(17 de junio de 2024) “Por la cual se impone una sanción” Radicado 23-276810 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales por parte de la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 38804 del 10 de julio de 2023, por medio de la cual se formuló cargo único a la sociedad en mención, por la presunta infracción a lo dispuesto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
La mencionada resolución le fue notificada a la investigada mediante aviso No. 16177 del 19 de julio de 2023, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-276810-11 del 25 de julio de 2023, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación a la denunciante y a la sociedad RF JCAP S.A.S., en calidad de Responsable del tratamiento.
SEGUNDO: Que, la sociedad REFINANCIA S.A.S. presentó escrito de descargos, junto con anexos, bajo el radicado número 23-276810-12 del 11 de agosto de 2023. En su escrito, la sociedad investigada argumenta, entre otras cosas, lo siguiente: “(…)
1. FRENTE AL UNICO CARGO Sobre la presunta vulneración en su condición de Encargado del tratamiento, del deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, consagrado en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 me permito manifestar lo siguiente:
2. PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA (…) En consecuencia, Refinancia SAS, adopto (sic) una serie de medidas desarrollas dentro de un plan de supervisión y revisión anual teniendo en cuenta las siguientes etapas: a). Fase de diagnóstico: apara (sic) el año 2021,, (sic) nuestra entidad y a partir de de (sic) la orden administrativa indicada por este Ente de Control respecto de la queja de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXX evaluó el estado de cumplimiento en el que se encontraba en materia de asegurar la rectificación de los datos de los titulares de la “Por la cual se impone una sanción” eliminacion (sic) así como asegurar su eliminacion (sic) y borrado seguro, en ese entonces, identificando: (i) debilidades identificadas en la atención de consultas y reclamaciones;
(ii) Revisión de las tendencias y obligaciones legales que surjan con ocasión a la ley 1581 del 2012. b). Fase de adecuación: a través de los hallazgos registrados en los resultados de las auditorias (sic), nuestra entidad adopto (sic) diferentes políticas y procedimientos tendientes a garantizar, (i) Autorización de los titulares de los datos para su tratamiento(ii) (sic) finalidades para el tratamiento de los datos personales(iii) (sic) una estructura segura para la rectificación, eliminacion (sic) y/o borrado seguro de los datos cuyo titular no tuviese relación contractual, autorizacion (sic) o nos hubiese revocado la autorización para el tratamiento de sus datos personales..
(sic) c). Fase de implementación: Previa aprobación de la alta dirección de la organización se procedió a efectuar los cambios correspondientes a fin de garantizar un resguardo seguro de las autorizaciones para el tratamiento de los datos personales de los titulares de la ionformacion (sic), así como asegurar un sistema de rectificacio (sic), eliminacion (sic) o borrado seguro de los datos de los titulares de los cuales no contamos con autorizacion (sic) para su tratamiento. d).
Fase de revisión: A partir de los resultados obtenidos en las diferentes auditorias (sic), se estableció un programa de revisión anual tendiente a determinar el grado de avance frente a los compromisos adquiridos por nuestra entidad en pro de la efectiva salvaguarda de una adecuada protección de los datos personales de nuestros clientes, proveedores y/o Colaboradore (sic) so (sic) terceros vinculados con nuestra entidad.
Así las cosas, es claro que Refinancia SAS adoptó un sistema de mejora continua en (sic) base a una evolución consciente frente a posibles fallas que generaran un riesgo mayor de posibles vulneraciones a los titulares de la información Crediticia (sic) de cara al correcto tratamiento, rectificación y o eliminacion (sic) de los datos personales de los titulares, para efectos de demostrar las acutualizaciones (sic) y adecuaciones realizadas pro (sic) nuestra entidad, procedemos a compartir las diferentes políticas adecuadas para tal fin, como lo son: • Política para el tratamiento de los datos personales. • Aviso de privacidad de los datos personales. • Manual del ciclo de vida del dato. 3.
CRITERIOS Y PROPORCIONALIDAD DE LA MULTA Al respeto es preciso indicar que la discrecionalidad es un aspecto que faculta al ente sancionador para que en su real saber y entender pueda imponer la sanción cuando hay mérito a ello en las justas proporciones, pero debe explicarla para que el sancionado tenga la posibilidad de controvertirla. La sanción debe ser razonable y proporcional y la proporcionalidad se observa con respecto al caso particular, y con base a los criterios que la Ley establece y no con un criterio abstracto de la discrecionalidad, ello desdice del Estado Social de Derecho.
Se transcribe este aparte importante de la jurisprudencia que ha orientado este tema así: (…) Adicionalmente, la ley 1341 de en su artículo 66 en su último inciso señala como obligación para definir la sanción: Artículo 66. Criterios para la definición de las sanciones. Para definir las sanciones aplicables se deberá tener en cuenta: 1. 2. 3. 4.
La gravedad de la falta. Daño producido. Reincidencia en la comisión de los hechos. La proporcionalidad entre la falta y la sanción. En todo caso, el acto administrativo que imponga una sanción deberá incluir la valoración de los criterios antes anotados. Conforme a lo anterior, es preciso indicar que a través de los procedimientos adecuando por nuestra entidad, constituyen una clara aplicación del Principio de responsabilidad demostrada, lo cual y la luz de los diferentes comunicados emitidos por esta “Por la cual se impone una sanción” superintendencia (sic), rogamos a ustedes que ponderen dichas acciones como causal de atenuación frente a la sanción impuesta bajo los criterios de graduación de las sanciones establecidas en el artículo 19 de la Ley 1266 de 2008 (sic).
Sobre el particular y para el Proceso, es importante tener en cuenta lo siguiente: i. El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar: Es de aclarar que dentro de la investigación no se encontró que Refinancia hubiera obtenido beneficio económico alguno por la comisión de la supuesta infracción. En ese sentido, teniendo en cuenta que ni Refinancia ni ningún tercero obtuvieron beneficio económico alguno, el mismo se debe ser tenido en cuenta para atenuar la sanción impuesta. ii.
La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia: Frente a este criterio de graduación, se debe tener en cuenta que Refinancia se encuentra colaborando expresamente con esta Superintendencia en el presente Proceso (sic), contestando de manera oportuna de lo cual se denota su buena fe y la ausencia de reticencia u obstrucción en la investigación por parte de Refinancia. Por lo tanto, teniendo en cuenta que, como se dijo, no hubo ningún tipo de negativa u obstrucción por parte de Refinancia en la investigación, este criterio debe ser tenido en cuenta para la atenuación de cualquier sanción que se pueda imponer a mi representada. iii.
El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento. iv.
La adopción de mecanismos y procedimientos tendientes a asegurar un adecuado cumplimiento de la norma legal que desarrollo el derecho fundamental al habeas data (Ley 1266 del 2008) (sic), en (sic) base a un adecuado desarrollo del principio de responsabilidad demostrada desplegada bajo los criterios establecidos por este Ente de Control y Vigilancia. En relación con la graduación y proporcionalidad de las sanciones impuestas, la Corte Constitucional, en Sentencia C-1161 del 2000 se pronunció de la siguiente manera: (…) En mérito de los expuesto, solicitamos a esta Sede, reconocer que la Sociedad Refinancia SAS, desplego (sic) diferentes acciones y procedimientos en pro de la salvaguardia al derecho fundamental al habeas data, bajo el modelo del Principio de Responsabilidad Demostrada (Accountability).
(…)”.1 TERCERO: Que, mediante Resolución No. 72849 del 21 de noviembre de 2023, esta Dirección ordenó la incorporación de pruebas allegadas a la presente actuación administrativa, declaró agotada la etapa probatoria y ordenó correr traslado a la investigada para que rindiera los alegatos de conclusión.
CUARTO: Que, la Resolución No. 72849 de 2023 le fue comunicada a la sociedad investigada el 21 de noviembre de 2023, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-276810-17 del 27 de diciembre de 2023.
QUINTO: Que, la sociedad REFINANCIA S.A.S. presentó alegatos de conclusión, por medio de escrito radicado el 5 de diciembre de 2023 bajo el número 23-276810-16, en el que reiteró lo indicado en su escrito de descargos y agregó lo siguiente: “(…)
1. FRENTE AL UNICO CARGO Sobre la presunta vulneración en su condición de Encargado del tratamiento, del deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, consagrado en el literal Radicado 23-276810-12 del 11 de agosto de 2023 “Por la cual se impone una sanción” c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 me permito manifestar lo siguiente: 2.
Allanamiento expreso En representación de Refinancia SAS me allano expresamente al CARGO ÚNICO formulado en la presente investigación realizada por esta Superintendencia. Teniendo en cuenta lo anterior, solicitamos de manera respetuosa a la Superintendencia que se tengan en cuenta los criterios de graduación de las sanciones establecidas en el artículo 24 de la Ley 1581 de 2012.
Sobre el particular y para el Proceso (sic), es importante tener en cuenta lo siguiente: (…) i. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento.
(…).”2 SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.
SÉPTIMO: Análisis del caso 7.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 18 de la Ley 1581 de 2012 establece los deberes que les asisten a los Encargados del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en sus escritos de descargos y alegatos de conclusión, así como el conjunto de pruebas que obran en el expediente.
Radicado No. 23-276810-16 del 5 de diciembre de 2023 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción” 7.2. Valoración probatoria y conclusiones 7.2.1. Del deber de realizar oportunamente la actualización, rectificación o supresión de los datos El literal c) del artículo 18 de la Ley 1581 de 2012 señala el deber de los Encargados del tratamiento consistente en c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley (…)”.
A su turno, el literal e) del artículo 8 del cuerpo normativo en cita establece lo siguiente: “Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)”. Adicionalmente, el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 señala que: “ARTÍCULO 2.2.2.25.2.6.
Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” Frente al deber en cita, este Despacho evidenció por medio de la Resolución No. 38804 del 10 de julio de 2023, que: “(…) En el caso bajo estudio, la Titular afirmó que el día 04 de abril de 2019 le solicitó a la sociedad REFINANCIA S.A.S. la eliminación de su número celular asociado a la cuenta del señor XXXXXXXXXXXXXXXXXXX, y que posterior a ello el día 09 de abril de 2019, recibió respuesta a su solicitud indicándole que el señor XXXXXXXXXXXXXXXXXXX, había dejado como número de referencia la línea móvil XXXXXXXXX y que atenderían su solicitud, como se evidencia a continuación: (…) Adicionalmente aseguró que, en el año 2021 le volvieron a llegar mensajes de texto a su línea celular con la información de cobro a nombre del señor XXXXXXXXXXXXXXXXXXX, por lo cual se comunicó telefónicamente con la sociedad para informarles que el señor XXXXXXXXXXXXXXXXXXX, había fallecido el 23 de abril de 2013 y que oportunamente se le aviso (sic) al BANCO SANTANDER, por lo que el 29 de abril de 2021 y 3 de mayo de 2021 remitió solicitud de supresión de sus datos personales al correo electrónico contactenos@refinancia.co “Por la cual se impone una sanción” Ahora bien, para verificar la información aportada por la Titular la Dirección de Habeas Data, a través del radicado número 21-194429-3 del 21 de enero de 2021, requirió a LA INVESTIGADA, para que entre otras cosas informaran si contaban con la autorización para el tratamiento de los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXXXXX, y si la Titular había presentado reclamación alguna ante la sociedad.
A lo cual LA INVESTIGADA, a través del radicado número 21-194429-4 del 15 de febrero de 2022, indicó que: “Sobre este punto, nos permitimos manifestar que la señora XXXXXXXXXXXXXXXXXXXX XXXXXXX, no presenta vínculos contractuales con nuestra entidad, y por dicha razon (sic) no obra ninguna autorización para el tratamiento de datos personales del aca (sic) accionante; no obstante, lo anterior, manifestamos que el número de telefono (sic) xxxxxxxxxxx, fue proporcionado por uno de nuestros clientes y afirmando ser el titular del dato personal.
Ahora bien, una vez validamos el caso y al evidenciar que efectivamente la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX es el titular del dato xxxxxxxxxxx, procedimos de manera oficioso (sic) a ofuscar (sic) dicho correo electrónico de nuestras bases de datos. (….) Sobre este punto nos permitimos indicar que, en el mes de marzo del 2019, recibimos una solicitud de acá accionante para la eliminacion (sic) del dato personal, no obstante lo anterior en respuesta del 9 de abril del 2019 se le indico, que era necesario para dar continuidad con el desarrollo de la solicitud, que se adjuntara copia de una factura para verificar la titularidad del dato, pese a lo mencionado la accionante no allego el documento requerido; por lo cual nuestra entidad dio aplicación al artículo 17 de la Ley 1755 del 2015, respecto al desistimiento de la solicitud invocada, no obstante lo anterior, informamos que procedimos de manera oficiosa a eliminar el dato xxxxxxxxxx, de todas nuestras bases de datos.” Por lo anterior, esta Dirección encuentra que la Titular XXXXXXXXXXXXXXXXXXXXX XXXXXXXX desde el mes de marzo de 2019 había solicitado la supresión de su línea celular xxxxxxxxxxxxx, como lo acepta la propia INVESTIGADA, y que a pesar de no contar con ninguna autorización para el tratamiento de sus datos personales le solicitaron acreditar ser la propietaria de la línea para poder acceder a su solicitud, y pese a existir dicha reclamación le continuaron enviando mensajes de texto a su línea móvil con el fin de cobrar una deuda del señor XXXXXXXXXXXXXXXXXXX; lo cual permite evidenciar preliminarmente una vulneración al derecho de Habeas Data de la Titular se solicitar la supresión de su información; conducta que se subsume típicamente en una presunta contravención al deber establecido en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
(…)”. En cuanto a lo anterior, la sociedad REFINANCIA S.A.S., mediante escrito de descargos radicado el 11 de agosto de 2023 bajo el número 23-276810-12, señaló, entre otras cosas, que: “(…)
2. FRENTE AL UNICO CARGO Sobre la presunta vulneración en su condición de Encargado del tratamiento, del deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, consagrado en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 me permito manifestar lo siguiente:
2. PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA (…) En consecuencia, Refinancia SAS, adopto (sic) una serie de medidas desarrollas dentro de un plan de supervisión y revisión anual teniendo en cuenta las siguientes etapas: a). Fase de diagnóstico: apara (sic) el año 2021,, (sic) nuestra entidad y a partir de de (sic) la orden administrativa indicada por este Ente de Control respecto de la queja de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXX evaluó el estado de cumplimiento en el que se “Por la cual se impone una sanción” encontraba en materia de asegurar la rectificación de los datos de los titulares de la eliminacion (sic) así como asegurar su eliminacion (sic) y borrado seguro, en ese entonces, identificando: (i) debilidades identificadas en la atención de consultas y reclamaciones;
(ii) Revisión de las tendencias y obligaciones legales que surjan con ocasión a la ley1581 del 2012. b). Fase de adecuación: a través de los hallazgos registrados en los resultados de las auditorias (sic), nuestra entidad adopto (sic) diferentes políticas y procedimientos tendientes a garantizar, (i) Autorización de los titulares de los datos para su tratamiento(ii) (sic) finalidades para el tratamiento de los datos personales(iii) (sic) una estructura segura para la rectificación, eliminacion (sic) y/o borrado seguro de los datos cuyo titular no tuviese relación contractual, autorizacion (sic) o nos hubiese revocado la autorización para el tratamiento de sus datos personales..
(sic) c). Fase de implementación: Previa aprobación de la alta dirección de la organización se procedió a efectuar los cambios correspondientes a fin de garantizar un resguardo seguro de las autorizaciones para el tratamiento de los datos personales de los titulares de la ionformacion (sic), así como asegurar un sistema de rectificacio (sic), eliminacion (sic) o borrado seguro de los datos de los titulares de los cuales no contamos con autorizacion (sic) para su tratamiento. d).
Fase de revisión: A partir de los resultados obtenidos en las diferentes auditorias (sic), se estableció un programa de revisión anual tendiente a determinar el grado de avance frente a los compromisos adquiridos por nuestra entidad en pro de la efectiva salvaguarda de una adecuada protección de los datos personales de nuestros clientes, proveedores y/o Colaboradore (sic) so (sic) terceros vinculados con nuestra entidad.
Así las cosas, es claro que Refinancia SAS adoptó un sistema de mejora continua en (sic) base a una evolución consciente frente a posibles fallas que generaran un riesgo mayor de posibles vulneraciones a los titulares de la información Crediticia (sic) de cara al correcto tratamiento, rectificación y o eliminacion (sic) de los datos personales de los titulares, para efectos de demostrar las acutualizaciones (sic) y adecuaciones realizadas pro (sic) nuestra entidad, procedemos a compartir las diferentes políticas adecuadas para tal fin, como lo son: • Política para el tratamiento de los datos personales. • Aviso de privacidad de los datos personales. • Manual del ciclo de vida del dato. 3.
CRITERIOS Y PROPORCIONALIDAD DE LA MULTA Al respeto es preciso indicar que la discrecionalidad es un aspecto que faculta al ente sancionador para que en su real saber y entender pueda imponer la sanción cuando hay mérito a ello en las justas proporciones, pero debe explicarla para que el sancionado tenga la posibilidad de controvertirla. La sanción debe ser razonable y proporcional y la proporcionalidad se observa con respecto al caso particular, y con base a los criterios que la Ley establece y no con un criterio abstracto de la discrecionalidad, ello desdice del Estado Social de Derecho.
Se transcribe este aparte importante de la jurisprudencia que ha orientado este tema así: (…) Adicionalmente, la ley 1341 de en su artículo 66 en su último inciso señala como obligación para definir la sanción: Artículo 66. Criterios para la definición de las sanciones. Para definir las sanciones aplicables se deberá tener en cuenta: 1. 2. 3. 4.
La gravedad de la falta. Daño producido. Reincidencia en la comisión de los hechos. La proporcionalidad entre la falta y la sanción. En todo caso, el acto administrativo que imponga una sanción deberá incluir la valoración de los criterios antes anotados. Conforme a lo anterior, es preciso indicar que a través de los procedimientos adecuando por nuestra entidad, constituyen una clara aplicación del Principio de responsabilidad “Por la cual se impone una sanción” demostrada, lo cual y la luz de los diferentes comunicados emitidos por esta superintendencia (sic), rogamos a ustedes que ponderen dichas acciones como causal de atenuación frente a la sanción impuesta bajo los criterios de graduación de las sanciones establecidas en el artículo 19 de la Ley 1266 de 2008 (sic).
Sobre el particular y para el Proceso, es importante tener en cuenta lo siguiente: i. El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar: Es de aclarar que dentro de la investigación no se encontró que Refinancia hubiera obtenido beneficio económico alguno por la comisión de la supuesta infracción. En ese sentido, teniendo en cuenta que ni Refinancia ni ningún tercero obtuvieron beneficio económico alguno, el mismo se debe ser tenido en cuenta para atenuar la sanción impuesta. ii.
La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia: Frente a este criterio de graduación, se debe tener en cuenta que Refinancia se encuentra colaborando expresamente con esta Superintendencia en el presente Proceso (sic), contestando de manera oportuna de lo cual se denota su buena fe y la ausencia de reticencia u obstrucción en la investigación por parte de Refinancia. Por lo tanto, teniendo en cuenta que, como se dijo, no hubo ningún tipo de negativa u obstrucción por parte de Refinancia en la investigación, este criterio debe ser tenido en cuenta para la atenuación de cualquier sanción que se pueda imponer a mi representada. iii.
El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento. iv.
La adopción de mecanismos y procedimientos tendientes a asegurar un adecuado cumplimiento de la norma legal que desarrollo el derecho fundamental al habeas data (Ley 1266 del 2008) (sic), en (sic) base a un adecuado desarrollo del principio de responsabilidad demostrada desplegada bajo los criterios establecidos por este Ente de Control y Vigilancia. En relación con la graduación y proporcionalidad de las sanciones impuestas, la Corte Constitucional, en Sentencia C-1161 del 2000 se pronunció de la siguiente manera: (…) En mérito de los expuesto, solicitamos a esta Sede, reconocer que la Sociedad Refinancia SAS, desplego (sic) diferentes acciones y procedimientos en pro de la salvaguardia al derecho fundamental al habeas data, bajo el modelo del Principio de Responsabilidad Demostrada (Accountability).
(…)”.4 Posteriormente, la sociedad REFINANCIA S.A.S. presentó alegatos de conclusión, por medio de escrito radicado el 5 de diciembre de 2023 bajo el número 23-276810-16, en el que reiteró lo indicado en su escrito de descargos y agregó lo siguiente: “(…)
3. FRENTE AL UNICO CARGO Sobre la presunta vulneración en su condición de Encargado del tratamiento, del deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, consagrado en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 me permito manifestar lo siguiente: 4.
Allanamiento expreso En representación de Refinancia SAS me allano expresamente al CARGO ÚNICO formulado en la presente investigación realizada por esta Superintendencia. Teniendo en cuenta lo anterior, solicitamos de manera respetuosa a la Superintendencia que se tengan Radicado 23-276810-12 del 11 de agosto de 2023 “Por la cual se impone una sanción” en cuenta los criterios de graduación de las sanciones establecidas en el artículo 24 de la Ley 1581 de 2012.
Sobre el particular y para el Proceso (sic), es importante tener en cuenta lo siguiente: (…) i. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento.
(…).”5 Ahora bien, en relación con el acervo probatorio, este Despacho encuentra lo siguiente: La señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX radicó escrito de denuncia ante esta Superintendencia el 11 de mayo de 2021, bajo el número 21-194429-0. En su escrito, la Titular de la información expone los siguientes hechos: “1. Con fecha 4 de abril de 2019 envíe (sic) por correo certificado Derecho de Petición a Refinancia para que por favor retiraran mi numero (sic) de celular de sus bases de datos para cobrar la cartera del señor xxxxxxxxxxxx. 2.
Con fecha 9 de abril recibí comunicación de Refinancia donde me informaban que el señor xxxxxxxxxxxx dio mi cel (sic) como REFERENCIA DE CONTACTO y que atenderian (sic) mi petición 3. Nuevamente este 2021 me estan (sic) llegando mensajes de texto COBRANDO LA CARTERA DE XXXXXXXXXXXX, no respetando mis datos personales y sin mi consentimiento de que me cobren la cartera del señor Xxxxxxx. 4.
Telefónicamente informe (sic) que el señor Xxxxxxx murió el 23 de abril de 2013, que toda la documentación de su defucion (sic) fue entregada oportunamente al Banco Santander. 5. Como siguieron llegando los mensajes de texto he escrito al correo electrónicos a (sic) contactenos@refinancia.co, los días 29 de abril/21 y 3 de mayo de 2021. Tambien (sic) les envie (sic) un formato de reclamación para tratamiento de datos personales en correo del 4 de mayo 6. y a la fecha continúan llegando mensajes de texto”.
Con el propósito de reunir elementos de juicio suficientes, esta Superintendencia requirió a la sociedad investigada el 21 de enero de 2022, bajo radicado 21-194429-3, para que informara, entre otras cosas, lo siguiente: “4. Indicar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.
(…) 6. En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular.” En respuesta al requerimiento en cita, la sociedad investigada informó, entre otras cosas, que: “NUMERAL CUARTO: (…) Sobre este punto nos permitimos indicar que, en el mes de marzo del 2019, recibimos una solicitud de aca (sic) accionante para la eliminación (sic) del dato personal, no obstante lo anterior en respuesta del 9 de abril del 2019 se le indico (sic), que era necesario para dar Radicado No. 23-276810-16 del 5 de diciembre de 2023 “Por la cual se impone una sanción” continuidad con el desarrollo de la solicitud, que se adjuntara copia de una factura para verificar la titularidad del dato, pese a lo mencionado la accionante no allego (sic) el documento requerido; por lo cual nuestra entidad dio aplicación al artículo 17 de la Ley 1755 del 2015, respecto al desistimiento de la solicitud invocada, no obstante lo anterior, informamos que procedimos de manera oficiosa a eliminar el dato xxxxxxxxxx, de todas nuestras bases de datos.
(Destacado fuera del texto original) (…) NUMERAL SEXTO: (…) Sobre este punto, indicamos que se procedió a ofuscar los datos de contacto de la titular, sin embargo y con ocasión a la presente queja nuestra entidad está tomando una serie de medidas para identificar posibles fallas en nuestro sistema frente a la eliminación (sic) ya enunciada, y en caso de encontrar que por error operativo los aún existen datos de la titular en nuestro sistema procedimos a radicar dicha eliminación (sic), de lo anterior relacionamos como medio probatorio la certificación suscrita por nuestro gerente de tecnología en donde se acredita que se procedió con la ofuscación del dato xxxxxxxxxxxxxxxxxxxxxxxxxx, de todas nuestras bases de datos.” En consecuencia, esta Superintendencia impartió una orden administrativa a la sociedad REFINANCIA S.A.S., mediante la Resolución No. 39520 del 23 de junio de 2022, confirmada por la Resolución No. 60433 del 5 de septiembre de 2022, consistente en: “ARTÍCULO PPRIMERO: Ordenar a la sociedad REFINANCIA S.A.S., identificada con el Nit. 900.060.442-3, para que dentro del término de cinco (05) días hábiles siguientes a la ejecutoria de la presente decisión, elimine totalmente el número de celular XXXXXXXX y el correo electrónico XXXXXXXXXXXXXXX de la señora XXXXXXXXXXXXXXXXXXXXXX XXXXXXX, identificada con cédula de ciudadanía No. xxxxxxxxxxx, de sus bases de datos, de tal manera que no vuelva a ser contactada telefónicamente ni le sean enviados mensajes de texto o mensajes por correo electrónico, (…)
PARÁGRAFO PRIMERO: La sociedad REFINANCIA S.A.S. deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. (…).” Nótese entonces que esta Entidad tuvo que impartir una orden administrativa para que la sociedad REFINANCIA S.A.S. procediera con la eliminación de la información de la Titular de sus bases de datos.6 Como colofón de lo anterior, este Despacho reitera que la vulneración al derecho al habeas data de la Titular se produjo cuando esta tuvo que contactar a la sociedad REFINANCIA S.A.S. en múltiples oportunidades para que dicha empresa eliminara sus datos personales de la base de datos que esa organización utiliza para realizar cobro de cartera.
Aunado a lo expuesto en líneas precedentes, es menester realizar las siguientes precisiones: - Este Despacho no se aparta de las medidas que hayan sido adoptadas e implementadas por la sociedad investigada, con ocasión a los hechos que dieron origen al trámite administrativo de la referencia y de cara a propender por el cumplimiento de los deberes previstos en la Ley Estatutaria 1581 de 2012.
No obstante, no puede perderse de vista que dichas medidas fueron adoptadas con posterioridad a lo ocurrido en el presente caso. - Conviene reiterar que la sociedad investigada aceptó expresamente el cargo único formulado por esta Dirección, mediante escrito de alegatos de conclusión radicado el 5 de diciembre de 2023 bajo el número 23-276810-16.
Así las cosas, se concluye que la sociedad investigada incumplió el deber previsto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. Acreditación de cumplimiento radicada el 27 de septiembre de 2022 bajo el radicado 21-194429-33 “Por la cual se impone una sanción”
OCTAVO: Imposición y graduación de la sanción 8.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional7.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente.
El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.
En cumplimiento del inciso segundo del citado artículo, el MINISTERIO DE HACIENDA Y CRÉDITO PÚBLICO expidió la Resolución No. 3268 del 18 de diciembre de 2023, estableciendo el valor de la UVB para el año 2024, en un monto de DIEZ MIL NOVECIENTOS CINCUENTA Y UN PESOS ($10.951). De esta manera el monto de la sanción será calculado en los términos de la norma antes mencionada.
De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional8 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”9 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros10. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”11.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia12. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2313 de la misma ley.
Así mismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 8.1.1.
Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012 De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infración al Régimen General de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de moso que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”14. Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” “Por la cual se impone una sanción” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso quedó demostrado que la sociedad REFINANCIA S.A.S. actuó negligentemente al no atender las solicitudes de eliminación de datos realizadas por la Titular XXXXXXXXXXXXX XXXXXXXXXXXXXX durante el periodo de tiempo comprendido entre el 2019 y el 2021.
Razón por la cual, tuvo que mediar una orden administrativa impartida por esta Superintendencia, para que la sociedad REFINANCIA S.A.S. procediera con la eliminación de la información de la Titular de sus bases de datos.15 En consecuencia, esta Dirección impondrá una multa de CIENTO SETENTA (170) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DIECINUEVE MIL SETECIENTAS VEINTE (19.720) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a DOSCIENTOS QUINCE MILLONES NOVECIENTOS CINCUENTA Y TRES MIL SETECIENTOS VEINTE PESOS M/CTE ($215.953.720), por la violación a lo dispuesto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 8.1.2.
Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad. 8.1.3. Literal f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará, respecto cargo único, toda vez que la sociedad REFINANCIA S.A.S, en su escrito de alegatos de conclusión radicado el 5 de diciembre de 2023 bajo el número 23-276810-16, reconoció la comisión de la infracción en los siguientes términos: “(…)
5. FRENTE AL UNICO CARGO Sobre la presunta vulneración en su condición de Encargado del tratamiento, del deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, consagrado en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 me permito manifestar lo siguiente: 6.
Allanamiento expreso En representación de Refinancia SAS me allano expresamente al CARGO ÚNICO formulado en la presente investigación realizada por esta Superintendencia. Teniendo en cuenta lo anterior, solicitamos de manera respetuosa a la Superintendencia que se tengan 14 Corte Constitucional. Sentencia C-125 de 2003. Dieciocho (08) de febrero de dos mil tres (2003).
Gerardo Monroy Cabra. Acreditación de cumplimiento radicada el 27 de septiembre de 2022 bajo el radicado 21-194429-33 Expediente D-4059. M.P. Marco “Por la cual se impone una sanción” en cuenta los criterios de graduación de las sanciones establecidas en el artículo 24 de la Ley 1581 de 2012. Sobre el particular y para el Proceso (sic), es importante tener en cuenta lo siguiente: (…) ii.
El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento.
(…).”16 En consecuencia, el valor de la multa por la vulneración al deber previsto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 inicialmente tasada se reducirá en OCHENTA Y CINCO (85) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL OCHOCIENTAS SESENTA (9.860) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860).
En conclusión de lo expuesto en el presente acápite, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de OCHENTA Y CINCO (85) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL OCHOCIENTAS SESENTA (9.860) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860), por la violación a lo dispuesto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
NOVENO: CONCLUSIÓN La sociedad REFINANCIA S.A.S. incumplió con el deber que le asiste, en calidad de Encargado del tratamiento, de realizar oportunamente la supresión de los datos, pues aun cuando la Titular solicitó la eliminación de sus datos para efectos de gestión de cobranza de una obligación a cargo de un tercero, y pese a que la sociedad le confirmó que la eliminación se realizó con éxito; lo cierto es que con posterioridad a ello, la sociedad continuó realizando gestiones de cobranza, a través de la línea móvil de la denunciante.
DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, con el correo electrónico de notificación judicial notificacionesjudiciales@refinancia.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 23-276810. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. Radicado No. 23-276810-16 del 5 de diciembre de 2023 “Por la cual se impone una sanción” En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, de OCHENTA Y CINCO (85) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL OCHOCIENTAS SESENTA (9.860) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860) por la vulneración al deber establecido en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
Parágrafo primero. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, a través de su Representante Legal y/o apoderado, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO 3. COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX, identificada con la cédula de ciudadanía número XXXXXXXX, el contenido de la presente decisión.
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31 A-36, Pisos 3 y 3A en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 17 de junio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.06.17 13:49:03 -05'00' CAROLINA GARCÍA MOLINA Proyectó: María Guañarita Revisó: Mónica Flórez Aprobó: Carolina García NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: REFINANCIA S.A.S. NIT. 900.060.442-3 Kenneth Mendiwelson Valcarcel 79.598.884 Carrera 7 No. 32-33.
Piso 6 Bogotá D.C. – Colombia notificacionesjudiciales@refinancia.co “Por la cual se impone una sanción” Apoderada general: Identificación: Dirección: Ciudad: Correo electrónico: Clara Yolanda Velásquez Ulloa 52.341.849 Carrera 7 No. 32-33. Piso 6 Bogotá D.C. – Colombia cvelasquez@refinancia.co COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXX17 XXXXXXXXXXXXXXX 17 La Titular no aportó dirección física de notificación.