REPUBLICA DE CO LO M BIA (28 de junio de 2024) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 21-59860 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante Resolución No. 1016 del 26 de enero de 2024, esta Dirección de Investigación de Protección de Datos Personales resolvió: “(…)
ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601-0, de NOVENTA Y TRES MILLONES TRESCIENTOS DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($93.302.520), equivalente a OCHO MIL QUINIENTAS VEINTE UNIDADES DE VALOR BÁSICO VIGENTES (8.520), por la violación del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.
(…)
ARTÍCULO 2. ORDENAR a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.6010, cumplir con las siguientes instrucciones: - Implementar todas las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a la información personal contenida en sus bases de datos, con el fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. - Abstenerse de divulgar y compartir datos personales de tipo sensible de los titulares de información por medio de la plataforma Whatsapp.
(…)”.
SEGUNDO: Que, la Resolución No. 1016 del 26 de enero de 2024 se notificó electrónicamente el día 26 de enero de 2024 a la sociedad BAGUER S.A.S., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-59860-71 del 29 de enero de 2024.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 21-59860-72 del 8 de febrero de 2024, la sociedad BAGUER S.A.S. interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución No. 1016 del 26 de enero de 2024, con fundamento en los siguientes motivos de inconformidad: - En primer lugar, la sociedad recurrente realiza un recuento de los antecedentes del proceso de la referencia. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” - Frente al cargo único, la sociedad recurrente señala lo siguiente: “(…) ➢ Respecto a la afirmación expuesta por su despacho en el (sic) que hace referencia a que “BAGUERS S.A.S no conservó la información personal bajo las medidas de seguridad adecuadas para impedir su acceso a terceros autorizados”, discrepamos de dicha posición, toda vez, que tal y como lo hemos argumentado a lo largo de la investigación administrativa, BAGUER S.A.S desde la entrada en vigor de la Ley 1581 de 2012 ha diseñado, implementado y monitoreado un sistema de datos personales conforme a la guía accountability promulgada por la Superintendencia de Industria y Comercio, y como lo señala en su política de tratamiento de la información, “ha instituido dentro de esta Política de Protección de Datos Personales - PTI, las reglas y principios necesarios para brindarle protección al Titular de los datos que se tratan dentro de la organización, de cualquier riesgo de vulneración de sus derechos, con miras a garantizarle su Dignidad Humana a partir de la implementación de las medidas necesarias y efectivas para cumplir las obligaciones establecidas en la ley 1581 de 2012 y sus decretos reglamentarios.” Partiendo de lo anterior, BAGUER S.A.S en su condición de responsable del tratamiento de datos personales, cumple con el deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
Esta afirmación se refleja en POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES desarrollada e implementada por la empresa BAGUER S.A.S, la “POLÍTICA DE USO DE INFORMACIÓN CONFIDENCIAL PARA LA AUTENTICACIÓN Y RESTRICCIÓN DEL ACCESO A LA INFORMACIÓN” y el “PROTOCOLO DE GESTION DE CONSULTAS y RECLAMOS”, la cual obra como pruebas dentro del plenario.
Frente al caso sub examine controvertimos cada uno de los argumentos expuesto por su despacho en el análisis de las pruebas en el acápite de VALORACION PROBATORIA, así: o Manifiesta el Despacho que no aportamos la totalidad de los documentos y que por ello no es posible identificar cuáles son los datos referidos en el mencionado contrato dados por el titular.
Por solicitud expresa del señor XXXXX XXXXXXX XXXXXX XXXXXXX identificado con cédula de ciudadanía No. XXXXXXXXX, en el mes de octubre de 2017, se le aprueba un cupo de crédito para ser usado en compras realizadas en nuestros establecimientos de comercio. Que para iniciar el trámite de estudio crediticio se le solicitó previamente al cliente nos otorgara la autorización para el tratamiento de datos personales y con posterioridad suscribió los respectivos documentos que regularían nuestra relación comercial, tales como, Autorización de reporte a Centrales de Riesgo, Autorización de notificación de aviso previo al reporte por mensaje de texto y demás. El señor XXXXX XXXXXXX XXXXXX XXXXXXX adquirió una obligación con BAGUER S.A.S por compras realizadas en nuestras tiendas, respaldadas con un Pagaré - Carta de Instrucción, Facturas de venta, documentos firmados por el cliente y en los que constan sus datos personales como número de cédula y el celular de contacto XXXXXXXXX.
Se adjuntan como Anexo 1 con el fin de demostrar que existe una relación comercial real, soportada con documento legales en los que figura información personal otorgada por el titular al momento de la suscripción los mismos. o Se argumenta en la resolución de imposición de la sanción que no se evidenció que el cliente haya establecido el número de celular XXXXXXXXX como su número de contacto.
Discrepamos de dicha afirmación, toda vez, que efectivamente, al inicio de la relación comercial el número autorizado de contacto era el XXXXXXXXX como se puede observar y probar con los documentos antecedidos, pero, que posteriormente siendo 23 de enero de 2019, el cliente se comunica desde el número XXXXXXXX solicitando un acuerdo de pago e informando la intención de actualización de sus datos por motivo de cambio de línea de celular.
Anexo 2. A partir de esa fecha, BAGUER S.A.S actualiza la información dejando como número de contacto el XXXXXXXXX pues se entendió que dicho número era el nuevo número de contacto. Lo anterior, consta en la llamada que obra como prueba en este proceso, y en nuestro sistema como figura en la siguiente imagen. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En relación a este tema, es importante señalar que la Superintendencia de Industria y Comercio enfatiza el derecho de los titulares de la información a "actualizar sus datos personales frente a los Responsables y/o Encargados del Tratamiento de la información cuando son parciales, fraccionados o incompletos".
En este contexto, se comprende que BAGUER S.A.S., en cumplimiento de esta obligación, ha procedido a actualizar la información correspondiente al señor XXXXX XXXXXXX XXXXXX. Se procedió a la eliminación de los datos que se consideraban desactualizados y reemplazándolos por la nueva información, lo cual deja entrever el cumplimiento a cabalidad de las normas por parte de BAGUER S.A.S. y la diligencia para tratar los datos personales de acuerdo con las instrucciones legales. o Que entre el 23 de enero de 2019 y el 12 de marzo de 2019, nuestra empresa contactó al señor XXXXX XXXXXXX XXXXXX al número de celular de contacto XXXXXXXXX, a través de mensaje de voz y llamadas.
Se visualiza en nuestro sistema así: o Específicamente el día 18 de febrero de 2019, se contacta al cliente al celular XXXXXXXX con el ánimo de llegar a un acuerdo de pago y se procede a preguntar si con el número mencionado utiliza whatsapp para ser contactado, respondiendo afirmativamente. Consta en el audio de llamada vista en el Anexo 3.
Adicional, el día 28 de febrero de 2019, se contacta al cliente al celular XXXXXXXXX para hacer un compromiso de pago de la obligación en mora. Anexo 4. Nótese, que en ninguna de las llamadas el señor XXXXX XXXXXXX XXXXXX XXXXXXX manifiesta que el celular XXXXXXXXX no es su nuevo número de contacto autorizado, o que el número correspondía a otra persona o que correspondía a un celular corporativo, contrario a lo anterior, contesta y acepta la llamada, efectúa acuerdos de pago con nuestra empresa y no solicita actualización, modificación o eliminación de dicho dato personal, lo que logra demostrar que ese número corresponde al celular de contacto del cliente.
En gracia de discusión, si ese no fuera su nuevo número de contacto autorizado lo habría manifestado en los contactos posteriores a la llamada del 23 de enero de 2019. Reiteramos, que en el contacto efectuado el 23 de enero de 2019, el cliente manifiesta su intención de actualizar sus datos respecto al cambio de número de celular y que con posterioridad con llamadas realizadas el 18 y 28 febrero de 2019 al XXXXXXXXX, se confirma que dicho número corresponde al celular del cliente, quien atiende las llamadas, las acepta y no manifiesta objeción alguna.
Por esta razón, solicitamos que no se desestimen las pruebas allegadas por BAGUER S.A.S, las cuales deben ser apreciadas o valoradas con el mérito de convicción que ostentan pues guardan relación con los hechos que pretendemos probar, esto es, que los datos personales que obran en nuestro sistema fueron otorgados por su titular en razón al otorgamiento de un cupo de crédito con BAGUER S.A.S y que para nuestra empresa el nuevo número de contacto del cliente era el XXXXXXXXX, número al que se le contactó con posterioridad a su actualización y se realizó la gestión de cobro.
Obra en nuestro sistema las llamadas en comento y un mensaje de voz enviados al titular. Llamadas del 18 y 28 de febrero de 2019 Anexo 3 y 4. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Mensaje de voz 23 de febrero de 2019 y 12 de marzo de 2019. Anexo 5 y 6. o Al probar a su despacho que efectivamente el XXXXXXXXX es el número de contacto del señor XXXXX XXXXXXX XXXXXX XXXXXXX, logramos demostrar que la información compartida vía whatsapp, para BAGUER S.A.S, era entendida como enviada a nuestro cliente más no, que estaba siendo compartida con el señor XXXXX XXXXXX XXXXXX XXXXXX (denunciante) que como se ha indicado durante el desarrollo de estas diligencias, no tiene vinculo (sic) comercial y de ninguna otra índole con BAGUER S.A.S ni se encuentra registrado en nuestra base de datos.
El número de celular del señor XXXXX XXXXXX XXXXXX XXXXXX, fue suministrado como propio por nuestro Cliente, el señor XXXXX XXXXXXX XXXXXX XXXXXXX, el cual, al parecer por un cambio en la línea o cualquier otro hecho desconocido por BAGUER S.A.S, ya no es el titular de la línea celular. o El señor XXXXX XXXXXXX XXXXXX XXXXXXX, no actualizó debidamente sus datos ante BAGUER S.A.S, razón por la cual, la empresa no tuvo conocimiento de dicho cambio y de buena fe, actuó con base en los datos suministrados, hasta que el señor XXXXX XXXXXX XXXXXX XXXXXX manifiesta su propiedad y titularidad sobre dicha línea telefónica.
Una vez conocido por parte de BAGUER S.A.S que ese número de celular ya no pertenecía al señor XXXXX XXXXXXX XXXXXX XXXXXXX, cesa el contacto a la línea telefónica y se elimina dicho número de los datos de contacto de nuestro cliente. o Por ende, se aclara que BAGUER S.A.S, en ningún momento incumplió los deberes y principios contenidos en el literal d) del artículo 17 de la Ley 1581 de 2012, y los literales f), g) y h) del artículo 4 de la misma Ley, y siempre actuó de buena fe de conformidad con la información y datos suministrados por el Cliente. o En este sentido, no se ha infringido lo estipulado en el numeral d) de la Ley 1581 de 2012, esto es, el deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
BAGUER S.A.S no compartió datos personales de sus clientes sin autorización previa y expresa de los mismos. BAGUER S.A.S se contactó al celular XXXXXXXXX de buena fe y con la firme convicción que correspondía a su cliente XXXXX XXXXXXX XXXXXX XXXXXXX, como éste había indicado, más no, al señor XXXXX XXXXXX XXXXXX XXXXXX a quien desconoce totalmente pues no posee con esta persona ninguna relación comercial ni de ningún tipo.
Dicho contacto se dio en virtud del proceso de cobro prejurídico que se viene adelantando, el cual consiste en acciones persuasivas para procurar el pago de las obligaciones en mora y advertir las implicaciones legales del no pago, a través de contacto con el Cliente deudor (como el contacto telefónico, envío de mensajes por e-mail, o por mensajes de texto, entre otras).
Lo anterior, tal como lo autorizó el Cliente y consta en las respectivas autorizaciones que se adjuntan a las presentes diligencias como Anexo 1, lo cual se podría llevar a cabo por el parte del acreedor directamente (BAGUER S.A.S) o por intermedio de otra persona jurídica. Cabe reiterar que BAGUER S.A.S en cumplimiento de sus deberes legales, garantiza en todo momento a los titulares, el derecho a actualizar la información y datos proporcionados, derecho que no fue ejercido por el señor XXXXX XXXXXXX XXXXXX XXXXXXX, razón por la cual la empresa de buena fe, se contactó al número de teléfono por el proporcionado.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Suplico a su Despacho, se reconsidere la sanción impuesta a nuestra empresa y se entre a reconsiderar todos los argumentos expuestos por BAGUER S.A.S, a realizar nuevamente un análisis al acervo probatorio, a fin de colegir en el caso concreto, que BAGUER S.A.S S no ha vulnerado en su condición de responsable del tratamiento de los datos personales, al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.
En caso de considerar que es procedente la confirmación de imposición de una sanción, se de aplicación a los siguientes atenuantes: a) La no persistencia en la presunta conducta infractora. BAGUER S.A.S dio cabal cumplimiento a la normatividad vigente que regula el tratamiento de datos personales, no compartió con terceros datos personales de sus clientes sin autorización previa y expresa de los mismos, de buena fe actuó la compañía remitiéndose a los datos del Cliente.
Que BAGUER S.A.S procedió con la eliminación del registro del número en el sistema de BAGUER S.A.S que figuraba a nombre del cliente XXXXX XXXXXXX XXXXXX XXXXXXX información dada por el propio cliente. b) La no reincidencia en la comisión de las infracciones en materia de protección al consumidor. BAGUER S.A.S nunca ha sido sancionado por reincidir en el incumplimiento de la Ley 1266 de 2008 ni Ley 1581 de 2012, y normas concordantes, por lo que no es posible indicar que existe una reincidencia en la comisión de las infracciones en materia de protección al consumidor o a la protección de datos personales, elemento que se debe tener en cuenta a la hora de imposición de sanciones de acuerdo con el parágrafo 1 del artículo 61 de la Ley 1480 de 2011. c) La disposición de buscar una solución adecuada a los consumidores.
La empresa BAGUER S.A.S una vez tuvo conocimiento de los hechos materia de investigación procedió inmediatamente al bloqueo de la línea telefónica dado por el Cliente para su contacto, y la eliminación de dicho dato de sus bases de datos. Adicionalmente BAGUER S.A.S. actualiza sus políticas de protección de datos personales de manera regular, y atiende a todas las solicitudes de los usuarios y titulares, velando por el cumplimiento de las disposiciones normativas y de la protección de los derechos de estos.
Se hace énfasis en las medidas tomadas por BAGUER S.A.S. cuando se evidenció el error de comunicación que se estaba cometiendo, eliminando de cualquier base de datos al señor XXXXX XXXXXX XXXXXX XXXXXX y su negocio. d) La disposición de colaborar con las autoridades competentes. BAGUER S.A.S ha respondido de manera oportuna y completa a todos los requerimientos que ha recibido por parte de esta Superintendencia y ha mostrado su disposición de colaborar con las investigaciones, diligencias y demás procedimientos y demostrar el cumplimiento al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley. e) El beneficio económico que se hubiere obtenido por la presunta comisión de la infracción. Es claro que en el caso que es objeto de la presente investigación, no hubo ningún beneficio económico a favor de BAGUER S.A.S ni de terceros.
Los cargos formulados se fundamentan en el presunto incumplimiento al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley. f) La no utilización de medios fraudulentos en la comisión de la presunta infracción y la no utilización de interpuesta persona para ocultarla o encubrir sus efectos.
Hacemos énfasis en afirmar que BAGUER S.A.S no ha utilizado ningún medio fraudulento para la supuesta comisión relacionado con el cargo único formulado ni ha utilizado a una persona interpuesta para ocultarla o encubrir sus efectos, como lo hemos manifestado a lo largo de la investigación. g) El grado de prudencia o diligencia con que se atendieron los deberes y aplicaron las normas pertinentes.
Como ya se ha argumentado y demostrado BAGUERS.A.S cumplió a cabalidad con sus deberes como responsable del tratamiento de datos personales, especialmente, sus actuaciones bajo el principio de buena fe el deber de “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.” - Finalmente, la sociedad recurrente solicita lo siguiente: “(…) De manera respetuosa, se solicita a su Despacho que una vez se someta a estudio el contenido del recurso y se coteja con el acervo probatorio y con el fallo emitido mediante la Resolución 1016 del 26 de enero de 2024, se decida a: 1.
Revocar la Resolución 1016 del 26 de enero de 2024 expedida por la Superintendencia de Industria y Comercio. 2. Como consecuencia de lo anterior, se exonere y se proceda a archivar la investigación administrativa contra la sociedad BAGUER S.A.S con radicado No. 21-59860. Como solicitud subsidiaria, en caso de confirmar la imposición de una sanción, se solicita aplicar los atenuantes mencionados para efectos de graduación de la multa que se llegare a confirmar.
(…)”.
CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
QUINTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad BAGUER S.A.S., este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los motivos de inconformidad expuestos por la recurrente se enmarcan en los siguientes puntos: i) Frente a la presunta actualización de datos realizada por el titular; ii) Frente al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; iii) Frente a los criterios de graduación de las sanciones y el principio de proporcionalidad; y iv) Frente a las pretensiones. 5.1.
Frente a la presunta actualización de datos realizada por el titular La sociedad recurrente señala que el señor XXXXX XXXXXXX XXXXXX XXXXXXX, al inicio de la relación comercial, estableció como su número de teléfono de contacto el XXX XXXXXXX y que, posteriormente, el día 23 de enero de 2019, el cliente se comunicó desde el número de teléfono XXX XXXXXXX solicitando un acuerdo de pago y manifestando su intención de actualizar sus datos, lo que se puede verificar en la grabación de la llamada de la misma fecha.
A partir de la mencionada fecha la sociedad BAGUER S.A.S. realizó la actualización de datos y estableció este último número como el teléfono de contacto del señor XXXX. En línea con lo expuesto, señala la sociedad recurrente que el Titular XXXXX XXXXXXX XXXXXX XXXXXXX no solamente contestó las llamadas posteriores a la fecha 23 de enero de 2019, sino que además en ningún momento que el Titular manifestó que este no fuera su número de contacto, ni mucho menos afirmó que se tratara de un número de celular de uso corporativo.
Con el propósito de velar por la trazabilidad de la información, este Despacho muestra a continuación la transcripción de la llamada1 a la que hace referencia la sociedad recurrente: “Asesora: Buenas tardes (servicio al cliente), le habla Xxxxx Xxxxxxx. ¿En qué le puedo ayudar? Radicado 21-59860-72 del 8 de febrero de 2024, anexo 2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Titular: Buenas tardes, Xxxxx Lo que pasa es que necesito hacer un acuerdo de pago, ya que tengo unas cuotas atrasadas.
¿A dónde puedo llamar o con quién puedo hablar? Asesora: De acuerdo, si es tan amable, me puede confirmar cédula. Titular: xxxxxxxxxxxxxx Asesora: ¿Xxxxx Xxxxxx? Titular: Sí Asesora: Xxxxx, si es tan amable, me puede confirmar la fecha de expedición de su documento. Titular: El 28 de diciembre del 2012 Asesora: De acuerdo. Entonces, me indica que quiere hacer un acuerdo de pago, ¿sí? Titular: Sí Asesora: Vale Entonces, permítame, por favor, voy a validar una información en el sistema, para pasarlo con el área encargada, que es el (sic) de cartera.
¿Vale? Permítame un momento Titular: Vale, gracias Asesora: Bueno, Xxxxx Gracias por su tiempo a la espera. Xxxxx, entonces en este momento, le voy a pasar con el área de cartera para que ellos le puedan ayudar con su solicitud. ¿De acuerdo? Lo voy a dejar… Titular: ¿Señora? Ah ok, ok Asesora: Lo voy a pasar con el área de cartera que es el (sic) encargado de su gestión. ¿De acuerdo? No vaya a finalizar.
En caso tal, debe llamar a la línea mil y marcar la extensión 902. Titular: La línea mil, ¿cómo así? Asesora: Le indico. En este momento, yo lo voy a transferir desde acá. ¿De acuerdo? Titular: En caso de que se me caiga, cómo así la línea mil. Asesora: Marcas el número mil. Titular: Ah ok Asesora: Es la plataforma general de la empresa, donde le piden la cédula.
Titular: O sea, es marcar, pero la extensión diez cero cero. Asesora: Exactamente, esa es para pasarlo y usted buscar los departamentos si se le llega a colgar. Entonces, lo voy a pasar con el área encargada. ¿Alguna otra consulta adicional, Xxxxx? Titular: No, ninguna Asesora: Bueno, Xxxxx Recuerde que le habló con Xxxxx Xxxxxxx, de servicio al cliente.
Que tenga una excelente tarde. Titular: Vale, gracias Asesora: (Área de cartera) muy buenas tardes “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Titular: Buenas tardes, ¿con quién tengo el gusto? Asesora: Sí, ¿En qué le podemos colaborar? Titular: Mira, hablas con Xxxxx Xxxxxx, lo que pasa es que necesito hacer un acuerdo de pago que llevo atrasadas unas cuotas.
Asesora: Sí, señor Por favor, me indica el número de su cédula. Titular: xxxxxxxxxxxxx Asesora: Ok, Xxxxx hablas con Xxxxxx Xxxxxx la encargada de manejar su (sic) cartera. En este preciso momento, pues, cuentas ya con 113 días de mora y está para pagar por tienda en vía Baloto pues un valor de $615.000 a la fecha de hoy. Pues Xxxxx, usted me indicará cómo podemos generar un compromiso de pago.
Titular: Pero, todo eso no puedo de un solo totazo. Asesora: No Titular: La verdad, a mí se me olvidó esa deuda. Bueno, cambié de celular, sé que me han estado llamando. Entonces, por eso para actualizar los datos. Y de qué forma podemos coger la deuda total, refinanciarla y no generar más intereses. Asesora: Ok, Xxxxx ¿Qué nos propones? ¿Qué me propones? Titular: A mí lo que me interesa es no seguir pagando gastos de cobranza, porque yo me imagino que ya no vamos a llevar por comprar una ropa algo legal.
Simplemente, cojamos el valor total de la deuda y lo financiamos en unas cuotas y miramos cuál me queda más cómoda. Asesora: Listo, le propongo lo siguiente: En este preciso momento, ¿sí? Al día de hoy, podemos hacer lo siguiente: sí, ya te indico. En este preciso momento, estamos hablando al día de hoy, Xxxxx, de $615.000. ¿Qué es lo que yo puedo colaborarte? Que me realices un abono del 50% de la deuda, ¿sí? de $307.500 a más tardar el día 30 de enero y el restante se lo puedo financiar, ¿sí? a cinco cuotas quincenales de $61.500.
Titular: Pero, a esas de $61.500 se le suma lo pendiente. Asesora: Sí, claro Eso hasta la fecha de hoy, porque aparte de eso, pues estoy verificando en el sistema de (sic) que terminas el crédito el día 2 de mayo del 2019. Titular: Ok Y dejemos esos $307.500 no para el 30, para el 31. Asesora: Listo, te los recibo. Titular: Pero, la pregunta es, esos gastos de cobranza que aparecen ahí, ¿me los van a cobrar? ¿Se puede hacer algo? ¿Los charlamos? Asesora: Claro, sí señor apenas tú realices el pago los 300… 307.500 Titular: ¿Los debitan de ahí, los primeros cien mil? Nooo, para eso hay unos gastos de cobranza.
Asesora: Xxxxx, lo que pasa es que los gastos de cobranza son muy importantes, ¿sabes por qué? Porque nosotros nos hemos tratado de contactar contigo. Ya a partir del día 50, pues no se ha podido contactar contigo, porque el otro número se encontraba apagado. Asesora: Sí entiendo Titular: Sí, lo que pasa es que me robaron. O sea, no fue de aposta que yo me quise perder, ¿me hago entender? “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Me robaron, recuperar esa línea fue imposible.
Bueno, y, al fin y al cabo, perdí más de $3.000.000 millones en el robo. Bueno, tú me entenderás. Fue más bien un problema personal. Cuando me vine a acordar, pues claro, obviamente, ya llamaron a mis referencias personales y por eso llamo. No sé qué gestión podemos hacer de pronto para esa cobranza. Porque no fue que yo no hubiera querido contestar, ya fue por temas ya que me robaron.
Asesora: Sí, entiendo, Xxxxx. Pero de todas maneras, le indico, a partir del día 50 se generan los primeros gastos de cobranza. ¿Qué son los gastos de cobranza? Pues que te estamos llamando, que te estamos enviando mensajes de texto, te estamos Titular: Nada de eso yo lo vi, nada de eso yo lo vi ¿sí me hago entender? Asesora: Sí, entiendo.
Titular: o sea, hagamos, no sé Dejemos esos gastos de cobranza para otra fecha. O sea, a mí me interesa es pagar el capital. Podemos hacer algo después con los gastos de cobranza, porque es complicado. O sea, cien mil pesos por los gastos de cobranza, me parece exagerado. Asesora: Es que los gastos no están por cien mil, Xxxxx. Están por setenta mil pesos.
Titular: Por eso, imagínese. Asesora: Pues hagamos una cosa, realíceme el pago de los $307.500 a más tardar el 31 y yo el día 5 de febrero me comunico contigo, ¿sí, te parece? o el 6. Dejar ocho (8) días después y terminamos de financiar la totalidad de la deuda con la tienda. ¿Sí? ¿Te parece? Titular: Eso lo podemos hacer. Pero, ¿qué pasaría con los gastos de cobranza? ¿Me los va a seguir cobrando? Asesora: No, porque si tu realizas el pago de los 307.500, lo que vamos a hacer es bajar los días en mora y con esos 307.500 pesos ya vienen incluidos los gastos de cobranza.
¿SÍ? Vamos a pagar de una vez los gastos de cobranza. ¿Vale? Titular: Pero, no estoy abonando a capital esos cien mil, se van a ir a gastos de cobranza. Asesora: O sea, se te van a ir setenta mil para los gastos de cobranza. ¿Qué es lo que queda? De los trescientos siete mil pesos, pues vas a estar abonando un cierto porcentaje. Mira, ya te indico. 307.500 menos $70.000 que te vamos a quitar por los gastos de cobranza.
Estarías realmente abonando a capital, pues un valor de 237.500. Es algo significativo,Xxxxx, según para mí. No sé para ti, ¿qué te parece? Titular: Bueno, listo, dejémonoslo así. No hay problema. Yo entonces el 31 abono trescientos siete mil pesos. Asesora: Ok, Xxxxx ¿Este abono lo vas a hacer en tienda o por vía Baloto? Titular: Por internet Asesora: Ah, lo vas a pagar en línea.
Sabes cómo se hace el pago, ¿cierto? Titular: Sí Asesora: Listo, Xxxxx Entonces, el 31 yo estaré muy pendiente de ti y el día 6 te llamo. ¿Te parece? Titular: Perfecto, Xxxxxxx Asesora: Listo Xxxxx Entonces, así quedamos. Entonces, espero el pago para el día 31 por un valor de $307.500. ¿Vale? Titular: O sea, con este acuerdo ya me garantiza que los intereses ya no siguen subiendo.
Asesora: No, no siguen subiendo. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Titular: Listo Perfecto, Xxxxxxx Muchas gracias Asesora: Listo, Xxxxx Así, quedamos. Buen día Las otras cuatro grabaciones aportadas por la sociedad recurrente versan sobre: (i) la reiteración de los compromisos de pago asumidos por el Titular, (ii) la reestructuración del saldo en mora; y (iii) las gestiones de cobranza de la cartera adeudada por el señor Xxxxxx.
Nótese entonces que, contrario a lo afirmado por la sociedad BAGUER S.A.S., sí bien el Titular manifestó su intención de realizar una actualización de datos; lo cierto es que dicha actualización nunca llegó a realizarse. En consecuencia, el número celular XXX XXXXXXX no fue suministrado por el señor Xxxxxx, para efectos de ser contactado por parte de la sociedad investigada.
De conformidad con lo anterior, encuentra este Despacho que la sociedad BAGUER S.A.S. mantuvo una comunicación permanente con el titular XXXXX XXXXXXX XXXXXX XXXXXXX, a través del número celular XXX XXXXXXX, desde el 23 de enero de 2019 y hasta el 12 de marzo de 2019; de acuerdo con las grabaciones de las llamadas y mensajes de voz remitidas por parte de la sociedad recurrente.
Finalmente, este Despacho encuentra pertinente resaltar que, en el presente caso no se encuentra en discusión si la sociedad BAGUER S.A.S. realizó la actualización de datos solicitada por el titular XXXXX XXXXXXX XXXXXX XXXXXXX. Pues, de hecho, la sociedad BAGUER S.A.S. mantuvo una comunicación permanente con el Titular, de cara a realizar gestiones de cobranza. 5.2.
Frente al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento De conformidad con la denuncia presentada por el señor XXXXX XXXXXX XXXXXX XXXXXX, el día 11 de noviembre de 2020, la sociedad BAGUER S.A.S. se comunicó al número celular XXXXXXXXXX por medio de mensajes de la plataforma Whatsapp, ofreciéndole al señor XXXXX XXXXXXX XXXXXX XXXXXXX una amnistía en relación con la obligación que se encontraba en mora, enviado, además, una foto de su cédula de ciudadanía. En respuesta, el señor XXXXX XXXXXX XXXXXX XXXXXX indicó que dicho número no pertenecía al señor XXXXX XXXXXXX XXXXXX XXXXXXX y que él ya no trabaja en la empresa propietaria del abonado telefónico.
Aunado lo anterior, indica el denunciante que ya les había solicitado que no compartieran más datos a este número y refiere que bloqueó varios números de WhatsApp, donde les explicó la misma situación. Lo anterior se evidencia en las siguientes imágenes: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Imagen No. 1.
Tomada del radicado número 21-59860-0 del 11 de febrero de 2021. Imagen No. 2. Tomada del radicado número 21-59860-0 del 11 de febrero de 2021. Imagen No. 3. Tomada del radicado número 21-59860-0 del 11 de febrero de 2021. Imagen No. 4. Tomada del radicado número 21-59860-0 del 11 de febrero de 2021. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” De conformidad con las pruebas anteriores, este Despacho evidencia que desde el día 11 de noviembre de 2020, la sociedad recurrente tuvo conocimiento que el número celular XXX XXXXXXX no pertenecía al titular XXXXX XXXXXXX XXXXXX XXXXXXX.
Posteriormente, el día 11 de febrero de 2021, la sociedad BAGUER S.A.S. intentó comunicarse nuevamente con el señor XXXXX XXXXXXX XXXXXX XXXXXXX a través unos mensajes de Whatsapp al número celular XXX XXXXXXX, en los que se encuentran contenidos algunos datos personales correspondientes a: (i) foto de su rostro, (ii) foto de la cédula de ciudadanía y (iii) imagen de su huella digital.
En estos mensajes se evidencia que el denunciante XXXXX XXXXXX XXXXXX XXXXXX, quien responde los mensajes enviados al número celular XXX XXXXXXX, manifiesta que en varias ocasiones les indicó que este número celular no pertenece al señor XXXXX XXXXXXX XXXXXX XXXXXXX y que esta línea celular es de uso corporativo, como se evidencia en las siguientes imágenes: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En el presente caso, se encuentra suficientemente probado que la sociedad BAGUER S.A.S. continuó realizando la gestión del cobro y compartió información personal del titular XXXXX XXXXXXX XXXXXX XXXXXXX al teléfono XXX XXXXXXX, cuando ya tenía conocimiento de que este número celular es de uso corporativo y que se encontraba bajo el manejo de otra persona, lo cual indica que la sociedad recurrente permitió el acceso de un tercero no autorizado a la información personal que “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” se encontraba bajo su custodia del titular XXXXX XXXXXXX XXXXXX XXXXXXX, como lo es: foto de la cédula de ciudadanía, foto del rostro del titular y su huella digital.
Sumado a lo anterior, este Despacho encuentra que la sociedad recurrente prescindió de todas las medidas de seguridad desarrolladas e implementadas en el momento en que decidió compartir información personal con terceros no autorizados. Dentro de los datos compartidos por medio de la plataforma Whatsapp se encuentra información de tipo sensible, como lo es la huella digital del titular XXXXX XXXXXXX XXXXXX XXXXXXX, el cual es clasificado como un dato de tipo sensible, de conformidad con lo establecido por el artículo 5 de la Ley 1581 de 2012.
Teniendo en cuenta que la sociedad BAGUER S.A.S. realiza tratamiento sobre datos de tipo sensible, le asiste el deber de desarrollar e implementar en el tratamiento de datos las medidas de seguridad suficientes, de tal manera que estas sean adecuadas y pertinentes para conservar la integridad de los datos que se encuentran contenidos en sus bases de datos.
En el presente caso, queda claro que las medidas de seguridad implementadas por la sociedad recurrente no fueron suficientes ni adecuadas para evitar que se divulgaran los datos personales XXXXX XXXXXXX XXXXXX XXXXXXX y que estos fueran conocidos por terceros no autorizados. Aun cuando la sociedad recurrente indicó que ha cumplido con el deber de conservar la información bajo las medidas de seguridad necesarias debido a que tiene implementada una Política de Protección de Datos Personales, una Política de Uso de Información Confidencial para la Autenticación y Restricción del Acceso a la Información, y el Protocolo de Gestión de Consultas y Reclamos; se encuentra probado que las medidas establecidas en estos manuales no fueron suficientes y pertinentes para evitar que la información personal fuera compartida con terceros no autorizados, aún más, no fueron suficientes para evitar que la información de tipo sensible fuera compartida con terceros no autorizados.
Adicionalmente, es pertinente resaltar que el hecho de que la sociedad recurrente tenga implementados los manuales mencionados anteriormente no garantiza que estos sean adecuados para el tratamiento de datos que realiza esta sociedad, pues en cada caso los responsables del tratamiento deberán evaluar los riesgos que representa el tratamiento de datos para la integridad de la información. Aunado a lo anterior, este Despacho considera oportuno resaltar que el protocolo para la gestión del cobro desarrollado e implementado por la sociedad recurrente carece de las medidas de seguridad técnicas, humanas y administrativas pertinentes para conservar la integridad de la información, pues en la ejecución de este protocolo se compartió información personal con terceros no autorizados.
Aun cuando en este expediente no se encuentra la totalidad de este protocolo, lo cierto es que se evidenció que la gestión del cobro se realiza por medio de la plataforma Whatsapp, lo cual representa un riesgo elevado para la integridad y seguridad de la información, más teniendo en cuenta que se realiza tratamiento sobre información personal de tipo sensible, pues como se evidenció con las pruebas aportadas a este expediente, en la gestión del cobro se comparte información personal de los titulares sin tener implementada ninguna herramienta que permita verificar la identidad del receptor de los mensajes.
Debido a lo anterior, este Despacho puede concluir que la sociedad recurrente no implementó todas las medidas de seguridad técnicas, humanas y administrativas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información personal contenida en sus bases de datos. Por otra parte, este Despacho evidenció que en el presente caso se configuró un incidente de seguridad en la medida en que la sociedad recurrente puso en circulación la información personal del titular XXXXX XXXXXXX XXXXXX XXXXXXX, la cual fue conocida y accedida por terceros no autorizados.
Sin embargo, esta Superintendencia no tuvo conocimiento de la ocurrencia de dicho incidente de seguridad, sino que conoció los hechos a través de la denuncia radicada por el señor XXXXX XXXXXX XXXXXX XXXXXX. 5.3. Frente los criterios de graduación de las sanciones y el principio de proporcionalidad En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “(…)
SEPTIMO: Imposición y graduación de la sanción (…) 7.1.1. Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que el cargo único comprobado en contra de la sociedad BAGUER S.A.S., afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias.
En efecto, se demostró que la investigada incumplió lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma, frente al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, en la medida en que la sociedad BAGUER S.A.S. divulgó información personal del Titular XXXXX XXXXXXX XXXXXX XXXXXXX con terceros no autorizados, incluyendo datos personales de tipo sensible; y aun cuando esta fue advertida de que la línea telefónica a donde se envió la información no pertenecía al titular de la información, continuó compartiendo los datos personales del señor XXXXX XXXXXXX XXXXXX XXXXXXX.
Como consecuencia de ello, y en virtud de las competencias asignadas a esta Superintendencia, se impondrá una sanción por parte de esta Dirección dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, consistente en una multa de NOVENTA Y TRES MILLONES TRESCIENTOS DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($93.302.520), equivalente a OCHO MIL QUINIENTAS VEINTE UNIDADES DE VALOR BÁSICO VIGENTES (8.520) para el año 2024. 7.1.2.
Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) no se encontró el reconocimiento o aceptación expresa de la comisión de la infracción. (…)”. Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de la infracción a lo dispuesto en: • El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma; en la medida en que compartió información personal del Titular XXXXX XXXXXXX XXXXXX XXXXXXX con terceros no autorizados, incluyendo datos “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” personales de tipo sensible; y aun cuando esta fue advertida de que la línea telefónica a donde se envió la información no pertenecía al titular de la información, continuó compartiendo los datos personales del señor XXXXX XXXXXXX XXXXXX XXXXXXX, omitiendo así el cumplimiento del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Respecto a los criterios de graduación de la sanción establecidos en el artículo 24 de la Ley 1581 de 2012, la Corte Constitucional precisó lo siguiente: “(…) Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución. (…)”.
Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que no resultaban aplicables al momento de imposición de la sanción; en tanto: (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no se encontró una reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. En relación con el único criterio de atenuación de la sanción señalado en el literal f) del artículo citado, este tampoco fue tenido en cuenta debido a que no se encontró en la actuación el reconocimiento o aceptación expresa de la comisión de la infracción por parte de la sociedad investigada.
Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción se encuentra ajustada a derecho, donde se tuvo en cuenta la infracción al deber contemplado en El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.
Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.
Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios mínimos legales mensuales vigentes, impuso la suma de NOVENTA Y TRES MILLONES TRESCIENTOS DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($93.302.520), equivalente a OCHO MIL QUINIENTAS VEINTE UNIDADES DE VALOR BÁSICO VIGENTES (8.520), por la violación del deber impuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.
De conformidad con lo establecido en el artículo 23 de la Ley 1581 de 2012, el cual establece lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”2 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.
Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”. 3 Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso donde se vulneró el derecho de habeas data del Titular de la información, como quedó establecido anteriormente.
Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en la Ley 1581 de 2012 y sus disposiciones reglamentarias, como quedó establecido anteriormente.
Así las cosas, este Despacho confirmará la sanción pecuniaria impuesta. 5.4. Frente a las pretensiones En su escrito de recurso, la sociedad BAGUER S.A.S. realiza las siguientes solicitudes: “(…) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Consejo de Estado, Sala Contenciosa Administrativa – Sección Primera, Sentencia Nº. 25000-23-24-000-2005-01325-01 del 26 de noviembre de 2015, Magistrado Ponente Roberto Augusto Serrato Valdés. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” De manera respetuosa, se solicita a su Despacho que una vez se someta a estudio el contenido del recurso y se coteja con el acervo probatorio y con el fallo emitido mediante la Resolución 1016 del 26 de enero de 2024, se decida a: 1.
Revocar la Resolución 1016 del 26 de enero de 2024 expedida por la Superintendencia de Industria y Comercio. 2. Como consecuencia de lo anterior, se exonere y se proceda a archivar la investigación administrativa contra la sociedad BAGUER S.A.S con radicado No. 21-59860. Como solicitud subsidiaria, en caso de confirmar la imposición de una sanción, se solicita aplicar los atenuantes mencionados para efectos de graduación de la multa que se llegare a confirmar.
(…)”. Teniendo en cuenta lo expuesto en el presente acto administrativo, esta Dirección no encuentra procedente conceder lo solicitado y mantendrá el sentido material de la decisión adoptada mediante la Resolución No. 1016 del 26 de enero de 2024. En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
SEXTO: Conclusiones Con fundamento en lo expuesto, se encuentra suficientemente acreditado que: - La Resolución No. 1016 del 26 de enero de 2024 se profirió con total apego a la Constitución y la ley, adoptando la decisión de fondo que en derecho corresponde. - En el presente caso, el objeto de la investigación administrativa adelantada por esta instancia versa sobre el cumplimiento del deber que le asiste al responsable del tratamiento de conservar la información bajo de las medidas se seguridad necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, más no sobre la presunta actualización de los datos del Titular. - El protocolo para la gestión del cobro desarrollado e implementado por la sociedad recurrente carece de las medidas de seguridad técnicas, humanas y administrativas pertinentes para conservar la integridad de la información, pues en la ejecución de este protocolo se compartió información personal, incluidos datos de tipo sensible, con terceros no autorizados. - La graduación de la sanción no obedece a una decisión caprichosa de esta Dirección, sino que se realiza con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto.
SÉPTIMO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección confirmará la decisión material adoptada la Resolución No. 1016 del 26 de enero de 2024.
OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601-0, con el correo electrónico de notificación judicial notificaciones@baguer.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-59860. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 1016 del 26 de enero de 2024, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2. CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3. NOTIFICAR a la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601.0, a través de su representante legal, entregándole copia de la misma.
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31 A-36, Pisos 3 y 3A en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 de junio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCÍA MOLINA Proyectó: María Guañarita Revisó: Mónica Flórez Aprobó: Carolina García NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: BAGUER S.A.S. NIT. 804.006.601-0 Carmen Elisa Guerrero Vega 63.345.968 Centro Industrial y Logístico San Jorge.
Bodega 66. Anillo Vial Kilometro 7. Vía Palenque - Floridablanca Girón – Santander notificaciones@baguer.com.co