Para demostrar lo anterior, la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión, mediante una certificación de cumplimiento de las órdenes impartidas por esta entidad, junto con las pruebas necesarias que demuestren la adopción e implementación de las órdenes aquí impuestas.

DÉCIMO TERCERO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por la cual se incorporan pruebas dentro de una de investigación y sejudicial de la sociedad Legal Judicial Suplente vinculado al correo electrónico notificación decreta de oficio la práctica de otras jcorreal@tuya.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los ” datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En efecto, enseguida se destaca la siguiente sanción: deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo, suscrita por el representante legal junto con las respectivas evidencias

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3, la suma de TRESCIENTOS UN MILLONES TRESCIENTOS CINCUENTA Y SEIS MIL CUATROCIENTOS PESOS M/CTE ($301.356.400), equivalentes a OCHO MIL TRESCIENTOS UNIDADES DE VALOR TRIBUTARIO (8300), por el incumplimiento de lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

(ii) El literal c) del artículo 17 de a Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. En el recibo deberá indicarse el número del expediente y el número de la presente resolución. El pago deberá acreditarse ante la pagaduría de esta Superintendencia, con el original de la consignación, dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución.

ARTÍCULO SEGUNDO: IMPARTIR una orden administrativa a la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3 para que implemente medidas internas técnicas y administrativas, que sean pertinentes, útiles y efectivas para que se obtenga el consentimiento previo e informado de los Titulares de información relacionados como “referencia”, cuando se recolecte a través de los formularios dispuestos para solicitudes de crédito y/o cualquier otro medio de recolección de información. “Por la cual se impone una sanción y se imparte una orden administrativa” HOJA Nº,2 Por lalocual se incorporan pruebasDE dentro de una investigación Para demostrar anterior, la COMPAÑÍA FINANCIAMIENTO TUYAy se S.A. deberá acreditar ante decreta de oficio la práctica de otras esta entidad y dentro del término tres (3) meses contados a partir de la ejecutoria de la presente ” decisión, mediante una certificación de cumplimiento de las órdenes impartidas por esta entidad, junto con las pruebas necesarias que demuestren la adopción e implementación de las órdenes aquí impuestas.

PARÁGRAFO PRIMERO: La COMPAÑÍA DE FINANCIAMIENTO TUYA S.A, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo, suscrita por el representante legal junto con las respectivas evidencias ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3, a través de su representante legal y/o apoderado, entregándoles copia de esta e informándoles que contra ella procede recurso de reposición ante el Director de Investigación de Protección de Datos personales y el de apelación ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a la diligencia de notificación.

ARTICULO CUARTO: COMUNICAR al señor XXXX XXXXXXXX XXXXXXXX XXXXX, identificado con C.C. No. XX.XXX.XXX el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 17 DICIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.12.17 13:34:50 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: YLAC Revisó: AMCC Aprobó: CESM “Por la cual se impone una sanción y se imparte una orden administrativa” Por la cual se incorporan pruebas dentro de una investigación y se NOTIFICACIÓN: decreta de oficio la práctica de otras ” DE FINANCIAMIENTO TUYA S.A Entidad: COMPAÑÍA Identificación: Nit. 860.032.330-3 Representante Legal: XXXX XXXXXXXX XXXXXXXX XXXXX Identificación: C.C. No. XX.XXX.XXX Representante Legal Judicial Suplente: XXXX XXXXXXXX XXXXXXXX XXXXX Identificación: C.C. No. X.XXX.XXX.XXX Dirección: CALLE 4 SUR 43 A 109 PISO 3 Ciudad: Medellín- Antioquia Correo electrónico 1: jcorreal@tuya.com.co Correo electrónico 2: jvelasquez@tuya.com.co Correo electrónico 3: notificacionesjudiciales@tuya.com.co COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXX XXXXXXXX XXXXXXXX XXXXX C.C. No. XX.XXX.XXX XXXXXXXXXXXXXXXXXXXXXXX HOJA Nº,2