Decisión 36843 de 2022 — SIC

(febrero 10 de 2022) Radicación 20-135209 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022),

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 26988 de 8 de junio de 2020, la Dirección de Investigación de Protección de Datos Personales resolvió formular pliego de cargos en contra de la sociedad MARKETING PERSONAL S.A. identificada con Nit. 811.018.771-1.

SEGUNDO. Que mediante Resolución 10998 de 4 de marzo de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad MARKETING PERSONAL S.A identificada con Nit. 811.018.771-1, por un valor de CIENTO CINCUENTA MILLONES TRESCIENTOS QUINCE MIL CIENTO VEINTE PESOS M/CTE ($150.315.120), equivalente a CUATRO MIL CIENTO CUARENTA (4.140) UVT, por la violación a lo dispuesto en: (i) El numeral 7) del artículo 8 de la Ley 1266 de 2008, en concordancia con los numerales 3, 4 y 5 del literal II del artículo 16 ejúsdem;

(ii) El numeral 10) del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 ejúsdem; (iii) El numeral 1) del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 ejúsdem; y (iv) El numeral 5 del artículo 8 de la Ley 1266 de 2008.

TERCERO. Que mediante escrito radicado bajo el No. 20-135209-27 de 7 de abril de 2021, la investigada presentó recurso de reposición y en subsidio de apelación en contra de la Resolución 10998 de 4 de marzo de 2021.

CUARTO. Que mediante la Resolución No. 36843 de 16 de junio de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por el recurrente, confirmando en todas sus partes la Resolución 10998 de 4 de marzo de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

QUINTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto contra la Resolución 10998 de 4 de marzo de 2021. Con este propósito, iniciará con el resumen de los argumentos expuestos por la recurrente: HOJA Nº

1. CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO “( ) resulta inaceptable y por fuera del ámbito de la competencia del Director de Investigaciones de Protección de Datos Personales que se le exija a MARKETING PERSONAL S.A, el cumplimiento de las obligaciones establecidas en el artículo 8o de la Ley 1266 de 2008, cuando esta sociedad al también ser víctima de tal conducta delictiva por parte de un tercero nunca pudo acceder a información veraz, completa, exacta, actualizada y comprobable por parte de la señora XXXX XXXXXX XXXX XXXXXXXXX Y MARKETING PERSONAL S.A. y por lo cual no le era en un principio posible ni exigible cumplir adecuadamente con tales obligaciones.

( ) 4. No existe ninguna norma en la Ley 1266 de 2008 ni en sus normas reglamentarias que sancione al administrador de una fuente de información por haber sido víctima de una suplantación. 5. El reporte negativo únicamente tenía el valor de $29.904, pesos, con lo cual no tenía el potencial para afectar gravemente el derecho al habeas data ni acceso al crédito de la señora XXXX XXXXXX XXXX XXXXXXXXX, por tratarse de un monto ínfimo.

( )”

2. FALTA DE COMPETENCIA “( ) es claro que frente estos casos de suplantación, la Superintendencia de Industria y Comercio, bajo una interpretación finalista de dicha norma, el ente de vigilancia y control es decir la Superintendencia, se debe pronunciar, respecto si la obligación frente a la cual el titular de información alega suplantación de identidad, es en realidad fruto de tal conducta u obedece a una obligación cierta y real, sin embargo tal Resolución 76434, ni la Ley 1266 de 2008, le brindan competencia a la Superintendencia de Industria y Comercio para sancionar a una sociedad, en este caso MARKETING PERSONAL S.A, por el hecho de haber recibido información fruto de una suplantación, lo anteriormente analizado tiene plena coherencia si se tiene en cuenta que el artículo 18 de la Ley 1266 de 2008 indica que la Superintendencia podrá imponer multas por la violación de la Ley y las normas que la reglamenten, sin embargo en ningún aparte de la Ley 1266 de 2008 ni en sus normas reglamentarias se reglamenta, legisla o impone a las fuentes de información obligaciones relacionadas con la suplantación del titular de información por parte de un tercero ( )”. 3.

CONFISCATORIEDAD Y DESPROPORCIÓN DE LA SANCIÓN “( ) 2. Si bien es cierto que la sociedad MARKETING PERSONAL S.A ha sido sancionada en varias ocasiones por el ente de control, también lo es que para la fecha de la imposición de la sanción MARKETING PERSONAL S.A ha demostrado la mejora y cumplimiento de sus obligaciones legales a la luz de la Ley 1266 de 2008, tal como consta en la respuesta al cumplimiento de la resolución número 41980 de 2020, la cual fue radicada ante la Dirección de Investigaciones de Protección de Datos Personales el 11 de Diciembre de 2020.

( ) El Apoderado General de la sociedad MARKETING PERSONAL S.A, en los descargos del mes de julio de 2020 reconoció expresamente que no habíamos contestado el derecho de petición dentro de los términos establecidos en la Ley, reconocimiento que debe ser valorado por el Despacho como un factor atenuante para atenuar la sanción ( ) MARKETING PERSONAL S.A, no solamente sufrió una confiscatoria sanción monetaria, sino que sufrió graves perjuicios en su imagen corporativa, al ser expuesta por la Superintendencia de Industria y Comercio en más de 14 medios de carácter nacional, por una sanción que aún no había sido debidamente notificada, tal como se demostrara más adelante y que tampoco se encontraba en firme pues se encontraban pendientes los recursos de reposición y apelación que se solicitan por medio de la presente comunicación. Al tratarse de un caso de suplantación donde la sociedad MARKETING PERSONAL S.A, también había sido víctima, a causa de un hecho exclusivo de un tercero, no era viable por parte de la HOJA Nº Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio, exigir el cumplimiento pleno de obligaciones de la Ley 1266 de 2018”.

4. INDEBIDA NOTIFICACIÓN “( ) el contacto y dirección de correo electrónico de MARKETING PERSONAL S.A, a la cual fue notificada la Resolución Número 10998 del 2021, fue al señor XXXXXX XXXXXX XXXXXXX XXXXXXXXXX y al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx a pesar de que por medio de comunicación del viernes 27 de 11 de noviembre de 2020, Radicado 20-453278 enviada al correo contactenos@sic.gov.co y habeasdata@sic.gov.co, se le informo a la Superintendencia de Industria y Comercio que el certificado de existencia y representación legal de la compañía había sido actualizado, en el sentido que el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx ya no constaba como correo para recibir notificaciones y que igualmente el señor XXXXXX XXXXXX XXXXXXX XXXXXXXXXX había sido removido como apoderado general de la Sociedad, para tal efecto se adjuntó revocatoria del poder general, nuevo poder general concedido al suscrito y el certificado de existencia y representación legal actualizado, donde consta que el correo electrónico para recibir notificaciones es juridico@marketingpersonal.com.

Así las cosas, es clara que la notificación realizada por la Superintendencia de Industria y Comercio es nula y por lo tanto afecta totalmente la validez del acto administrativo. La indebida notificación implico que MARKETING PERSONAL S.A, conociera de la sanción por medio de la estrategia mediática de la Superintendencia de Industria y Comercio, donde se expuso a nuestra Compañía en más de 14 medios nacionales, sin garantizar el derecho a la contradicción y la defensa, lo cual reiteramos implica la nulidad e invalidez del acto administrativo.

De igual manera por medio del presente documento reiteramos que los correos electrónicos xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, no son válidos para realizar notificaciones de ningún tipo”.

5. OBJECIÓN FRENTE AL PUNTO 8.2.2 “DEL DEBER DE REMITIR UNA COMUNICACIÓN PREVIA AL REPORTE NEGATIVO ANTE LOS OPERADORES DE INFORMACIÓN” “( ) considerando que la sociedad MARKETING PERSONAL S.A, también fue víctima de un delito por parte de un tercero, hecho que finalmente es la causa raíz que dio lugar a la vulneración del derecho al habeas data de la señora XXXX XXXXXX XXXX, pues sin este hecho, la titular nunca hubiera sido reportada en centrales de riesgo, y que no es posible la aplicación de la Ley 222 de 1995 al régimen de protección de datos personales de la Ley 1266 de 2008 y la FALTA DE COMPETENCIA por parte de la Superintendencia de Industria y Comercio para imponer sanciones por el hecho que una fuente de información haya sido víctima de una conducta típica de falsedad personal y documental, ya que no existe ninguna disposición en la Ley 1266 de 2008 y sus normas reglamentarias que implique obligación y/o sanción para las fuentes de información, relacionado con las suplantaciones, limitándose la Resolución 76434 de 2012 a darle competencia a la Superintendencia para que se pronuncie sobre la suplantación o no del titular, mas no para imponer sanciones a la fuente, teniendo en cuenta lo anterior comete una arbitrariedad la Superintendencia de Industria y Comercio al exigirle a la fuente de información MARKETING PERSONAL S.A, el cumplimiento de la comunicación previa al reporte de una obligación, que desde el principio fue creada por un tercero con la plena y total intención de defraudar tanto a la señora XXXX XXXXXX XXXX como a MARKETING PERSONAL S.A.”

6. OBJECIÓN FRENTE AL PUNTO 8.2.3 “DEL DEBER DE GARANTIZAR QUE LA INFORMACIÓN SUMINISTRADA A LOS OPERADORES SEA VERAZ COMPLETA, EXACTA, ACTUALIZADA Y COMPROBABLE” “El hecho de que un documento suscrito por el deudor o el contratante no contenga o no posea un número de serie o consecutivo no convierte a la obligación en inexacta, poco veraz, improbable o desvirtúa su existencia, más aún cuando en el presente caso los documentos contienen la firma y número de identificación de quien en su momento dijo ser XXXX XXXXXX XXXX XXXXXXXX.

Adicionalmente no existe estipulación legal o contractual que le imponga al acreedor o contratante el deber de rotular, marcar o relacionar los documentos suscritos por el deudor con un numero de obligación especifico. Es importante aclararle al Despacho que el número de obligación xxxxxx que figura reportado ante las centrales de riesgo hace referencia a los 6 últimos dígitos de la cédula de ciudadanía de la HOJA Nº señora XXXX XXXXXX XXXX XXXXXXXXX el cual es xx.xxx.xxx, razón por la cual dicho número no se encuentra consignado en el contrato de suministro o en el pagare.

Al momento de realizar el reporte ante las centrales de riesgo el número de obligación que reportamos corresponde al número de identificación de los titulares, para el caso concreto se puede constatar con la respuesta del 26 de junio de 2019, otorgada por la central de información financiera” EXPERIAN COLOMBIA S.A., quienes informaron que la obligación reportada a nombre de la señora XXXX XXXXXX XXXX XXXXXXXX era la número xxxxxxxxxxxxxx ( )”.

7. OBJECIÓN FRENTE AL PUNTO 8.2.4 “DEL DEBER DE CONSERVAR COPIA O EVIDENCIA DE LA AUTORIZACIÓN OTORGADA POR EL TITULAR DE LA INFORMACIÓN” “En los documentos aportados como pruebas a lo largo de la investigación se puede evidenciar que en el contrato de suministro suscrito por quien dijo ser la señora XXXX XXXXXX XXXX XXXXXXXX, en el numeral octavo se establece la autorización expresa por parte de la titular la cual consagra: “Faculto expresamente a MP LTDA para la información suministrada en el presente documento, que tiene carácter personal y confidencial, sea consultada y verificada con terceras personas incluyendo los bancos o bases de datos igualmente para que la misma sea usada y puesta en circulación con fines exclusivamente comerciales.

También autorizo expresamente que en el caso de incumplimiento de la(s) obligación(es) sea reportada a los bancos de datos de” En el presente caso como lo hemos manifestado en varias oportunidades se trata de una obligación adquirida con anterioridad a la entrada en vigencia de la Ley 1266 de 2008 y cuya autorización de tratamiento de datos cumple con el requisito de ser expresa y otorgada por el titular.

Con fundamento en la Ley 1266 de 2008 nada obsta para que la autorización esté incluida o inmersa dentro del clausulado de algún contrato, toda vez que la obligación se limita a obtener la autorización por parte del titular y conservar prueba de esta y no que la autorización este en un documento independiente. Teniendo en cuenta lo anterior, carece de sentido jurídico el argumento del Despacho al indicar que no se puede tener en cuenta como autorización por no contener un numero de consecutivo que hiciera alusión a la obligación xxxxxx, como lo mencionamos anteriormente es el numero con el que se reportaba la obligación ante las centrales de riesgo y que se trata de los 6 últimos dígitos de la cedula de ciudadanía de la titular.

( )”

8. OBJECIÓN FRENTE AL PUNTO 9.1.2 “OTROS CRITERIOS DE GRADUACIÓN” “( ) esde la presentación de los descargos en el mes de julio de 2020 reconocimos expresamente que no habíamos contestado el derecho de petición dentro de los términos establecidos en la Ley, reconocimiento que debe ser valorado por el Despacho como un factor atenuante para disminuir la sanción. El Despacho al momento de imponer la sanción frente al cargo primero (punto 8.2.1 Del deber como fuente de información de atender los reclamos que ante esta se presentan y la forma como deben hacerlo), tuvo como prueba del incumplimiento el reconocimiento expreso que hicimos de no haber dado respuesta el derecho de petición dentro de los términos de Ley, así: “Así pues, es evidente que la documentación allegada por la sociedad investigada en esta instancia, así como la recolectada a lo largo de la investigación, no logra desvirtuar el presente cargo, pues no se vislumbra que haya dado respuesta oportuna al derecho de petición presentado el 26 de octubre de 2018 por la señora XXXX XXXXXX XXXX XXXXXXXX, en consecuencia, este cargo será objeto de sanción. Abonado a lo anterior con esta afirmación nuestra Compañía reconoce y acepta que contestó el derecho de petición con 20 días de retraso al termino estipulado en la Ley 1266 de 2008 se comprueba una vez más el incumplimiento del presente cargo” ( ) HOJA Nº No es claro por qué el Despacho tiene en cuenta el reconocimiento al momento de imponer la sanción, pero lo descarta como atenuante para graduar la sanción, alegando que al haber ejercido nuestro derecho de defensa estábamos contradiciendo el reconocimiento.

En este punto en ningún momento existió una contradicción, lo que verdaderamente hubo fue una aclaración a la Superintendencia, quien adelantó la investigación desde el supuesto que el derecho de petición había sido contestado en junio de 2019, cuando en realidad la respuesta se había notificado en diciembre de 2018, teniendo en cuenta que los términos ya se encontraban vencidos razón por la cual hicimos el reconocimiento expreso de la falta según lo estipulado en la Ley 1266 de 2008.

En todo caso es pertinente reiterar que la demora en 5 días hábiles para dar respuesta a un derecho de petición, respecto del cual incluso la misma Ley 1266 de 2008, permite ampliar el termino en 8 días más, no es proporcional, ni razonable con una sanción por valor de VEINTICINCO MILLONES CINCUENTA Y DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($25.052.520).

9. OBJECIÓN FRENTE AL PUNTO 9.1.3 “REINCIDENCIA EN LA COMISIÓN DE LA INFRACCIÓN” “( ) solicitamos que se tenga en cuenta todo lo antes expuesto, especialmente lo relacionado con las OBJECIONES GENERALES FRENTE A LOS CARGOS QUE DAN LUGAR A LA SANCION, principalmente en lo relacionado con LA CAUSA EXTRAÑA POR EL HECHO DE UN TERCERO, LA FALTA DE COMPETENCIA, INDEBIDA NOTIFICACION, y a la aplicación del principio constitucional y general del derecho “Ne [sic] bis in idem” que implica que nadie podrá ser sancionado más de una vez por un mismo hecho, siempre que se trate del mismo sujeto y fundamento, solicitamos se revoque el aumento de la sanción de CIEN MILLONES DOSCIENTOS DIEZ MIL OCHENTA PESOS M/CTE ($100.210.080)”.

CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)” (Destacamos).

2. DE LA CALIDAD DE LA INFORMACIÓN QUE DEBE SUMINISTRAR LA FUENTE Ordena lo siguiente la Ley Estatutaria 1266 de 2008: ARTÍCULO 4o. PRINCIPIOS DE LA ADMINISTRACIÓN DE DATOS. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen: a) Principio de veracidad o calidad de los registros o datos.

La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error; (…)” ARTÍCULO 8o. DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

HOJA Nº 1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable. (…)” (Subrayamos) Sobre este deber, la Corte Constitucional precisó lo siguiente en el numeral 3.3.3. de la sentencia C-1011 de 2008: “En cuanto a lo previsto en el numeral 1º, que establece el deber de las fuentes de garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable, debe señalarse que los procesos de administración de datos personales está signado por un deber de objetividad.

Esta condición implica que la información no debe ser presentada en forma inductiva, sesgada o sugestiva. La jurisprudencia constitucional[150] al respecto también ha señalado que la veracidad supone una correspondencia entre el registro efectuado y las condiciones empíricas del sujeto pasivo. Por ello, en tanto la fuerza de los presupuestos de veracidad y actualidad se refleja en esta norma, la Corte la encuentra ajustada a la Constitución.” (Subrayamos) Como se observa, la información que se reporta debe ser cierta y de calidad.

No se puede reportar información sobre la cual no exista certeza de su veracidad porque ello no solo afecta el buen nombre de las personas sino que induce a error a los usuarios de la información y al público en general. Por eso, la citada ley exige que las fuentes de información garanticen que la información sea, entre otras, comprobable.

Según la RAE, comprobable significa “que se puede comprobar”2, es decir que se puede “confirmar la veracidad o exactitud de algo” 3. Quien reporta a una persona debe ser muy profesional y diligente porque su acción u omisión genera daños a las mismas al comprometer o poner en riesgo su buen nombre. No se puede jugar con los derechos de las personas, sino que se deben garantizar.

Por eso, si no es comprobable la información que se va a reportar, la fuente debe abstenerse de realizar el reporte. Las personas no deben ser sometidas al escarnio público con reportes negativos sobre los cuales no existe certeza ni prueba de la veracidad de la información. Su reputación no puede ser puesta en tela de juicio con ocasión de obligaciones o situaciones no comprobables.

Nótese que ganar un buen nombre no es sencillo, perderlo es fácil y recuperarlo es muy difícil o, según el caso, imposible. El artículo 95 de la Constitución Política Nacional ordena “respetar los derechos ajenos y no abusar de los propios”. Por eso, es legítimo reportar a una persona como morosa siempre y cuando se cumplan unos requisitos.

Uno de ellos, precisamente, exige que la información sea comprobable. Así las cosas, quien realiza el reporte (la fuente de la información) debe ser extremadamente cuidadoso de contar con plena prueba de la veracidad de la información. De lo contrario, no estaría respetando el buen nombre de la persona reportada, causándole daños y perjuicios.

Es importante recordar lo establecido en la Sentencia T-803 de 2010 sobre el principio de veracidad, allí la Corte Constitucional manifestó que en la Sentencia T-272 de 2007 estableció: “(…) la Corte determinó que frente al principio de veracidad, el dato informado al operador[444] debe corresponder a la situación objetiva del deudor, de tal forma que exista certeza sobre la existencia y las condiciones del crédito.

En consecuencia, no basta con que las entidades tengan los registros contables que soporten la obligación, sino que además deben contar con los documentos que prueben la existencia de la obligación. De lo anterior, se infiere que es obligación del acreedor comprobar la existencia de la deuda y que ésta sea imputable al acreedor.[455] Esto, al ser la fuente de la información quien tiene el deber de “garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea (…) comprobable”[466]. 2 Cfr. https://dle.rae.es/comprobable?m=form 3 Cfr. https://dle.rae.es/comprobar 4 “De acuerdo con la Ley 1266 de 2008, el operador de información se entiende como: “(…) la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley.

Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;” 5 Corte Constitucional, Sentencia T-129 de 2010 6 Ley 1266 de 2008, artículo 8° numeral 1.

HOJA Nº De igual manera, al resolver el problema jurídico ¿Se vulneran los derechos fundamentales del debido proceso, libertad, buen nombre, habeas data, y a la honra, de quien alega no ser el autor de un delito por el cual fue condenado en un proceso penal, al ser víctima de un caso de suplantación?, determinó en la Sentencia T-653/14 que: “Como quiera que excede la competencia del juez constitucional determinar si existe un error administrativo o un caso de falsa identidad, ante las evidencias de la suplantación, debe tomar decisiones que le permitan al accionante esclarecer la compleja situación y buscar recuperar su buen nombre, honra, la eliminación de los reportes negativos y la recuperación de sus derechos políticos” En vista de las referencias expuestas, y en atención a las circunstancias particulares del caso en cuestión, además como no le corresponde a la sociedad investigada determinar la ocurrencia o no del delito de suplantación de identidad, y tampoco le compete decidir si los documentos que aportó al expediente, determinan y comprueban sin lugar a error la obligación a cargo de la quejosa, este Despacho considera que no es posible acceder a lo pretendido por la recurrente.

En la medida que, como ya se dijo, la situación que dio lugar a la presente actuación administrativa está siendo investigada por parte de la autoridad competente para ello, lo que lleva a concluir que hay duda respecto de la titularidad de la obligación adquirida. Por lo anterior, y como es evidente que a la fecha la información no es comprobable, resulta apenas lógico que se ordenara la eliminación de manera preventiva de los reportes realizados a nombre de la quejosa.

No debe olvidarse que el artículo 29 de la Constitución Política Nacional ordena que “toda persona se presume inocente mientras no se la haya declarado judicialmente culpable“. Mantener un reporte negativo sin fundamento probatorio de su veracidad es un acto contrario al precitado mandato constitucional. Se reitera lo establecido en la Resolución No. 36843 de 16 de junio de 2021, este Despacho evidenció que la compañía investigada reportó información de la Titular ante los operadores, sin contar con los soportes que acreditaran la obligación, afectando gravemente el derecho fundamental de habeas data de la quejosa.

Así, las conductas desplegadas por MARKETING PERSONAL S.A. pusieron en peligro los intereses jurídicos que protege la Ley 1266 de 2008 respecto de la quejosa. De un lado hay que tener presente que la investigada no contestó en el término legal la petición que le presentó la Titular de la información el 26 de octubre de 2018, mediante la cual manifestó su inconformidad por el reporte negativo generado a su nombre ante los operadores de información. Asimismo hay que tener presente que la investigada dio respuesta a la petición el 19 de diciembre de 2018 y que, el término legal máximo para dar respuesta a la solicitud se cumplía el 20 de noviembre de 2018, de esta manera se excedió el término de respuesta de 15 (quince) días hábiles establecido por el artículo 16 de la Ley 1266 de 2008, y tampoco se pronunció de fondo frente a todas las pretensiones elevadas por la quejosa, tal y como se puede verificar a continuación: Anexo del escrito de descargos radicado bajo el No. 20-135209-10 de 15 de julio de 2020 En el mismo escrito de descargos, la investigada afirmó: HOJA Nº 2005, lo siguiente: “ …a partir de la entrada en vigencia de la Ley 962 de 2005 y en concordancia con lo señalado en el artículo 12 de la Ley 527 de 1999, los libros y papeles del comerciante únicamente HOJA Nº 9 deben ser conservados por un período de diez (10) años contados a partir de la fecha del último asiento, documento, o comprobante, pudiéndose utilizar para el efecto, a elección Por la cual se resuelve un recurso de apelación del comerciante, su conservación en papel o en cualquier medio técnico, magnético o electrónico que garantice su reproducción exacta.

Al respecto, se debe aclarar que en caso de que se utilice un medio electrónico para la conservación de tales documentos, el mismo deberá reunir los requisitos establecidos en el artículo 12 de la Ley 527 de 1999 y en dicho caso, no será necesaria la conservación física (en papel) de los libros y papeles del comerciante. En este evento, una vez se garantice la reproducción exacta de los libros y papeles, a través del citado medio electrónico, el comerciante está en posibilidad de destruir directamente dichos documentos, encontrándose obligado, únicamente, a conservarlos por Igualmente, la Superintendencia debe tener presente que estábamos frente a una obligación del un período de diez (10) años en el medio electrónico en el que se hubieren reproducido. año 2002, y de la cual se dificultó para nuestra Compañía la consecución de los documentos solicitados por la señora LUCY STELLA PEÑA MOSQUERA en octubre de 2018, dado que, como es de Por lo anterior, nuestra entendertienen que lalapetición dedela conservar señora LUCY STELLA PEÑA conocimiento de estaCompañía entidad lasalempresas obligación los documentos y tenía comopapeles finalidad eliminación de los reportes negativos las el centrales información, del la comerciante por el termino de 10 años según loante establece artículode 28 de la ley 962 dedebido que esa 2005.era su mayor afectación, procedió a subsanar tal inconformidad eliminando los reportes negativos que tuviera a su nombre para dar cumplimiento a ley 1266, y emitió en tal sentido una Página 2 escrito de descargos radicado bajo el No. 20-135209-10 de al 15 analizar de julio delas 2020 En el mismo sentido la Superintendencia Industria y Comercio, respuesta el 19 de diciembre de 2018, sindeabsolver las otras 5 solicitudes deconsecuencias documentos de la derivadas de la mencionada ley, manifestó a través del Concepto 05054043 del de de petición, dado que, se imposibilitó para Marketing Personal en ese momentooctubre la verificación 2005, lo siguiente: completa de la información debido a la antigüedad de 16 años que tenía la documentación. “ …a partir de la entrada en vigencia de la Ley 962 de 2005 y en concordancia con lo señalado Nuestra Compañía en la 12 respuesta a la1999, peticionaria 19 de diciembre de 2018, atendió 2 de en el artículo de la Leydada 527 de los libros el y papeles del comerciante únicamente las 7 preguntas de por petición presentado de contados octubre adepartir 2018.

Debido debendel ser derecho conservados un período de diez el (10)26 años de la fecha a delque, la último asiento,con la documento, o comprobante, pudiéndose utilizarpara para el elección compañía no contaba comunicación previa al reporte eseefecto, a momento, atendió del la comerciante, o en cualquier medio magnético favorablemente solicitud su de conservación eliminación en del papel reporte ante centrales de técnico, información. Por loo tanto, electrónico que garantice su reproducción exacta.

Al respecto, se debe aclarar que en se resolvieron los numerales 5 y 7 de la petición que tenía relación directa con el reportecaso negativo de que se utilice un medio electrónico para la conservación de tales documentos, el mismo ante centrales de información y las cuales convertían el derecho de petición en una reclamación deberá reunir los requisitos establecidos en el artículo 12 de la Ley 527 de 1999 y en dicho regulada porcaso, el artículo 16 de la ley 1266 según el objeto de protección de dicha ley. no será necesaria la conservación física (en papel) de los libros y papeles del comerciante.

En este evento, una vez se garantice la reproducción exacta de los libros y Página escrito descargos radicado bajo el No.el20-135209-10 de 15 julio de 2020 papeles, a 2 través deldecitado medio electrónico, comerciante estádeen posibilidad de destruir directamente dichos documentos, encontrándose obligado, únicamente, a conservarlos por un período diez (10) años en el medio electrónico el que hubieren Ahora, en atención a lodeestablecido por el artículo 22ende la se Ley 222 reproducido. de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o lo anterior, nuestra Compañía al entender que la petición de la señora LUCY STELLA PEÑA tenía consejos Por directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. como finalidad la eliminación de los reportes negativos ante las centrales de información, debido Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos que esa era su mayor afectación, procedió a subsanar tal inconformidad eliminando los reportes y de cumplir la Ley 1266 de 2008 y cualquier otra norma. negativos que tuviera a su nombre para dar cumplimiento a ley 1266, y emitió en tal sentido una respuesta el 19 de diciembre de 2018, sin absolver las otras 5 solicitudes de documentos de la Es por lo petición, anterior dado que el artículo 23 de lapara ley Marketing en mención establece los administradores que, se imposibilitó Personal en eseque momento la verificación no solo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que completa de la información debido a la antigüedad de 16 años que tenía la documentación. en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o Nuestra estatutarias”.

Compañía en la respuesta dada a la peticionaria el 19 de diciembre de 2018, atendió 2 de las 7 preguntas del derecho de petición presentado el 26 de octubre de 2018. Debido a que, la Igualmente el artículo de la 1995 previa presume culpa delese momento, administrador “en los casos compañía no 24 contaba conLey la 222 de comunicación al la reporte para atendió de incumplimiento o la extralimitación sus del funciones, violación dedela ley o de los estatutos”.

Dicha favorablemente solicitud de de eliminación reporte ante centrales información. Por lo tanto, se de resolvieron los numerales 5 y 7 de la los petición que tenía relaciónestén directaen con el reporte de negativo presunción responsabilidad exige que administradores capacidad probar que antecon centrales información y lasde cuales convertíanes el decir, derecho de petición una reclamación han obrado lealtadey la diligencia un experto, como un en “buen hombre de negocios” regulada por el artículo 16 de la ley según elEs objeto de protección de dichaque ley. los administradores tal y como lo señala el artículo 231266 anterior. importante resaltar jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

Por lo anterior, no se acepta el argumento presentado por la investigada, según el cual, “No existe ninguna norma en la Ley 1266 de 2008 ni en sus normas reglamentarias que sancione al administrador de una fuente de información por haber sido víctima de una suplantación”. Tampoco es de recibo de este Despacho que la investigada afirme que, “El reporte negativo únicamente tenía el valor de $29.904, pesos, con lo cual no tenía el potencial para afectar gravemente el derecho al habeas data ni acceso al crédito de la señora XXXX XXXXXX XXXX XXXXXXXX, por tratarse de un monto ínfimo”.

Lo anterior trata de restarle importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional. En cuanto a la afirmación, “La Causa extraña por el hecho de un tercero al asimilarse según la Jurisprudencia de la Corte Suprema de Justicia con la fuerza mayor o caso fortuito, eximiría de responsabilidad a MARKETING PERSONAL S.A, aun cuando no hubiere demostrado diligencia y cuidado, circunstancia que en todo caso no se presentó ya que como se verá más adelante HOJA Nº 10 MARKETING PERSONAL S.A, conserva la autorización previa y expresa del titular y los documentos soportes de la obligación que permiten determinar que la obligación es comprobable, frente a quien se hizo pasar por XXXX XXXXXX XXXX XXXXXXXX”, se insiste en lo aducido por la Dirección de Investigación de Protección de Datos Personales en el acto administrativo que resolvió el recurso de reposición interpuesto por la investigada: Hoja 15 Resolución 36843 de 2021 Por lo expuesto, la investigada no demostró que contaba con la Autorización otorgada por la Titular de la información de acuerdo con lo establecido por la Ley 1266 de 2008.

3. POTESTAD SANCIONADORA Y COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”7 El artículo 17 de la Ley 1266 de 2008 establece que: “La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley ( ) Por su parte el artículo 18 de la misma ley señala la potestad sancionatoria que tiene a su cargo esta autoridad administrativa.

Respecto de esta8, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm 8 La potestad sancionadora la definió Santi Romano como, “(…) el poder jurídico para imponer decisiones a otros para el cumplimiento de un fin.

La potestad entraña, así, un poder otorgado por el ordenamiento jurídico de alcance limitado o medido para una finalidad predeterminada por la propia norma que la atribuye, y susceptible de control por los tribunales. La potestad no supone, en ningún caso, un poder de acción libre, según la voluntad de quien lo ejerce, sino un poder limitado y controlable.

Dentro de las potestades, las de la Administración Pública son potestades-función, que se caracterizan por ejercerse en interés de otro, esto es, no de quien la ejerce, sino del interés público o general”. Cosculluela Montaner, Luis. Manual de Derecho Administrativo, tomo I, 17ª ed., Madrid, Thomson Civitas, 2006, p. 336. HOJA Nº 11 que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal” 9 En el mismo sentido, y en relación con los principios 10 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina 11 se postula, así mismo [sic], sin discusión que la administración o las autoridades titulares [sic] de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta12), de proporcionalidad o el denominado non bis in ídem”.

Ahora, al hacer referencia al Principio de Legalidad en materia de protección del Derecho de Habeas Data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”13. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”14. 9 Corte Constitucional. Sentencia C-748 de 2011. 10 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 11 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 12 Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 13 Corte Constitucional. Sentencia C-406 de 2004. 14 Corte Constitucional. Sentencias C-1161 de 2000. HOJA Nº 12 Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1266 de 2008, para que la administración ejerza su poder sancionatorio.

Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el Derecho Fundamental de Habeas Data. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la investigada vulneró los deberes establecidos en la Ley 1266 de 2008.

Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa; y iii) el documento que contiene los estados financieros presentados por la investigada.

El cual, pese a no ser el único aspecto que se tiene en cuenta al momento de tasar el monto de las sanciones, sí requiere ser valorado a fin de garantizar la proporcionalidad en la imposición de las mismas. En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados.

Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la sociedad infractora. Por lo expuesto, no se acoge el argumento de la investigada sobre la falta de competencia de esta autoridad administrativa.

4. DECISIONES DE LA ADMINISTRACIÓN. PRINCIPIO DE PROPORCIONALIDAD. Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley 1266 de 2008 a los Responsables del Tratamiento de los Datos personales. En segundo lugar, y sin perjuicio de lo anterior, es claro que la Resolución No. 10998 de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

En cuarto lugar, es relevante tener presente que la investigada trata Datos de trescientos dos mil novecientos setenta y dos (302972) ciudadanos, lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos, de acuerdo con la información reportada por la investigada en el Registro Nacional de Bases de Datos.

Adicionalmente, una vez revisada la información relacionada con la compañía MARKETING PERSONAL S.A. se pudo verificar que ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data: HOJA Nº 13 Resolución 81868 de 2021 76148 de 2021 7591 de 2011 71107 de 2021 6562 de 2019 54198 de 2011 50575 de 2018 49222 de 2011 45753 de 2011 10061 de 2011 44408 de 2012 40695 de 2011 40251 de 2021 35551 de 2011 34000 de 2011 28432 de 2012 23211 de 2021 22848 de 2011 20825 de 2021 18289 de 2021 12836 de 2011 Valor de la sanción $48.797.952 $15.031.512 $10.712.000 $32.677.200 $165.623.200 $5.356.000 $78.124.200 $5.356.000 $5.356.000 $5.356.000 $6.233.700 $5.356.000 $241.448.200 $5.356.000 $2.678.000 $28.335.000 $80.168.064 $10.712.000 $180.378.144 $102.715.332 $2.678.000 Motivo Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 1 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 12 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 5 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 12 de la Ley 1266 de 2008 Artículo 8, numeral 1 de la Ley 1266 de 2008 Artículo 8, numeral 2 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 7 de la Ley 1266 de 2008 Artículo 8, numeral 9 de la Ley 1266 de 2008 Articulo 8, numeral 7 de la Ley 1266 de 2008 Articulo 8, numeral 1 de la Ley 1266 de 2008 Articulo 8, numeral 1 de la Ley 1266 de 2008 Articulo 8, numeral 5 de la Ley 1266 de 2008 Articulo 8, numeral 1 de la Ley 1266 de 2008 Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental15 a la protección de Datos16.

Razón adicional y suficiente para no acoger la petición de la recurrente, consistente en revocar la Resolución No. No. 10998 de 2021. Se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental 17 a la Protección de Datos18.

Finalmente, la vulneración del Derecho Fundamental de Habeas Data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano. Lo cual, es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales. 15 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 16 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 17 El Derecho Fundamental a la Protección de Datos Personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº 14 Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia20. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta se ajusta a derecho y obedece a las particularidades propias de esta actuación administrativa.

5. SOBRE LA SUPUESTA INDEBIDA NOTIFICACIÓN DE LA RESOLUCIÓN 10998 DE 2021 Al respecto, el escrito de descargos presentado bajo el radicado 20-135209-10 de 15 de julio de 2020 traía entre sus anexos el certificado de existencia y representación de la investigada de fecha 2 de julio de 2020, el cual tenía como correo electrónico de notificación, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, como se ve a continuación: CÁMARA DE COMERCI O DE MEDELLÍ N PARA ANTI OQUI A Certificado Existencia y Representación Legal Fecha de expedición: 02/07/2020 - 2:12:40 PM CÓDIGO DE VERIFICACIÓN: kpLYjBdCcPxiitMj -----------------------------------------------------------------------Correo electrónico: Teléfono comercial 1: Teléfono comercial 2: Teléfono comercial 3: juridico@marketingpersonal.com catalina.botero@marketingpersonal.com 6050202 No reportó No reportó Dirección para notificación judicial: Calle 10 SUR 51 C 77 PISO 2 Municipio: MEDELLÍN, ANTIOQUIA, COLOMBIA Correo electrónico de notificación: zolanlli.giraldol@marketingpersonal.com Telefono para notificación 1: 6050202 Telefono para notificación 2: No reportó Telefono para notificación 3: No reportó La persona jurídica MARKETING PERSONAL S.A. SI autorizó para recibir notificaciones personales a través de correo electrónico, de conformidad con lo establecido en el artículo 67 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo CONSTI TUCI ÓN CONSTITUCION: Que por escritura pública No. 2492, otorgada en la Notaría 4a. de Medellín, del 30 de junio de 1999, inscrita en esta Así pues la Dirección de Investigación dejulio Protección de Datos Personales realizó en debida Cámara de Comercio el 8 de de 1999, en el libro 9o., folio 810,forma la notificación de la Resolución No. 10998 de de marzo de 2021, mediante el aviso No. 3767 de 26 de bajo el No. 5669, se constituyó una sociedad comercial de responsabilidad limitada denominada: marzo de 2021, de acuerdo con el certificado de notificación que reposa en el expediente bajo el No. 20-13509-26.

De igual forma, esta autoridadPERSONAL administrativa actuó de conformidad con el artículo 68 MARKETING LIMITADA del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. REFORMAS ESPECI ALES Ahora,Escritura respecto del argumento la 28 investigada, según “( ) es clara la notificación Nro. 2109 de de julio de 2005, de el la cual Notaría 20a. de que Medellín, registrada en esta Cámara el 3 dey agosto dees 2005, en ello libro 9o., totalmente bajo realizada por la Superintendencia de Industria Comercio nula y por tanto afecta la el Nro.7674, mediante la cual la sociedad se transforma de Limitada en validez del acto con la administrativo”, es importante recordar que en vía administrativa la falta de Anónima, denominación de: notificación o la notificación irregular constitute un requisito de eficacia pero no de validez de los "MARKETING PERSONAL S.A." actos administrativos.

TERMI NO DE DURACI ÓN En este punto vale la pena recodar lo establecido en la hoja 23 de la Resolución No. 36843 de 2021, VIGENCIA: Que la sociedad no se halla disuelta y su duración es hasta mediante la cual resolvió el recurso se reposición presentado por la investigada: junio 30 se de 2040. OBJETO SOCI AL OBJETO SOCIAL: Que la empresa que constituye el objeto societario consiste en la comercialización de todo tipo de bienes de consumo, mercadeo, personal, ventas por catalogo, correo directo, internet y telemercadeo.

Página: 2 de 14 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: HOJA Nº 15

6. OBJECIONES ESPECÍFICAS FRENTE A LOS CARGOS QUE DIERON LUGAR A LA SANCIÓN A. FRENTE AL PUNTO 8.2.2 “DEL DEBER DE REMITIR UNA COMUNICACIÓN PREVIA AL REPORTE NEGATIVO ANTE LOS OPERADORES DE INFORMACIÓN” Sobre este particular quedó demostrado en el acto adminstrativo No. 10998 de 4 de marzo de 2021 que la sociedad MARKETING PERSONAL S.A, incumplió con el deber de remitir una comunicación previa al reporte negativo ante los operadores de información financiera.

Es importante recordar que la comunicación previa es un deber legal en cabeza de la fuente de información, que tiene como fin último garantizar el pleno ejercicio del derecho de habeas data de los Titulares de los Datos, así como salvaguardar el derecho de actualización, rectificación y eliminación de la información a que tienen derecho.

La investigada frente a este punto en el escrito de descargos mencionado afirmó: HOJA Nº 16 Es importante resaltar, que nuestra empresa realiza la notificación previa al reporte negativo a centrales de riesgo en el cuerpo de la factura de la venta, la cual se entrega con el pedido en el domicilio del cliente, dicha factura tiene la leyenda “ Recuerde que el incumplimiento en sus pagos genera reporte negativo ante los operadores de información, por lo tanto, si luego de 20 días calendarios siguientes a la fecha de pago usted no lo ha realizado, Marketing Personal S.A., procederá a realizar el reporte negativo ante las centrales de información. Ley.

Como se ve, en la imagen anterior no es posible identificar que esta corresponde con la comunicación previa enviada a la quejosa, pues no tiene ninguna fecha que le demuestre a este Despacho que se envió 20 días antes del reporte negativo exigido por el artículo 12 de la Ley 1266 se reiteranoqueseMarketing Personal del hecho deprevia un tercero que lo llevo al a la Titular ni de 2008.Sin Deembargo, igual forma, evidencia que es la víctima comunicación se haya enviado errorladeúltima pensar que tenía ladeinformación correcta, por lo en cual,laesfuente imposibledeexigirle a nuestra por parte de la tampoco a dirección domicilio registrada información afectada.empresa notificar correctamente a la titular del dato, dado que, si bien nuestro actuar generó un reporte negativo, se rompe el8.2.3 nexo causalidad de nuestra responsabilidad por el hechoQUE delictivo B. FRENTE AL PUNTO “DEL DEBER DE GARANTIZAR LAde INFORMACIÓN SUMINISTRADA OPERADORES SEA VERAZ COMPLETA, EXACTA, un tercero que impidió A que laLOS titular de la información pudiera ser notificada correctamente.

ACTUALIZADA Y COMPROBABLE” expuesto,ense lapuede concluir que en el de presente cargolaestamos frente a no una causal Como sePor lo demostró Resolución 10998 2021, investigada aportódelos documentos idóneos que demostraran la existencia de lalaimputación obligación a cargo la Titular, por que lo que, incumple el exoneración de responsabilidad que impide del cargo, por eldehecho de un tercero deber legal de garantizar que la información suministrada a los operadores de información financiera llevócompleta; a nuestra empresa a realizar una notificación previa en direcciones que nodecorresponden conen este caso no sea veraz; exacta; actualizada y comprobable.

La fuente información de la titular. aportó el domicilio documentación fehaciente ni efectiva que legitimara a la Titular de los Datos como acreedora de la obligación. CARGO AL TERCERO: “La presunta infracción parte deDE la investigada, en su calidad de O Fuente de C. FRENTE PUNTO 8.2.4 “ DEL por DEBER CONSERVAR COPIA EVIDENCIA DE LA AUTORIZACIÓN OTORGADA POR TITULAR LA a los INFORMACIÓN” información, del deber de garantizar que la EL información que DE suministra operadores de los bancos de datos de datos sea veraz, completa, exacta, actualizada y comprobable, obligación En el escrito de descargos radicado bajo el No. 20-135209-10 de 15 de julio de 2020 se evidenció en elnonumeral 1) del 8 de la Ley 1266 de concordancia con el literal a) del que la dispuesta investigada aportó enartículo ningún momento de2008 la en actuación administrativa documento idóneo que demostrara artículo 4. que contaba con la Autorización de la Titular.

En su lugar, allegó un fragmento del contrato de suministro que no contiene ninguna identificación o fecha que individualice la obligación objeto de la queja, como se ve a continuación: En relación a este cargo, esta Superintendencia afirmó que al momento en que la Dirección de Investigación de Protección de Datos Personales nos requirió mediante el oficio con radicado No 18 – 323804 – 00010 – 000 del 16 de mayo de 2019 para que adjuntáramos “copia del documento donde conste la existencia de la obligación a nombre del reclamante y/o relación comercial con este”, nuestra compañía mediante escrito del junio de 01 no acreditó la existencia de la obligación con la documentación correspondiente, manifestando únicamente la relación comercial existente y el estado de la obligación pendiente por pago.

HOJA Nº 17 CARGO CUARTO: “La presunta infracción por parte de la investigada, en su calidad de fuente de información, del deber de conservar copia o evidencia de la autorización otorgada por el titular para efectuar los reportes ante los Operadores de Información, contenido en el numeral 5 del artículo 8 de la Ley 1266 de 2008. Sobre el cargo en mención, considera la parte investigada que no ha habido infracción alguna pues como puede observarse en los documentos anexados con anterioridad, nuestra compañía si cuenta, y por consiguiente ha conservado, la autorización brindada por el titular para efectuar reportes ante los operadores de la información. Por lo expuesto anteriormente, Marketing Personal solicita a esta Superintendencia absolver a nuestra empresa de los cargos segundos, y tercero por encontrarnos en una causal de exoneración de responsabilidad que imposibilita la imputación del cargo y en el cargo cuarto por probar el cumplimiento a la Ley 1266 de 2008.

Frente al cargo primero, solicitamos atender al criterio de proporcionalidad y reducción de la sanción según lo establece el artículo 50 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo,sepor aceptación de nuestraenempresa al reconocerNo. que 36843 de 2021, en Sobre este punto este Despacho remite a loexpresa establecido la Resolución 20 díasdedespués de la fechaimpuesta de vencimiento el requerimiento la titularatalMARKETING como se la que se redujorespondió el monto la sanción frente al primerdecargo PERSONAL S.A. de seiscientos noventa 690 Unidades de Valor Tributario Vigentes a Trescientos cuarenta y expresó en dicho acápite.

D. FRENTE AL PUNTO 9.1.2 “OTROS CRITERIOS DE GRADUACIÓN” cinco 345 Unidades de Valor Tributario Vigentes. PRUEBAS

7. SUPLANTACIÓN DE IDENTIDAD Y TRATAMIENTO DE DATOS PERSONALES 1. Soporte de envío de la respuesta a la solicitud de explicaciones. Suplantar significa, entre otras cosas: “Quitar a una persona su sitio, de manera fraudulenta, de ventaoNo. 0000218587 sus funciones” 21. ocupando su cargo2. oFactura posición, asumiendo 3. Certificado de existencia y representación legal 4. identidad Autorización para consulta yen reporte a centrales de información La suplantación de consiste hacerse pasar por otra persona para diversos propósitos, 5.

Respuesta del 19por diciembre de 2018.engañar a terceros, obtener bienes y servicios con cargo generalmente negativos, como ejemplo: a la persona suplantada, incurrir enfinancieros. fraudes, entre otras conductas ilícitas. 6. Copia de los estados 7. Restablecimiento del derecho emitido por la Fiscalía. Mediante la suplantación de identidad los impostores obtienen créditos y adquieren productos o servicios en nombre de la persona suplantada.

La cual, resulta ser la mayor afectada. Pues, sin preverlo, termina por asumir el pago de obligaciones que en realidad no adquirió. Con esto, desde la perspectiva del Tratamiento de Datos personales se observa que se vulneran, por lo menos y según el caso, los principios de veracidad y seguridad. Se infringe el principio de veracidad porque la información tratada, difundida o reportada sobre una deuda adquirida por un suplantador, no es veraz respecto de la persona suplantada, se presenta un yerro en la titularidad material de la obligación. Esos datos inducen a error porque faltan a la realidad 21 Diccionario del español jurídico.

Real Academia de la Lengua Española. HOJA Nº 18 y presentan como obligada o morosa a una persona respecto de una deuda que no conoce. Recuérdese que el Tratamiento de este tipo de Datos está prohibido por nuestra regulación. Tanto la Ley 1266 de 2008 como la Ley 1581 de 2012 expresamente prohíben “el registro y divulgación de datos (…) que induzcan a error”22 o el “tratamiento de datos (…) que induzcan a error”23 Igualmente, se desconoce el principio de seguridad porque el suplantador puede incurrir en “consulta, uso o acceso no autorizado o fraudulento” 24 a los datos personales de la persona suplantada, que será la Titular del dato.

En línea con esto, también se quebranta el principio de circulación restringida porque el suplantador accede a datos personales del Titular suplantado sin estar autorizado para ello 25. En ese sentido, el literal f) del artículo 4 de la Ley 1581 de 2012 (principio de acceso y circulación restringida) señala que, “Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo [sic] a los Titulares o terceros autorizados conforme a la presente ley”.

Así las cosas, proteger la información es una condición transcendental del Tratamiento de Datos personales. Una vez recolectada debe ser objeto de diversas medidas para evitar situaciones indeseadas que puedan afectar los derechos de los Titulares y de los mismos Responsables y Encargados del Tratamiento de los Datos. El acceso, la consulta y el uso no autorizado o fraudulento, así como la manipulación y pérdida de la información, son los principales riesgos naturales y humanos que requieren ser mitigados por medio de acciones de defensa física, administrativa, técnica y humana.

La seguridad de la información ha sido una preocupación del legislador y la Corte Constitucional. Esta última concluyó que, “debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el responsable como el encargado del tratamiento serán los responsables de los perjuicios causados al titular”. 26 Lo mismo se concluye de la redacción del principio de seguridad en la Ley 1581 de 2012 y en la Ley 1266 de 2008.

En estas, se evidencia una orientación eminentemente preventiva. La que en todo caso, obliga a los Responsables o Encargados a adoptar medidas, estrategias y/o acciones que impidan las potenciales afectaciones a la seguridad de los Datos.

8. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.

Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. 22 Cfr. Parte final del literal a) del artículo 4 de la Ley 1266 de 2008. Principio de veracidad o calidad de los registros o datos. 23 Cfr. Parte final del literal d) del artículo 4 de la Ley 1581 de 2012.

Principio de veracidad o calidad. 24 Cfr. Literal g) del artículo 4, de la Ley 1581 de 2012. Principio de seguridad. En este mismo sentido, el literal f) del artículo 4 de la Ley 1266 de 2008, en relación con los datos señala que, “se deberá manejar con las medidas técnicas que sean necesarias para garantizar la seguridad de los registros evitando su (…) consulta o uso no autorizado”. 25 Cfr. Literal c) del artículo 4 de la Ley 1266 de 2008.

Principio de circulación restringida. 26 Cfr. Corte Constitucional, Sentencia C-748 de 2011, numeral 2.6.5.2.6. HOJA Nº 19

9. RESPONSABILIDAD DE LOS ADMINISTRADORES POR EL INCUMPLIMIENTO DE LA LEY ESTATUTARIA 1266 DE 2008. Según el artículo 22 de la Ley 222 de 1995 27 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1266 de 2008 y cualquier otra norma. Es por eso que el artículo 23 de la mencionada Ley 222 de 1995 establece que los administradores no solo deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, sino que en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”28.

(Destacamos). Obsérvese que la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado, es decir, correcto, riguroso o ajustado con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley requiere que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real (no formal), efectiva y minuciosa.

Por eso, los administradores deben cuidar con esmero este aspecto y no sólo ser guardianes sino promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está cumpliendo en todas las actividades que realiza su empresa u organización. Nótese que el artículo 2429 de la ley mencionada presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad demanda que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”30 Todo lo anterior pone de presente no solo el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, sino el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales.

10. RESPONSABILIDAD DEMOSTRADA -ACCOUNTABILITY- Y “COMPLIANCE” EN EL CUMPLIMIENTO DE LA LEY ESTATUTARIA 1266 DE 2008 Según La Corte Constitucional “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”31. Adicionalmente, quienes recolectan, tratan o usan Datos personales no son dueños de esa información sino meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los Derechos Humanos de los Titulares de los Datos.

En línea con lo anterior, la Ley 2157 de 29 de octubre de 2021 modificó la Ley Estatutaria 1266 de 2008 para, entre otras, exigir a los operadores, las fuentes y los usuarios que implementen medidas útiles, pertinentes y demostrables para cumplir lo que ordena la citada norma de 2008. En ese sentido, ordenan lo siguiente los artículo 12 y 13 de la Ley 2157 de 2021: 27 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 28 Cfr. Numeral 2 del artículo 23 de la ley 222 de 1995 29 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 30 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 31 Cfr. Corte Constitucional, sentencia T-227 de 2003 HOJA Nº 20 “Artículo 12.

Adiciónese a la Ley 1266 de 2008 el articulo 19 A. El cual quedará así: Artículo 19A. Responsabilidad demostrada. Los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones establecidas en la Ley 1266 de 2008 y sus normas reglamentarias, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del operador, fuente y usuario de información y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3.El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

Quienes efectúen el tratamiento de los datos personales deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir la presente ley. Artículo 13. Adiciónese a la Ley 1266 de 2008 el artículo 19 B. El cual quedará así: Artículo 19 B. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo anterior, las medidas efectivas y apropiadas implementadas por los operadores, fuentes y usuarios de información deberán garantizar: 1.La existencia de una organización administrativa proporcional a la estructura y tamaño empresarial del operador, fuente y usuario de información para la adopción e implementación de políticas consistentes con la Ley 1266 de 2008. 2.La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.

La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales por parte de los operadores, fuentes y usuarios de información será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley. Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos.” (Énfasis añadido) El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

La responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza 32 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. El mismo, exige que los operadores, las fuentes y los usuarios pongan en marcha medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia 33.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. La responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. 32 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos. 33 Cfr. Remolina Angarita, Nelson (2013) Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012.

Primera edición. Editorial Legis. Pág. 287 HOJA Nº 21 Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones.

En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 34.

(Destacamos). El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información de manera que por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los Titulares de los Datos personales y su gestión siempre sea respetuosa de los Derechos Humanos. La responsabilidad demostrada se articula con el concepto de “compliance” en la medida que éste hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos” 35.

También se ha afirmado que “compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”36. Adicionalmente se precisa que “ya no vale solo intentar cumplir” la ley sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”37. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales” 38 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”39.

Dado lo anterior, se EXHORTA al representante legal y demás administradores 40 de MARKETING PERSONAL S.A. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: a. Respetar y garantizar los derechos de los Titulares de los Datos; 34 Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales.

Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 35 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) 36 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 37 Idem 38 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”.

Págs 16-18 39 Ibid. P 16 40 Según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones” HOJA Nº 22 b. Evitar que se repitan hechos como los que dieron origen a la presente investigación; c. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales; y, d. Aplicar el principio de responsabilidad demostrada, en los términos señalados en la Ley 2157 de 2021.

Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los Titulares de los Datos. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.

La investigada no contestó oportunamente la petición presentada por la Titular de la información el 26 de octubre de 2018, pues, solo hasta el 19 de diciembre de 2018 dio respuesta, excediendo el término legal dispuesto en el artículo 16 de la Ley 1266 de 2008; 2. La investigada no demostró haber remitido la comunicación previa al reporte negativo ante los operadores de información financiera, vulnerando así el numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma ley; 3.

La investigada no remitió en el transcurso de la investigación administrativa los documentos idóneos que demostraran la existencia de la obligación objeto de la queja inicial y en ese sentido incumplió el deber de garantizar que la información suministrada a los operadores de información financiera sea veraz completa, exacta, actualizada y comprobable, deber establecido en el numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el Literal a) del artículo 4 de la misma norma; 4.

La investigada no allegó el documento idóneo que demostrara que contaba con la Autorización de la Titular de la información infringiendo el numeral 5 del artículo 8 de la Ley 1266 de 2008, de conformidad con lo expuesto en el presente acto administrativo; 5. En cuanto a la responsabilidad del administrador se demostró que la sociedad MARKETING PERSONAL S.A. no cuenta con medidas legítimas; útiles; apropiadas y efectivas que garanticen el debido Tratamiento de los Datos personales de los ciudadanos. 6.

El artículo 95 de la Constitución Política Nacional ordena “respetar los derechos ajenos y no abusar de los propios”. Por eso, es legítimo reportar a una persona como morosa siempre y cuando se cumplan unos requisitos. Uno de ellos, precisamente, exige que la información sea comprobable. Así las cosas, quien realiza el reporte (la fuente de la información) debe ser extremadamente cuidadoso de contar con plena prueba de la veracidad de la información. De lo contrario, no estaría respetando el buen nombre de la persona reportada, causándole daños y perjuicios.

De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 10998 de 4 de marzo de 2021. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR la Resolución No. 10998 de 4 de marzo de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo, y de acuerdo con lo establecido en el ARTÍCULO PRIMERO de la Resolución No. 36843 de 16 de junio de 2021. HOJA Nº 23 ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la Compañía MARKETING PERSONAL S.A. identificada con Nit. 811.018.771-1 a través del señor Xxxx Xxxxxxxxx Xxxxxx Xxxxxxxx identificado con cédula de ciudadanía No. x.xxx.xxx.xxx en su calidad de representante legal, o a través de su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR la presente decisión a la señora XXXX XXXXXX XXXX XXXX identificada con cédula de ciudadanía No. xx.xxx.xxx entregándole copia de esta resolución.

ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C, febrero 10 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.02.10 ANGARITA Fecha: 14:06:31 -05'00' NELSON REMOLINA ANGARITA CGC Notificación Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: MARKETING PERSONAL Nit. 811.018.771-1 Juan Sebastián Roldan Corrales C.C. 1.037.590.551 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx juridico@marketingpersonal.com Calle 10 Sur No. 51 C 77, Piso 2 Medellín (Antioquia) Colombia Comunicación Señora: Identificación: Dirección: Ciudad: País: Correo electrónico: Xxxx Xxxxxx Xxxx Xxxxxxxxx C.C. No. xx.xxx.xxx Xxxxxxx X xx No. xx-xx xxx Xxxxxx xxxxxxxx xxxxxxxxxxxxxxxxxx HOJA Nº 24

Resolución sancionatoria N° 36843 de 2022

CONSIDERANDO

RESUELVE