(24 de junio 2025) “Por la cual se resuelve un recurso de apelación” Radicado 21-456485 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022)
CONSIDERANDO
PRIMERO. Que, la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, mediante oficio radicado con el número 21-456485-0 del 16 de noviembre de 2021, presentó ante esta Superintendencia una denuncia en contra de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S identificada con el Nit. 900.341.622-9, por la presunta vulneración de su derecho de habeas data al consultar su historial crediticio en dos ocasiones ante los operadores de información sin su consentimiento y sin contar con un interés legítimo en la adquisición de productos o servicios.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución 2032 del 2 de febrero de 2024, decidió abrir una investigación administrativa y formular cargos a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S, por la presunta vulneración de lo dispuesto en el numeral 1 del artículo 9 de la ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la misma Ley.
TERCERO. Que la Dirección, con fundamento en las pruebas allegadas dentro de la presente actuación, consideró que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S, realizó consultas al historial crediticio de la titular los días 19 de julio y 11 de noviembre de 2021, sin contar con una finalidad legítima ni con la autorización previa, expresa e informada.
Por lo anterior, mediante Resolución No. 62514 del 18 de octubre de 2024 se resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S con Número de Identificación 900.341.622-9 de TRES (3) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TRESCIENTOS CUARENTA Y OCHO (348) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRES MILLONES OCHOCIENTOS DIEZ MIL NOVECIENTOS CUARENTA Y OCHO PESOS M/CTE ($3.810.948) por la vulneración del deber establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 13 de noviembre de 2024, ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S (en adelante la RECURRENTE), a través de su representante legal y mediante escrito radicado con el número 21-456485-43, interpuso recurso de reposición “Por la cual se resuelve un recurso de apelación” y en subsidio de apelación1 contra la Resolución No. 62514 del 18 de octubre de 2024.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Reconocimiento del incumplimiento y compromiso con la normativa. La recurrente reconoce que la sanción impuesta se originó en un incumplimiento relacionado con la consulta de información crediticia de un titular sin la debida autorización. No niega la infracción a la normativa de protección de datos personales; sin embargo, sostiene que ha demostrado desde el inicio de la actuación administrativa un compromiso claro y sostenido con el cumplimiento normativo.
La conducta irregular obedeció a una falla documental puntual, sin que existiera intención de vulnerar los derechos del titular ni de desconocer la legislación vigente. (ii) La sanción no ha considerado las medidas correctivas implementadas. Señala que, desde las primeras etapas del proceso, informó sobre la existencia de un procedimiento interno denominado “Procedimiento para el control de autorizaciones de consulta ante centrales de no clientes”, diseñado previamente a la imposición de la sanción. Este procedimiento tiene como objetivo asegurar el cumplimiento del artículo 15 de la Ley 1266 de 2008, garantizar que toda consulta a centrales de riesgo esté debidamente sustentada en una autorización expresa, y registrar y verificar dicho consentimiento antes de realizar cualquier consulta.
Con estas medidas, se busca eliminar la posibilidad de errores similares en el futuro. Pese a lo anterior, en la Resolución 62514 del 18 de octubre de 2024 no se valoraron adecuadamente las medidas correctivas adoptadas. La implementación del procedimiento interno antes mencionado constituye una acción concreta de mitigación del riesgo y prevención de futuras infracciones.
Estas medidas no solo corrigen la situación irregular, sino que también evidencian el compromiso institucional con la protección de datos personales. Dicho procedimiento fue formalmente presentado dentro del término de descargos como prueba de cumplimiento normativo. (iii) Compromiso con la mejora continua y la actitud colaborativa de la sociedad.
La recurrente sostiene que ha mantenido una actitud colaborativa y respetuosa frente a la Superintendencia de Industria y Comercio desde la apertura de la investigación mediante la Resolución 2032 del 2 de febrero de 2024. Durante todo el proceso, se ha brindado la información requerida, se han acogido las instrucciones impartidas por la autoridad y se ha trabajado activamente en la mejora continua de los procesos internos. Esta colaboración refleja no solo un cumplimiento formal de la normativa, sino un interés genuino en proteger los derechos de los titulares y fortalecer la confianza en la entidad.
QUINTO. La Dirección, mediante la Resolución No. 32583 del 29 de mayo de 2025, resolvió el recurso de reposición interpuesto, confirmando en su totalidad lo dispuesto en la Resolución No. 62514 del 18 de octubre de 2024. En la decisión adoptada, se concluyó que los criterios para la graduación de la sanción fueron debidamente valorados, y que no resultaba procedente reducir el valor de la sanción por la sola ausencia de aplicación de alguno de ellos.
Adicionalmente, se precisó que el procedimiento interno alegado por la sociedad fue analizado al momento de expedir la resolución objeto de discusión. Sin embargo, con base en el material probatorio recaudado, se concluyó que dicho La Resolución No. 62514 del 18 de octubre de 2024, fue notificada por aviso a la RECURRENTE, el 29 de octubre de 2024.
“Por la cual se resuelve un recurso de apelación” procedimiento no resultó eficaz para garantizar la recopilación adecuada de las autorizaciones de los titulares.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 6.1. Respecto del reconocimiento del incumplimiento y compromiso con la normativa El cargo formulado en este caso se fundamenta en la transgresión del deber de utilizar la información personal únicamente para los fines autorizados, conforme a lo dispuesto en la Ley 1266 de 2008.
En particular, este cargo se sustenta en lo establecido en el artículo 15 de la citada ley, el cual establece que el acceso a la información contenida en bases de datos de naturaleza financiera, crediticia, comercial o de servicios debe limitarse a finalidades específicas, entre ellas: • • • • El análisis para establecer o mantener relaciones contractuales;
La realización de estudios de mercado, investigaciones comerciales o estadísticas; La gestión de trámites ante entidades públicas o privadas cuando la información sea pertinente; Cualquier otra finalidad, siempre que se cuente con la autorización expresa del titular. En consecuencia, las consultas efectuadas el 19 de julio y 11 de noviembre de 2021 por parte de la sociedad recurrente debieron realizarse cumpliendo con alguna de las siguientes condiciones: (i) que existiera una finalidad legítima conforme a los fines autorizados por la Ley 1266 de 2008, o (ii) que se contara con la autorización previa, expresa e informada del titular.
(i) Sobre la supuesta finalidad legítima Del análisis del acervo probatorio obrante en el expediente y de la aceptación expresa de los hechos por parte de la sociedad, se concluye que no se acreditó la existencia de una finalidad legítima en los términos exigidos por el artículo 15 de la Ley 1266 de 2008. En consecuencia, no se demostró que las consultas respondieran a alguno de los propósitos legalmente autorizados.
(ii) Sobre la ausencia de autorización previa, expresa e informada En cuanto a la autorización para efectuar las consultas, la sociedad no aportó elemento probatorio alguno que permitiera acreditar que contaba, con anterioridad a las fechas en que se realizaron, con la autorización previa, expresa e informada de la titular. En consecuencia, este Despacho concluye que las consultas efectuadas por la sociedad recurrente carecían de fundamento legal, al no estar respaldadas por una finalidad legítima ni por una autorización válida por parte del titular.
La conducta de la recurrente vulneró el derecho fundamental al habeas data del titular y constituye un incumplimiento del deber establecido en el numeral 1, del artículo 9, de dicha norma, en concordancia con lo dispuesto en su artículo 15. Adicionalmente, es relevante advertir que, conforme al artículo 1 del Decreto 1727 de 2009, las consultas realizadas al historial crediticio de un titular dejan una marca visible en su reporte por un periodo de seis meses.
Dicha marca, aunque no refleje una obligación incumplida, puede generar percepciones erróneas ante terceros, afectando la imagen crediticia del titular e incidiendo negativamente en su capacidad para acceder a productos o servicios financieros futuros. “Por la cual se resuelve un recurso de apelación” Por lo tanto, la actuación de la sociedad no solo desconoció los deberes legales en materia de protección de datos personales, sino que también generó un impacto potencialmente adverso e injustificado sobre los derechos del titular.
Se debe resaltar que el Legislador ha establecido que respecto de la Ley 1266 de 2008, la Superintendencia de Industria y Comercio puede imponer sanciones cuando se identifican incumplimientos normativos que incrementan el riesgo de vulneración de los derechos de los titulares de datos personales. Esto incluye, entre otros aspectos, el incumplimiento de los deberes establecidos en la Ley.
En consecuencia, el ejercicio de la potestad sancionatoria de la Superintendencia no depende de la materialización de un daño o perjuicio directo a uno o varios titulares de datos personales plenamente identificados, sino del hecho de desconocer alguna de las obligaciones establecidas en el marco normativo de protección de datos. Esto se fundamenta en el enfoque preventivo y de gestión de riesgos que caracteriza al régimen colombiano de protección de datos personales, el cual busca minimizar la probabilidad de conductas, situaciones o incidentes que afecten los derechos fundamentales de los titulares.
Por lo tanto, la administración puede ejercer su potestad sancionatoria siempre que, en el marco de la actuación administrativa correspondiente, se determine que ha existido una trasgresión de las disposiciones que protegen la dimensión objetiva del derecho fundamental al habeas data. Este enfoque resulta particularmente relevante en relación con las obligaciones que recaen sobre las fuentes, operadores y usuarios de la información, quienes deben garantizar, en todo momento, el cumplimiento de sus deberes legales.
En el caso bajo estudio, se ha establecido que la sociedad recurrente incurrió en una vulneración del derecho fundamental de habeas data, al consultar, en dos ocasiones, el historial crediticio de la titular sin mediar una finalidad legítima o su autorización expresa. Adicionalmente, su actuación evidencia la puesta en riesgo del derecho fundamental de habeas data de todos los titulares cuyos datos personales obran en las bases de datos de los operadores y son susceptibles de consulta por parte de la RECURRENTE.
Debe resaltarse que, al momento de valorar integralmente los criterios de graduación, se tuvo en cuenta la reincidencia de la sociedad en la misma conducta vulneratoria, configurada en al menos dos ocasiones anteriores (radicados 19-167017 y 19-229247). En virtud de lo anterior, y conforme al literal c) del artículo 19 de la Ley 1266 de 2008, se aplicó un agravante que incrementó el valor de la sanción $5.081.264.
Asimismo, frente al argumento presentado por la recurrente, en el que reconoce expresamente la infracción cometida al consultar en dos ocasiones el historial crediticio de un titular sin contar con su autorización previa, es preciso señalar que dicha aceptación fue efectivamente valorada por la Dirección al momento de graduar la sanción. En aplicación de lo previsto en el literal f) del artículo 19 de la Ley 1266 de 2008, se reconoció como circunstancia atenuante y, en consecuencia, se redujo el valor de la sanción en la suma de $3.810.948.
El hecho de que la sociedad reconozca que la conducta vulneratoria se debió a una "falla documental puntual" y que manifieste un compromiso con el cumplimiento normativo no elimina la afectación concreta al derecho fundamental de la titular de la información, ni el riesgo objetivo generado frente a los demás titulares cuyos datos están en poder de la entidad.
La normativa en materia de protección de datos personales, particularmente la Ley 1266 de 2008, establece como presupuesto esencial que toda consulta a información crediticia debe estar amparada en una autorización previa, expresa e informada, o en una finalidad legítima debidamente acreditada. El incumplimiento de este deber, más aún cuando se produce de manera reiterada “Por la cual se resuelve un recurso de apelación” como en el presente caso, no puede ser subsanado únicamente con manifestaciones de buena fe o de intención de mejora futura.
Si bien es valorable que la sociedad manifieste su compromiso con la normativa y la implementación de medidas correctivas, ello no la exonera de responsabilidad por el incumplimiento comprobado, ni constituye motivo suficiente para revocar la sanción impuesta. La sanción no solo responde a un hecho concreto de afectación individual, sino que también tiene un carácter preventivo y disuasivo frente a eventuales prácticas que puedan comprometer el tratamiento legítimo de datos personales por parte de los responsables del tratamiento.
Es fundamental precisar que las sanciones administrativas no tienen por objeto la reparación de daños materiales o morales, ni constituyen una estimación de perjuicios subjetivos. Su propósito es garantizar el cumplimiento del régimen legal vigente, proteger el derecho fundamental al habeas data y disuadir la reiteración de conductas infractoras, especialmente en casos de reincidencia. 6.2.
Respecto a las medidas correctivas implementadas y la actitud colaborativa de la sociedad En relación con el argumento según el cual la Resolución 62514 del 18 de octubre de 2024 no habría valorado adecuadamente las medidas correctivas implementadas por la sociedad, es preciso aclarar que esta Dirección sí tuvo en cuenta la existencia del “Procedimiento para el control de autorizaciones de consulta ante centrales de no clientes”, allegado en el escrito de descargos.
No obstante, tras el análisis del acervo probatorio, se concluyó que dicho procedimiento no resultó efectivo para garantizar la obtención y verificación previa de las autorizaciones requeridas por la Ley 1266 de 2008. En ese sentido, si bien se reconoce el esfuerzo de la entidad por documentar un mecanismo de control, lo cierto es que el mismo no evidenció, en los hechos, una eficacia real para prevenir la conducta infractora sancionada, especialmente al haberse demostrado que se realizaron dos consultas sin mediar una finalidad legítima ni la debida autorización de la titular.
Por lo tanto, no puede afirmarse que la Dirección haya desconocido las medidas presentadas, sino que, tras su análisis, se consideró que no eran suficientes para eximir la responsabilidad ya establecida. Frente al argumento relacionado con la actitud colaborativa de la recurrente, se aclara que, si bien se valora positivamente la disposición de la sociedad para atender los requerimientos formulados durante la actuación administrativa, así como su manifestación de respeto y colaboración con la Superintendencia de Industria y Comercio, dicha conducta corresponde a un deber mínimo exigible a todos los sujetos obligados dentro del marco de una actuación administrativa, y no constituye, por sí sola, una causal que permita revocar la sanción impuesta.
La colaboración con la autoridad es un deber constitucional y legal, y su cumplimiento no excluye la responsabilidad derivada de la infracción material comprobada, consistente en la consulta no autorizada del historial crediticio de un titular en dos oportunidades. En consecuencia, si bien se reconoce la actitud colaborativa durante el proceso, esta no tiene la virtualidad de enervar los efectos jurídicos de la conducta vulneratoria sancionada mediante la Resolución 62514 del 18 de octubre de 2024.
Finalmente, este Despacho aclara que el monto de la sanción fue determinado conforme a los criterios legales de graduación previstos en el artículo 19 de la Ley 1266 de 2008. Para ello, esta Superintendencia evaluó el deber omitido, la duración de la vulneración, el número de titulares afectados o potencialmente afectados y la capacidad económica de la sociedad investigada, considerando su tamaño, ingresos operacionales, patrimonio, entre otros factores relevantes.
“Por la cual se resuelve un recurso de apelación” Con base en estos elementos, se concluye que la sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando su efecto disuasorio y la protección efectiva del derecho fundamental de habeas data. El ejercicio de la potestad sancionatoria no está orientado exclusivamente a reprobar una conducta específica en el tiempo y en el espacio, persigue sobre todo un efecto disuasorio que evite la repetición de la infracción. En este sentido, la sanción no solo es proporcional a la gravedad de la falta frente a un quejoso, sino frente al riesgo de afectación de personas indeterminadas.
Responde en últimas a la necesidad de garantizar el cumplimiento efectivo de la ley y la protección de los derechos de los titulares de datos, razón última y justificación de las funciones de inspección, vigilancia y control de esta Delegatura. Adicionalmente, se resalta que la sanción impuesta se encuentra dentro de los límites establecidos en el artículo 18 de la Ley 1266 de 2008, que fija un rango de 1 a 2.000 salarios mínimos legales mensuales vigentes.
En efecto, el valor impuesto corresponde al 0,14% del umbral máximo permitido, lo cual reafirma su razonabilidad en atención a las circunstancias del caso. En conclusión, la sanción impuesta es legal, proporcional y fue debidamente motivada. La reiteración de la conducta infractora justificó la aplicación del agravante por reincidencia, y el monto de la sanción responde a la necesidad de generar un efecto disuasorio.
SÉPTIMO. Conclusiones. • En el presente caso está plenamente demostrado el incumplimiento del deber establecido en el numeral 1, del artículo 9, de la Ley 1266 de 2008 en concordancia con el artículo 15 de la misma Ley. En efecto, las consultas efectuadas por la sociedad recurrente carecían de una base legítima que las sustentara, puesto que no mediaba una finalidad legítima ni la autorización del titular. • La multa impuesta a ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S ($3.810.948), corresponde al 0,14% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 18 de la Ley 1266 de 2008). • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso.
Así como del incumplimiento de los deberes impuestos por la Ley 1266 de 2008 a las fuentes, operadores y usuarios de la información. • La vulneración del derecho de habeas data no solo afecta al titular cuyos datos personales fueron tratados indebidamente, sino que pone en riesgo el derecho al habeas data de titulares indeterminados. • El valor de la sanción fue determinado conforme a los criterios establecidos en el artículo 19 de la Ley 1266 de 2008, aplicando un agravante en atención a la reincidencia en la conducta infractora, de acuerdo con lo previsto en el literal c), y un atenuante por la aceptación expresa de la comisión de la infracción, conforme al literal f) de la misma disposición normativa. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando su efecto disuasorio y la protección efectiva del derecho fundamental de habeas data.
Cuyo objetivo no es solo sancionar la conducta individual, sino también generar un efecto disuasorio que evite la repetición de la infracción. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho “Por la cual se resuelve un recurso de apelación” confirma la resolución 62514 del 18 de octubre de 2024 por lo que, en mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 62514 del 18 de octubre de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S, identificada con NIT. 900.341.622-9 a través de su representante legal, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión a la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX identificada con cédula de ciudadanía No. xx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones, y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 24 de junio 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.06.24 14:48:29 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Entidad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S Nit. 900.341.622-9 ADRIANA JIMENA LIZCANO FERRER C.C. No. 63.486.370 Carrera 10 No. 65 - 98 Bogotá D.C. – Colombia impuestos@asficredito.com COMUNICACIÓN Señor: Identificación: Correo electrónico: XXXXXX XXXXXX XXXXXXX XXXXXXXXXX xx xxxx.xxx.xxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx