Decisión 78221 de 2020 — SIC

(04 DICIEMBRE 2020) VERSIÓN PÙBLICA “Por la cual se impone una sanción administrativa” Radicación 19- 109045 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad SCOTIABANK COLPATRIA S.A. (en adelante “la investigada”), identificada con Nit 860.034.5941, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos, narrados por el señor XXXXXXXXXXXXXXXXXXXXXXXXXX1 identificado con la cédula de ciudadanía XXXXXXXXXX: 1.1 Expuso el titular que “Hace un año cancelé un producto que tenía con Citibank.

El 15 de junio de 2018 me llamaron desde el numero (sic) XXXXXXXXXX informando que querían ofrecerme nuevamente productos, en ese momento ejercí mi derecho a la ley de habeas data revocando el uso de mis datos personales y solicitando que eliminen toda mi información de sus bases de datos, lo cual dijeron que procederían a hacerlo.” 1.2 Aseguró que” El 4 de octubre de 2018 me volvieron a llamar del mismo número a ofrecerme lo mismo y volví a solicitarles que eliminaran mis datos personales porque ya había revocado el uso de mis datos personales.

El día 23 de abril de 2019 me volvieron a llamar y les volví a solicitar que me eliminaran de sus bases de datos, que ya había revocado el uso de mis datos personales por parte de ellos en 2 ocasiones y que esta es la tercera.” 1.3 Adicionalmente, indicó que: “También los contacté por twitter a la cuenta @ScotiaColpatria indicándoles que ya había revocado en dos ocasiones y con la de ese día, 3 ocasiones el uso de mis datos personales por parte de ellos, que por favor procedieran a eso, a lo cual me solicitaron mis datos vía mensaje privado y que me responderían cuando solucionaran mi caso.

El día 24 de abril me respondieron desde la cuenta de twitter @ScotiaColpatria que mi caso había sido solucionado.” 1.4 Afirmó que” El día 6 de mayo fui contactado NUEVAMENTE por ellos vía telefónica (sic) al mismo número de celular, indicando que tenían productos para ofrecerme, lo que indicó que ignoraron 4 veces la solicitud de revocación de uso de mis datos personales, lo cual me parece gravísimo que yo no tenga ante ellos el control para el uso de mis datos personales, sin nisiquiera (sic) tener algún producto financiero con ellos.

“ 1.5 Finalmente “Solicito de manera atenta la ayuda de ustedes para que investiguen por qué esta entidad puede vulnerar mis derechos a uso de mis datos personales sin mi autorización.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, el 05 de diciembre se inició la presente investigación administrativa, mediante la expedición de la Resolución 700712 del 05 de diciembre de 2019, por medio de la cual se formuló un CARGO ÚNICO a la sociedad SCOTIABANK COLPATRIA S.A. identificada con Nit.860.034.594-1. 1 Denuncia presentada por el titular de la información el 14 de mayo 2019, visible en el expediente bajo el consecutivo número 19-109045- -00000-000. 2 Actuación radicada bajo el número 19-109045-7 del 06 de diciembre de 2020.

HOJA N 2, “Por la cual se impone una sanción administrativa”

TERCERO: Que la Resolución 70071 del 05 de diciembre de 2019 le fue notificada personalmente a la sociedad SCOTIABANK COLPATRIA S.A. a través de su representante, el señor KARINA SANCHEZ GONZALEZ, el 10 de diciembre de 2019, según consta en la certificación expedida por la Secretaria General Ad-Hoc de esta Superintendencia radicada bajo el número 19-109045- -13 del 12 diciembre de 2019.

CUARTO: Que mediante escrito radicado bajo el número 19- 109045 -00014-0001 de fecha 2 de enero de 2020, la sociedad SCOTIABANK COLPATRIA S.A. presentó escrito de descargos, a través de su representante legal DIEGO JESUS TOVAR NOVOA, manifestando, entre otras cosas, lo siguiente: 4.1 En primer lugar, la sociedad investigada hace una breve descripción de los antecedentes de la presente actuación administrativa, señalando que, “1.

ANTECEDENTES 1. El señor XXXXXXXXXXXXXXXXXXXXXXXXXX afirma que fue contactado durante las fechas del 15 de junio del 2018, 04 de Octubre (sic) del 2018, 23 de abril de 2019 y 06 de Mayo del 2019, a través del número de celular XXXXXXXXXX, del cual se identificaron como colaboradores de Citibank y Scotiabank Colpatria. 2. Que el 23 de abril de 2019, XXXXXXXXXXXXXXXXXXXXXXXXXX, se contactó a través del twitter de Scotiabank Colpatria para solicitar la revocatoria de sus datos personales y aunque este no es un canal habilitado para radicar quejas, peticiones o reclamos relacionados con la actualización, modificación, revocatoria o supresión de datos personales, el Banco resolvió su solicitud, tal como consta en las capturas de pantalla aportadas por el titular. 3.

Que XXXXXXXXXXXXXXXXXXXXXXXXXX, afirma en su reclamación que fue contactado nuevamente por Scotiabank Colpatria el 06 de Mayo de 2019, razón por la cual el Banco inició una investigación sobre dicho contacto de la cual se concluyó que el número XXXXXXXXXX del cual fue contactado el titular de la información no le corresponde a Colpatria y se trata de una línea reportada como un numero (sic) fraudulento que se encuentra bloqueado para consultas en nuestro IVR ya que ha sido usado para intentar suplantar a diferentes clientes del Banco.

Incluso ha sido reportado por diferentes usuarios en páginas web creadas para el alertamiento de números telefónicos fraudulentos. 4. Que aunque el número celular no corresponde a Scotiabank Colpatria, el Banco validó si existían peticiones, quejas o reclamos del señor XXXXXXXXXXXXXXXXXXXXXXXXXX, radicados a través de los canales de atención que el Banco a dispuesto para ello y que se encuentran publicados en la Política de Tratamiento de Datos Personales del Banco (disponible en la página web) y no encontró ningún requerimiento asociado a la revocatoria de la autorización de tratamiento de datos y/o la supresión de su información personal, diferente a la radicada el 23 de abril de 2019 a través del Twitter de Scotiabank Colpatria, que como ya se menciono fue resuelta al día siguiente.

Igualmente se validó si existieron campañas comerciales dirigidas al titular de la información en las fechas señaladas y tampoco se encontró coincidencia.” 4.2 A continuación, indicó frente al cargo único formulado por este Despacho, en relación con el deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, lo siguiente: “(…) Frente al cargo único imputado al Banco: 3.

Como quedo (sic) probado en el acápite de "Antecedentes" del presente escrito, las llamadas realizadas al titular del dato fueron efectuadas desde un número de celular que no es de propiedad de Scotiabank Colpatria y que además se trata de una línea a través de la cual se realizan prácticas fraudulentas, por lo que no era posible para esta entidad financiera conocer la solicitud de revocatoria de la autorización de tratamiento de datos del titular ya que dicha solicitud se realizó durante las llamadas efectuadas por el tercero suplantador. 4.

Si bien Scotiabank Colpatria no fue quien contacto al titular del dato para el ofrecimiento de productos financieros, una vez éste se comunicó a través del twitter de Scotiabank Colpatria, el banco dio cumplimiento a su solicitud y procedió a marcarlo como cliente no contactable para fines comerciales desde el 23 de abril de 2019, tal como le fue informado al titular del dato al día siguiente de su petición, dando cumplimiento al literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

HOJA N 3, “Por la cual se impone una sanción administrativa”

FUNDAMENTOS JURÍDICOS LA RESPONSABILIDAD EN EL DERECHO ADMINISTRATIVO SANCIONATORIO En vista que la responsabilidad objetiva está proscrita en materia administrativo- sancionatoria, deben valorarse los argumentos y las pruebas presentadas en los descargos dentro del proceso de tal suerte que se permita ver sin lugar a dudas la responsabilidad de la investigada, más aun cuando el artículo 29 de la Constitución Política señala que el debido proceso deberá ser tenido en cuenta en toda clase de actuaciones dentro del Ordenamiento Jurídico.

Tal como lo ha interpretado la jurisprudencia,1 "En materia sancionatoria de la administración, la estimación de los hechos y la interpretación de las normas son expresión directa de la potestad punitiva del Estado, cuyo ejercicio legítimo debe sujetarse a los principios mínimos establecidos en garantía de interés público y de los ciudadanos, entre ellos, los principios de legalidad, imparcialidad y publicidad (y) proscripción de la responsabilidad objetiva-nulla poena sine culpa( )n Dicho lo anterior, es claro que la culpabilidad es uno de los pilares de la actividad sancionadora y además un derecho fundamental garantizado por el Estado de derecho, por lo que resulta necesario que quede demostrada la existencia de culpa del investigado para que pueda operar la responsabilidad en el derecho administrativo sancionatorio.

4. AUSENCIA DE RESPONSABILIDAD DEL BANCO FRENTE AL CARGO IMPUTADO Toda vez que para que exista responsabilidad es necesaria la existencia de un daño, un hecho generador y un nexo de causalidad que permita imputar el daño a la conducta del sujeto activo del daño, en ausencia de la existencia de el nexo de causalidad no es posible efectuar un reproche de responsabilidad bien sea debido a que el hecho es inexistente, o que no resulte atribuible al sujeto que se le atribuye la conducta.

Para el caso en particular se tiene, de conformidad con la redacción fáctica del acápite de "HECHOS" del pliego de cargos, que el señor XXXXXXXXXXXXXXXXXXXXXXXXXX manifestó en su denuncia que "fue contactado durante las fechas del 15 de junio del 2018, 04 de Octubre del 2018, 23 de abril de 2019 y 06 de Mayo del 2019, a través del número de celular XXXXXXXXXX" señalándole que se comunicaban en nombre de Citibank y Scotiabank Colpatria, sin embargo, debe tenerse en cuenta, tal como se mencionó previamente, que la línea celular desde la cual el Titular de la información manifestó que el Banco se comunicó con él no está registrada a nombre del Banco, lo que conduce a aseverar que si bien pudo haberse presentado un hecho vulneratorio del derecho de Habeas Data del Titular, dicha conducta no puede atribuírsele a esta institución financiera.

En este entendido, conforme al acápite de "HECHOS" del pliego de cargo, el Titular de la información manifestó que en las ocasiones en la que se contactaron con él desde la línea celular XXXXXXXXXX expresó su interés al interlocutor de no querer seguir siendo contactado pero que no se atendió su petición, empero, téngase en cuenta que la solicitud la estaba elevando ante un tercero que no guarda relación alguna con el Banco, razón por la cual resultaba imposible para el Banco acceder a suprimir cualquier dato que del señor XXXXXXXXXX pudiese estar siendo objeto de tratamiento.

Conforme a lo anterior, si bien es deber del Responsable del tratamiento proceder a decidir de fondo sobre la supresión de la información del Titular dentro de los términos máximos señalados en la Ley atendiendo a que no medie un deber legal o contractual, este deber debe entenderse que opera a partir del momento en que precisamente el Responsable es enterado efectivamente de la intención de supresión de la información o revocatoria de la autorización por parte del Titular, situación que en el presente caso no tuvo lugar a través de las llamadas telefónicas sino únicamente mediante la red social de Twitter, plataforma que, como también se mención líneas atrás, no es un canal habilitado conforme a las políticas del Banco para la radicación de este tipo de solicitudes pero que, pese a ello, se procedió con la solicitud del titular.

No se puede perder de vista que una de las máximas del derecho indica que "ad impossibilia nemo tenetur", es decir, nadie está obligado a cosas imposibles, y para el presente caso resultaba imposible para el Banco proceder a eliminar un dato y garantizar efectivamente el derecho del Titular si no tenía conocimiento de la intención de este último de que sus datos no continuaran siendo utilizados.

No es dable entonces afirmar que Scotiabank Colpatria sea responsable del cargo que se le imputa ya que como quedó probado en el acápite de "Antecedentes" del presente escrito, las llamadas realizadas al titular del dato, de las cuales se derivó esta investigación administrativa y se formularon cargos en contra de esta entidad financiera, no fueron realizadas por Scotiabank Colpatria si no por un tercero ajeno a esta entidad y por tanto es claro que el daño, ante una posible omisión en la tutela de un derecho, que se haya podido causar al señor XXXXXXXXXXXXXXXXXXXXXXXXXX no surgió con ocasión del ejercicio de alguna de las actividades que desarrolla el Banco sino como consecuencias posiblemente ilícitas de terceros que buscan inducir en error a consumidores de servicios financieros utilizando fraudulentamente el buen nombre de Scotiabank Colpatria, lo que HOJA N 4, “Por la cual se impone una sanción administrativa” rompe a todas luces el nexo de causalidad entre el hecho imputado y el sujeto a quien se atribuye la conducta, es decir, esta entidad financiera.

Lo anterior encuentra fundamento en la causal de exoneración consistente en el hecho de un tercero, toda vez que esta es la causa determinante del posible daño causado al titular del dato, cuyo causante directo es un tercero ajeno al Banco por el cual Scotiabank Colpatria no debe responder por no existir ningún vinculo (sic) legal o contractual que así lo determine.

En palabras del Consejo de Estado esta causal se configura "siempre y cuando se demuestre que la circunstancia extraña es completamente ajena al servicio y que este último no se encuentra vinculado en manera alguna con la actuación de aquél, de manera que se produce la ruptura del nexo causal; además, como ocurre tratándose de cualquier causa extraña, se ha sostenido que la misma debe revestir las características de imprevisibilidad e irresistibilidad ( )"2 Adicional a la inexistencia del nexo causal entre el daño causado, el hecho generador y el sujeto investigado, es claro que el contacto que hagan terceros en nombre de una entidad financiera para efectuar actos fraudulentos es un hecho irresistible e imprevisible para el Banco, ya que además de implementar medidas de seguridad rigurosas para asegurar nuestras obligaciones como responsables de la administración de la información de nuestros clientes, no nos es posible controlar las acciones fraudulentas que realicen terceros de mala fe.

No obstante, periódicamente realizamos campañas informativas dirigidas a todos nuestros clientes con el propósito de mantenerlos informados sobre las medidas de segundad que deben seguir en la realización de transacciones a través de nuestros canales e incluso en el aseguramiento de su información.” 4.3 Concluyó su escrito, señalando que: 1. 2. 3.

El Banco no vulnero (sic) el derecho de habeas data del titular del dato toda vez que no fue éste quien realizo las llamadas relacionadas en la reclamación del señor XXXXXXXXXXXXXXXXXXXXXXXXXX. El Banco no incumplió su deber de garantizar el derecho a revocar la autorización y/o a solicitar la supresión de los datos del señor XXXXXXXXXXXXXXXXXXXXXXXXXX, ya que esta entidad financiera solo conoció de su solicitud hasta el 23 de abril de 2019 fecha en la cual el titular del dato se comunicó a través del Twitter de Scotiabank.

Adicionalmente, si bien el Banco no realizo las llamadas que dieron origen a esta investigación, procedió a atender la solicitud del peticionario y al día siguiente se le informo que había sido bloqueado para contacto comercial por parte de esta entidad.” 4.4 Finalmente, solicitó decretar las siguientes pruebas: 1. Solicitamos oficiar a las empresas de telefonía móvil para que acrediten que la línea telefónica a través de la cual se realizó el contacto al titular del dato no corresponden a Scotiabank Colpatria. 2.

Solicitamos consultar los links que se copian a continuación, y los demás que consideren pertinentes, para que se verifique que la línea de la cual se realiza el contacto al titular ha sido reportada como fraudulenta por diferentes personas: XXXXXXXXXXXXXXX XXXXXXXXXXXX”

QUINTO: Que mediante Resolución 27658 del 10 de junio de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-109045-16-1 del 16 de junio de 2020, negó la prueba solicitada por la sociedad SCOTIABANK COLPATRIA S.A. y en el mismo acto administrativo se decretó a petición de parte, la práctica de una prueba consistente en: “oficiar a las empresas de telefonía móvil para que acrediten que la línea telefónica a través de la cual se realizó el contacto al titular del dato no corresponden (sic) a Scotiabank Colpatria.”

SEXTO: Que la Resolución 27658 del 10 de junio de 2020 fue notificada el día 16 de junio de 2020 al señor LUIS RAMON GARCES DIAZ en representación de la sociedad investigada el SCOTIABANK COLPATRIA S.A, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 19-109045 -25 del 10 de agosto de 2020.

SÉPTIMO: Que mediante escrito radicado bajo el número 19-109045- -00026-0001 del 11 de agosto de 2020, la sociedad COMCEL S.A dio respuesta a lo ordenado por esta Dirección, mediante Resolución 27658 del 10 de junio de 2020, documento a través del cual manifestó lo siguiente: HOJA N 5, “Por la cual se impone una sanción administrativa” “(…) De manera atenta y dentro de la oportunidad legal, en relación con la respectiva actuación administrativa, de acuerdo a su requerimiento donde solicitan: Informe los datos de identificación (nombre, cédula o NIT) y ubicación (dirección, ciudad y correo electrónico) del suscriptor de la línea de telefonía celular XXXXXXXXXX en caso de que dicha información se encuentre registrada en sus bases de datos y/o archivos.

OCTAVO: Que mediante oficio radicado bajo el número 19-109045- -00032-0001 del 26 de agosto de 2020, este Despacho corrió traslado a la sociedad SCOTIABANK COLPATRIA S.A por un término de 10 días, para que presentaran los respectivos alegatos de conclusión, una vez vencido el término la investigada guardó silencio.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 3 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 6, “Por la cual se impone una sanción administrativa” 10.1 Valoración probatoria y conclusiones 10.1.1 Respecto del deber garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. El artículo 17 en el numeral a) de la ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares así: Artículo 17.

El cual indica Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. En relación con el deber de Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Señaló la Corte mediante sentencia C – 748 de 2011: “…. se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares” En ese sentido, es deber del Responsable garantizar que si un Titular quiere hacer uso del derecho de supresión de los datos de cualquier medio que los contenga, el Responsable debe proceder de conformidad.

Este punto es reiterado por el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, el cual establece que: "Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos. mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012" En el caso objeto de estudio, se encuentra que el señor XXXXXXXXXXXXXXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia, a través de denuncia, la cual quedó radicada bajo el número 19-109045-00000-000 del 14 de mayo de 2019, que la sociedad SCOTIABANK COLPATRIA S.A. estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: “Hace un año cancelé un producto que tenía con Citibank.

El 15 de junio de 2018 me llamaron desde el numero (sic) XXXXXXXXXX informando que querían ofrecerme nuevamente productos, en ese momento ejercí mi derecho a la ley de habeas data revocando el uso de mis datos personales y solicitando que eliminen toda mi información de sus bases de datos, lo cual dijeron que procederían a hacerlo. El 4 de octubre de 2018 me volvieron a llamar del mismo número a ofrecerme lo mismo y volví a solicitarles que eliminaran mis datos personales porque ya había revocado el uso de mis datos personales.

El día 23 de abril de 2019 me volvieron a llamar y les volví a solicitar que me eliminaran de sus bases de datos, que ya había revocado el uso de mis datos personales por parte de ellos en 2 ocasiones y que esta es la tercera. También los contacté por twitter a la cuenta @ScotiaColpatria indicándoles que ya había revocado en dos ocasiones y con la de ese día, 3 ocasiones el uso de mis datos personales por parte de ellos, que por favor procedieran a eso, a lo cual me solicitaron mis datos vía mensaje privado y que me responderían cuando solucionaran mi caso.

El día 24 de abril me respondieron desde la cuenta de twitter @ScotiaColpatria que mi caso había sido solucionado. El día 6 de mayo fui contactado NUEVAMENTE por ellos vía telefonica (sic) al mismo número de celular, indicando que tenían productos para ofrecerme, lo que indicó que ignoraron 4 veces la solicitud de revocación de uso de mis datos personales, lo cual me parece gravísimo que yo no tenga ante ellos el control para el uso de mis datos personales, sin nisiquiera (sic) tener algún producto financiero con ellos.

Solicito de manera atenta la ayuda de ustedes para que investiguen por qué esta entidad puede vulnerar mis derechos a uso de mis datos personales sin mi autorización.” HOJA N 7, “Por la cual se impone una sanción administrativa” Así mismo, el titular allegó a esta Superintendencia, captura de pantalla correspondiente a los registros telefónicos, los cuales dan cuenta, según lo expresado por el denunciante, de los contactos realizados por la sociedad investigada con fines publicitarios, mismas, a través de las cuales, simultáneamente, afirma haber solicitado la eliminación de su información personal en las bases de datos de la sociedad SCOTIABANK COLPATRIA S.A, así: En el mismo sentido, dentro del material probatorio allegado por el Titular, se observan las imágenes que a continuación se citan, mediante las cuales solicitó la eliminación de sus datos personales, a través de la red social twitter el día 23 de abril de 2019, así: HOJA N 8, “Por la cual se impone una sanción administrativa” Por lo anterior y debido a la negligencia de la sociedad investigada frente a las solicitudes de supresión de datos presentadas por el titular, vía telefónica y vía twitter el día 23 de abril de 2019, el señor XXXXXXXXXXXXXXXXXXXXXXXXXX debió acudir ante esta Superintendencia en búsqueda del amparo de su derecho fundamental.

Consecuencia de los hechos advertidos por el denunciante y del material probatorio obrante en el expediente, este Despacho formuló cargos, mediante la Resolución 70071 del 05 de diciembre de 2019, por la cual se abre una investigación y formulan cargos, radicado bajo número 19-109045-0007-1 del 6 de diciembre de 2019 y sustentó este cargo en las siguientes consideraciones: HOJA N 9, “Por la cual se impone una sanción administrativa” “En el caso bajo estudio, el Titular afirmó que la sociedad SCOTIABANK COLPATRIA S.A. realizó tres (3) llamadas telefónicas al Titular XXXXXXXXXXXXXXXXXXXXXXXXXX posteriores al 15 de junio de 2018, fecha en la cual el Titular ejerció su derecho de Habeas Data, al solicitar la supresión de sus datos personales de las bases de datos de LA INVESTIGADA, y que de igual manera el 23 de abril de 2019 solicitó de nuevo la eliminación de sus datos a través de la cuenta de Twitter @scotiacolpatria, petición que fue resuelta a su favor el día 24 de abril de 2019, pero pese a ello el día 06 de mayo de 2019 volvió a ser contactado de nuevo por LA INVESTIGADA; lo cual permite evidenciar preliminarmente una vulneración al derecho de Habeas Data del Titular cuando este solicitó la supresión de su información. Esta conducta se subsume típicamente en una presunta contravención al deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.” A su turno, la investigada en su escrito de descargos4, sustentó su defensa, afirmando que: (…) conforme al acápite de "HECHOS" del pliego de cargo, el Titular de la información manifestó que en las ocasiones en la que se contactaron con él desde la línea celular XXXXXXXXXX expresó su interés al interlocutor de no querer seguir siendo contactado pero que no se atendió su petición, empero, téngase en cuenta que la solicitud la estaba elevando ante un tercero que no guarda relación alguna con el Banco, razón por la cual resultaba imposible para el Banco acceder a suprimir cualquier dato que del señor XXXXXXXXXX pudiese estar siendo objeto de tratamiento..” En tal sentido, con el propósito de garantizar el ejercicio del derecho de defensa y contradicción que le asiste a la sociedad investigada, al manifestar que la línea telefónica de la cual procedían las llamadas realizadas al Titular, no eran de su propiedad de a; la Dirección procedió a oficiar a los operadores de telecomunicaciones a efectos de verificar la titularidad de dicho abonado.

Así las cosas, mediante escrito de fecha 10 de agosto de 2020, radicado bajo el número 19-109045-00026-0001 del 11 de agosto de 2020, el operador de telecomunicaciones COMCEL S.A dio respuesta a lo ordenado por esta Dirección, manifestando lo siguiente: “(…) De manera atenta y dentro de la oportunidad legal, en relación con la respectiva actuación administrativa, de acuerdo a su requerimiento donde solicitan: Informe los datos de identificación (nombre, cédula o NIT) y ubicación (dirección, ciudad y correo electrónico) del suscriptor de la línea de telefonía celular XXXXXXXXXX en caso de que dicha información se encuentre registrada en sus bases de datos y/o archivos.

COMCEL S.A. procede a emitir la respuesta correspondiente a lo solicitado, en archivo Excel adjunto donde se identifica: • • • • • • • • • NOMBRE_CLIENTE: CITIBANK COLOMBIA IDENTIFICACION: NIT 860051135 DIRECCION: CR. 9A Nro. 99-02 P 2 CHICO CIUDAD: BOGOTA/CUNDINAMARCA CORREO ELECTRONICO: No registra FECHA_ ACTIVACION: 23/10/2014 FECHA_ DESACTIVACION: 01/01/2020 ESTAD: Inactiva MODALIDAD DE ACTIVACION: Pospago” De esta manera, conforme a la información suministrada por el operador COMCEL S.A, la línea de telefonía celular XXXXXXXXXX corresponde a la sociedad Citibank; así las cosas, es importante resaltar que el banco Citibank cedió sus obligaciones al banco Colpatria, como quedó estipulado en la Resolución número 0771 del 18 de junio de 2018 proferida por la Superintendencia Financiera de Colombia. 5 En armonía con lo expuesto, la sociedad SCOTIABANK COLPATRIA S.A publicó en su página web el siguiente mensaje informativo: “(…) Con fecha 30 de junio de 2018, Scotiabank Colpatria S.A. ("Scotiabank Colpatria") adquirió la operación en Colombia de banca de consumo y de pequeñas y medianas empresas de Citibank Colombia S.A. ("Citibank").

A partir del 1 de julio de 2018, la gestión de los productos que Ud. mantenía con Citibank, junto con sus derechos y obligaciones, han quedado bajo la exclusiva responsabilidad de Scotiabank Colpatria”6 4 Escrito de descargos presentado por el representante legal de la sociedad investigada bajo radicado número 19-109045-00014-0000 del 2 enero de 2020. 5 Resolución No 0771 del 18 de junio de 2018 expedida por Superintendecia Financiera de Colombia.

“por la cual se autoriza la cesión parcial de activos, pasivos y contratos por parte de Citibank Colombia S.A a Banco Colpatria Multibanca Colpatria S.A 6https://www.scotiabankcolpatria.com/juntos-mas-por-alcanzar/preguntas-y-respuestas. HOJA N 10, “Por la cual se impone una sanción administrativa” Ahora, una vez verificado el Certificado de Existencia y Representación Legal de la sociedad SCOTIABANK COLPATRIA S.A. expedido por la Cámara de Comercio de Bogotá, se observa que “(…) por Escritura Pública No. 10726 de la Notaría 29 de Bogotá D.C. Del 15 de junio de 2018, inscrita el 19 de junio de 2018 bajo el número 02350394 del libro IX, la sociedad de la referencia cambió su nombre de: BANCO COLPATRIA MULTIBANCA COLPATRIA S A y podrá utilizar cualquiera de los siguientes nombres abreviados o siglas BANCO COLPATRIA o COLPATRIA MULTIBANCA o MULTIBANCA COLPATRIA o COLPATRIA RED MULTIBANCA, por el de: SCOTIABANK COLPATRIA S.A y podrá utilizar cualquiera de los siguientes nombres abreviados o siglas BANCO COLPATRIA, SCOTIABANK, SCOTIABANK COLPATRIA, COLPATRIA SCOTIABANK, COLPATRIA MULTIBANCA, MULTIBANCA COLPATRIA.” En este punto, cobra especial relevancia, destacar que en el ordenamiento jurídico colombiano, la fusión de sociedades está contemplada en el artículo 172 del Código de Comercio, el cual a su tenor literal establece, lo que a continuación se cita: “Habrá fusión cuando una o más sociedades se disuelvan, sin liquidarse, para ser absorbidas por otra o para crear una nueva.

La absorbente o la nueva compañía adquirirá los derechos y obligaciones de la sociedad o sociedades disueltas al formalizarse el acuerdo de fusión.” Así las cosas, teniendo en cuenta que la línea de telefonía celular XXXXXXXXXX perteneció a la sociedad CITIBANK Colombia, hoy SCOTIABANK COLPATRIA S.A, desde el 23 de octubre de 2014 al 1 de enero de 2020; y pese a que la línea móvil en comento a la fecha se encuentra inactiva; es claro para este Despacho que para la fecha de ocurrencia de los hechos materia de investigación, dicho número se encontraba activo y la sociedad investigada ostentaba la calidad de titular de la misma.

Igualmente, es importante resaltar que, para la fecha de ocurrencia de los hechos, Citibank ya había cedido sus derechos y obligaciones a la sociedad COLPATRIA S.A, como quedó estipulado mediante resolución expedida por Superintendecia Financiera de Colombia 7, posteriormente fusionándose con la sociedad SCOTIABANK el día 15 de junio de 2018, quedando finalmente como SCOTIABANK COLPATRIA S.A. Ahora bien, revisado el acervo probatorio se encuentra que mediante la denuncia presentada por el señor XXXXXXXXXXXXXXXXXXXXXXXXXX el 14 de mayo de 2019 ante esta Superintendecia por la vulneración al derecho fundamental de habeas data, allegó captura de registros de llamadas de la línea telefónica XXXXXXXXXX que dan cuenta que la sociedad SCOTIABANK COLPATRIA S.A realizó llamadas al titular con fines de prospección comercial, de igual modo, a través de las cuales, simultáneamente, solicitó la supresión de su información personal en las bases de datos de la sociedad SCOTIABANK COLPATRIA S.A, así: • • • • • • • • • El día 25 de marzo 2018 hora 8 41 pm: duración 37 segundos El día 7 de abril de 2018, hora 1: 05 pm: duración 1 minuto con 9 segundos El día 24 de abril de 2018, hora 9: 40 llamada perdida El día 8 de mayo de 2018, hora 9: 06 llamada perdida El día 15 de junio 2018, hora 4: 14 pm duración 2 minutos 5 segundos El día 24 de septiembre 2018, hora 8:31 am llamada perdida El día 4 de octubre de 2018, hora 8: 02 am: duración 1 minuto con 3 segundos El día 5 octubre 2018, hora 8:31 am llamada perdida El día 5 octubre 2018, hora 2:26 pm: duración 48 segundos Por consiguiente, el titular XXXXXXXXXXXXXXXXXXXXXXXXXX solicitó la eliminación de sus datos a la sociedad SCOTIABANK COLPATRIA S.A vía twitter @scotiacolpatria el día 23 de abril de 2019, como se evidencia continuación: 7 Resolución No 0771 del 18 de junio de 2018 expedida por Superintendecia Financiera de Colombia.

“por la cual se autoriza la cesión parcial de activos, pasivos y contratos por parte de Citibank Colombia S.A a Banco Colpatria Multibanca Colpatria S.A HOJA N 11, “Por la cual se impone una sanción administrativa” Por ende, la sociedad SCOTIABANK COLPATRIA S.A el día 23 de abril de 2019 le solicitó al señor XXXXXXXXXXXXXXXXXXXXXXXXXX sus datos personales por mensaje interno vía twitter para proceder con la solución del caso, como se expone a continuación: Dado lo anterior, el señor XXXXXXXXXXXXXXXXXXXXXXXXXX el día 23 de abril de 2019 envió sus datos personales a la sociedad SCOTIABANK COLPATRIA S.A por mensaje privado en la red social twitter así: De ahí que, frente a la solicitud de supresión de datos el día 23 de abril de 2019 la sociedad SCOTIABANK COLPATRIA S.A le manifestó al titular XXXXXXXXXXXXXXXXXXXXXXXXXX vía twitter, que su caso había sido solucionado, como se expone a continuación: Finalmente, el señor XXXXXXXXXXXXXXXXXXXXXXXXXX le manifestó vía twitter a la sociedad SCOTIABANK COLPATRIA S.A que sus datos personales habían vuelto a ser tratados, aun después de que el 24 de abril de 2019 les hubiese advertido que no quería seguir recibiendo llamadas por parte de la sociedad, como se evidencia a continuación: HOJA N 12, “Por la cual se impone una sanción administrativa” En consecuencia, si bien no es posible apreciar el contenido de las llamadas, en tanto que estas no fueron aportadas a la presente investigación en el medio en que fueron generadas, para constituirse como mensaje de datos, conforme a lo preceptuado por la Ley 527 de 1999 8; esta Dirección sí pudo valorar en conjunto las pruebas documentales como un indicio.9 De ello que, los registros de llamadas y capturas de pantalla de la red social Twitter aportados por el denunciante, así como la respuesta otorgada por parte del operador de telecomunicaciones COMCEL S.A; le permitieron a esta Dirección realizar una inferencia lógica fundada en la sana crítica y, con ello, corroborar los hechos denunciados por el señor XXXXXXXXXXXXXXXXXXXXXXXXXX respecto de las llamadas con fines de prospección comercial realizadas por la sociedad SCOTIABANK COLPATRIA S.A, pese a que el Titular ya había solicitado en reiteradas oportunidades la supresión de sus datos.

Así las cosas, esta Dirección concluye que: (i) La sociedad SCOTIABANK COLPATRIA S.A, contrario a lo expresado en sus descargos “(…) las llamadas realizadas al titular del dato fueron efectuadas desde un número de celular que no es de propiedad de Scotiabank Colpatria”, si realizó las llamadas, desde el número XXXXXXXX, al titular XXXXXXXXXXXXXXXXXXXXXX con fines de prospección comercial.

(ii) El Titular solicitó la supresión de sus datos personales por el mismo medio que fue contactado, es decir vía telefónica10, realizando la primera solicitud el día 15 de junio de 2018 como lo manifestó en su denuncia y se evidenció en el registro de llamadas, sin embargo, también tuvo que hacerlo vía twitter el día 23 de abril de 2019.

De igual modo, posterior al 24 de abril de 2019 indicó el titular vía twitter que recibió nuevamente una llamada con fines de prospección comercial por parte de la sociedad, es decir trascurrieron (10) diez meses sin la efectiva supresión del dato. (iii) En vista de que la sociedad SCOTIABANK COLPATRIA S.A hizo caso omiso a las solicitudes de supresión realizadas por los canales en cita, el Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXX acudió a esta Superintendencia el 14 de mayo de 2019, en busca del amparo de su derecho fundamental de habeas data, debido a la falta de diligencia de la investigada en la atención a las solicitudes de supresión de datos.

(iv) La sociedad SCOTIABANK COLPATRIA S.A no garantizó al titular XXXXXXXXXXXXXXXXXXXXXXXXXX su derecho fundamental de hábeas data, y contrario a lo manifestado en su escrito de descargos “(…) el banco dio cumplimiento a su solicitud y procedió a marcarlo como cliente no contactable para fines comerciales desde el 23 de abril de 2019, tal como le fue informado al titular del dato al día siguiente de su petición”.

Es evidente para este Despacho que, el titular continúo recibiendo llamadas con fines de prospección comercial, como lo indicó a la sociedad investigada a través de la red social twitter; situaciones que, en su conjunto, dan cuenta de un actuar negligente de la sociedad investigada. Es importante hacer mención de la norma objeto de reproche por la Dirección, así, el legislador estatutario estableció en el literal a artículo 17 de la ley 1581 de 2012 el deber que corresponde a los Responsables del Tratamiento de garantizar, en todo tiempo el pleno y efectivo goce del derecho fundamental de habeas data a los titulares de la información dicha normativa se relaciona a su vez con lo expresado en el artículo 8º, contentivo de los derechos que les a asiste a estos últimos.

“ARTÍCULO 8o. DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: ARTICULO 2o. DEFINICIONES. Para los efectos de la presente ley se entenderá por: a) Mensaje de datos. La información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax;

Parra Quijano, Jairo. Manual de Derecho Probatorio, decimoséptima edición, 2009, Librería Ediciones del Profesional Ltda. pág. 618. “el indicio es un hecho del cual se infiere otro desconocido. Debe quedar suficientemente claro que el indicio es, por así decirlo, un hecho especialmente cualificado porque tiene la propiedad de salirse de sí mismo y mostrar otro.” 10 Los días 25 de marzo 2018 hora 8 41 pm: duración 37 segundos, 7 de abril de 2018, hora 1: 05 pm: duración 1 minuto con 9 segundos, 15 de junio 2018, hora 4: 14 pm duración 2 minutos 5 segundos, 4 de octubre de 2018, hora 8: 02 am: duración 1 minuto con 3 segundos, 5 octubre 2018, hora 2:26 pm: duración 48 segundos.

HOJA N 13, “Por la cual se impone una sanción administrativa” (…) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

ARTÍCULO 17 DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…) Por ello mismo, es importante traer a colación el artículo 2.2.2.25.2.6 del Decreto Reglamentario 1074 de 2015, el cual dispone lo siguiente: “Artículo 2.2.2.25.2.6.

Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido término legal respectivo, el responsable y/o el encargado, según el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo de la Ley 1581 de 2012.” Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de hábeas data, permite a los Titulares solicitar la exclusión de información que haya sido recogida en todas las bases de datos, pues el Titular podrá revocar la autorización y solicitar la supresión del dato cuando, además de que no se respeten los principios, derechos y garantías constitucionales y legales11, no exista una obligación legal o contractual que imponga al titular el deber de permanecer en la referida base de datos.

Por otro lado, respecto de la afirmación realizada por la investigada, al sostener que:“ (…) el Responsable es enterado efectivamente de la intención de supresión de la información o revocatoria de la autorización por parte del Titular, situación que en el presente caso no tuvo lugar a través de las llamadas telefónicas sino únicamente mediante la red social de Twitter, plataforma que, como también se mención (sic) líneas atrás, no es un canal habilitado conforme a las políticas del Banco para la radicación de este tipo de solicitudes pero que, pese a ello, se procedió con la solicitud del titular.”, el mismo no es del recibo de esta Dirección, pues tal y como quedó demostrado mediante captura de pantalla allegada por el denunciante, se evidenció, que se le indicó al Titular “ gracias por utilizar nuestros canales”, además de habérsele informado que su caso había sido solucionado; es decir, se había procedido con la supresión del dato.

No obstante lo anterior, el titular siguió recibiendo llamadas con fines comerciales, como se evidencia a continuación: 11 En cuyo caso, y con el fin de garantizar el debido proceso, corresponderá a la Superintendecia de Industria y Comercio determinar que en el tratamiento el responsable o el encargado han incurrido en conductas contrarias al ordenamiento.

HOJA N 14, “Por la cual se impone una sanción administrativa” Siguiendo con los argumentos propuestos por la investigada al manifestar que: “(…) debe tenerse en cuenta, tal como se mencionó previamente, que la línea celular desde la cual el Titular de la información manifestó que el Banco se comunicó con él no está registrada a nombre del Banco, lo que conduce a aseverar que si bien pudo haberse presentado un hecho vulneratorio del derecho de Habeas Data del Titular, dicha conducta no puede atribuírsele a esta institución financiera,”.

Encuentra este Despacho que, contrario a lo señalado, se evidenció que el número XXXXXXXXXX desde el cual se contactó al señor XXXXXXXXXXXXXXXXXXXXXXXXXX, para fines comerciales, sí provenían del hoy denominado SCOTIABANK COLPATRIA S.A, como quedó demostrado líneas atrás del presente escrito. En virtud de lo expuesto, este Despacho impondrá una sanción de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por el incumplimiento del deber de garantizar al titular el pleno y efectivo ejercicio del derecho de habeas data, contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” HOJA N 15, “Por la cual se impone una sanción administrativa” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 12.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional13 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 14 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 13 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 14 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N 16, “Por la cual se impone una sanción administrativa” y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros15. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”16.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia17. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley 15 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 16 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 17 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 17, “Por la cual se impone una sanción administrativa” De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”18 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados19.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la sociedad SCOTIABANK COLPATRIA S.A. en su calidad de responsable del tratamiento vulnero el precepto normativo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, al no atender efectivamente la solicitud de supresión de información en todas sus bases de datos, efectuada en ejercicio del derecho de hábeas data por el titular.

De acuerdo con lo anterior, es claro que la sociedad investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario. 10.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones. 18 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 19 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una v ez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierr e inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un pres unto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 18, “Por la cual se impone una sanción administrativa”

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción por la siguiente razón: • Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, al no atender efectivamente la solicitud de supresión de información en sus bases de datos, efectuada en ejercicio del derecho de hábeas data por el denunciante.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad SCOTIABANK COLPATRIA S.A. identificada con el Nit. 860.034.594-1 de expediente, encuentra este Despacho procedente imponer a la sanción correspondiente SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por violación a lo dispuesto en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SCOTIABANK COLPATRIA S.A. identificada con el Nit. 860.034.594-1 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: COMUNICAR el contenido de la presente decisión al señor XXXXXXXXXXXXXXXXXXXXXXXXXX identificado con la cédula de ciudadanía XXXXXXXXXX

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 04 DICIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.12.04 13:29:11 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Entidad: SCOTIABANK COLPATRIA S.A. Identificación: Nit. 860.034.594-1 Representante Legal: LUIS RAMÓN GARCÉS DÍAZ Identificación: C.C. No. 79.542.604 Dirección: Carrera 7 No. 24-89 P 12 Correo electrónico: notificbancolpatria@colpatria.com Ciudad: Bogotá, D.C-Colombia Representante Legal: DIEGO JESÚS TOVAR NOVOA Identificación: C.C. No. 79.059.230 Dirección: Carrera 7 No. 24-89 P 41 Correo electrónico: diego.tovar@scotiabank.com.co Ciudad: Bogotá, D.C-Colombia COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXXXX Dirección: XXXXXXXX Correo electrónico: XXXXXXXX Ciudad: XXXXXXXX HOJA N 19,

Resolución sancionatoria N° 78221 de 2020

CONSIDERANDO

RESUELVE