(08 MARZO 2022) VERSIÓN PÚBLICA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 20-66400 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y
CONSIDERANDO
PRIMERO: Que, mediante la comunicación con radicado 20-66400-00000 del 18 de marzo de 2020, la señora XXXXXXXXXXXXXXXXXXXXXX, identificada con cédula de ciudadanía No. xx.xxx.xxx, presentó denuncia ante esta Superintendencia en contra de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, por las presuntas infracciones al Régimen General de Protección de Datos Personales que se causaron en virtud de los hechos narrados por la Titular: 1.1.
Manifestó que: “(…) entre diciembre de 2018 y febrero de 2019, fui víctima de suplantación en la compañía Claro (Telmex) en tres ocasiones con los siguientes números de cuenta: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx; generándose tres procesos de cobro y reportes a centrales de riesgo”. 1.2. Aseguró que, “[f]rente a esta situación, tuve que hacer diversos trámites (de los cuales adjunto pruebas) para conseguir ser exonerada de dichos cobros y sacada de las centrales de riesgo”. 1.3.
Afirmó que: “(…) adicionalmente, solicité de manera expresa la eliminación de mis datos de su sistema desde el 8 de marzo del año 2019, a lo cual obtuve respuesta favorable con radicado consecutivo No. RVA 10000-2779152 del 12 marzo del mismo año, firmada por xxxxxxxxxxxxxxxxxxxxxxxxxxx, Gerente de PQRs. No obstante el día 26 de febrero de 2020 me fue enviado un correo con el siguiente contenido: CLAR 210 informa que su factura presente una mora superior a 210días (sic) con reporte negativo en centrales de riesgo”. 1.4.
Agregó lo siguiente: “[p]or la página de Facebook de Claro me informa un asesor que se trata de una cuenta instalada en la dirección xxxxxxxxxxxxxxxxxxxxxxxx que tiene un saldo en mora desde abril del 2019, el número de cuenta es xxxxxxxx. Por ese motivo escribí nuevamente una queja a la compañía Claro (Telmex ) para aclarar que no tengo ningún tipo de contratos de servicios con la compañía y que es la cuarta vez que soy objeto de suplantación para este tipo de contratos, razón por la cual solicité que se me diera una explicación al incumplimiento del compromiso adquirido por la compañía Claro respecto al uso de mis datos personales con fines comerciales y publicitarios; que se me informara acerca de las medidas internas adoptadas para evitar el uso de mis datos con dichos fines; que se diera por cancelado cualquier tipo de contrato de servicios de Claro que se encontrara a mi nombre y que se suspendiera cualquier gestión de cobro vigente y se retiraran mis datos de las centrales de riesgo por concepto de cobros de cualquier tipo de servicios de la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA compañía Claro.Frente (sic) a esta solicitud solo obtuve la siguiente respuesta, mediante consecutivo No. RVA 10000- 3364452: ‘Es oportuno indicarle que luego de realizado un análisis del proceso de venta por parte de nuestra área de prevención fraude, hemos procedido a exonerarlo de la obligación pendiente de pago y por ello se ha descontado la totalidad de los saldos facturados hasta la fecha.En (sic) consecuencia hemos suspendido cualquier gestión de cobro vigente, así como realizamos la cancelación de los servicios registrados a su nombre, desconectados mediante ticket No. 265930283 con el fin de no generar cobros adicionales.Consideramos (sic) necesario informarle, que se procedió con la eliminación del reporte en centrales de riesgo’”. 1.5.
Finalmente, solicitó lo siguiente: “(…) debido a que no se han respetado mis derechos y garantías constitucionales y legales, solicito la supresión de mis datos y la garantía de no volver a ser usados para contrataciones futuras y que se otorgue algún tipo de reparación si es el caso”.
SEGUNDO: Que, junto con su denuncia, la Titular aportó los siguientes documentos: 2.1. Oficio No. 58028 del 15 de marzo de 2019 dirigido a la Autoridad Nacional de Televisión por parte de la Gerente de Reclamaciones del Cliente de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. 2.2. Respuesta con consecutivo RVA 10000 – 2783441 de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. dirigida a la Titular. 2.3.
Comunicación de la Agencia Nacional de Televisión con radicado 2019120007306 dirigido a la Titular. 2.4. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.5. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.6. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.7.
Correo electrónico dirigido a la dirección xxxxxxxxxxxxxxxxxxxxxxx el 26 de febrero de 2020 mediante el cual se realiza el cobro de la cuenta xxxxxxxxx. 2.8. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.9. PQR interpuesta por la Titular ante la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., con causa de requerimiento: “[e]rror factura/ Cobro o descuento injustificado”. 2.10.
Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. con radicado RVA 10000-060075.
TERCERO: Que en desarrollo de la etapa preliminar adelantada por el Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Protección de Datos Personales, se solicitaron y recaudaron los siguientes documentos y elementos de prueba: 3.1. Oficio con radicado No. 20-66400-00004 del 17 de junio de 2020 se requirió a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. con el fin de que informara lo siguiente: “1.
Informe a esta Dirección cuál información de la reclamante (nombre, número de celular, e-mail, etc.) tiene en sus bases de datos. 2. ¿De qué manera recolectó la información de la reclamante que reposa en sus bases de datos? “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA 3. Indique si la reclamante ha interpuesto otras reclamaciones al respecto ante esa sociedad.
De ser afirmativa su respuesta, allegue copia de la contestación junto con el comprobante de entrega. 4. Informe las políticas que esa sociedad ha implementado con el fin de evitar casos de suplantación. Especifique las medidas tomadas frente al caso de la reclamante. 5. Allegue copia de la autorización previa, expresa e informada de la reclamante para el Tratamiento de sus datos personales.
Acredite su respuesta. 6. Indique cuál(es) servicio(s) se encuentra(n) activo(s) actualmente a nombre de la reclamante. Adjunte contrato de lo(s) mismo(s). 7. Informe las políticas internas de seguridad bajo los cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 8.
Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012”. 3.2. Comunicación con radicado 20-66400-00005 del 06 de julio de 2020, con la cual la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. informó lo siguiente: “1.
Informe a esta Dirección cuál información de la reclamante (nombre, número de celular, e-mail, etc.) tiene en sus bases de datos. De acuerdo a la verificación efectuada por la compañía, se registra la siguiente información de la reclamante xxxxxxxxxxxxxxxxxxxxxxxxxxx: a.) Comcel Soluciones Móviles: b.) Comcel Soluciones Fijas 2. De qué manera recolectó la información de la reclamante que reposa en sus bases de datos La información de la reclamante que reposa en las base de datos se recolectó a través de la suscripción de los contratos de las cuentas hogar No. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx, por parte de señora xxxxxxxxxxxxxxxxxxxxxxxxxxx; adjuntamos las grabaciones de los contratos.
Es importante señalar que en el momento de la grabación del contrato se suministran por parte de la Titular datos personales como son: nombre, cédula, dirección, teléfono de contacto, correo electrónico. 3. Indique si la reclamante ha interpuesto otras reclamaciones al respecto ante esa sociedad. De ser afirmativa su respuesta, allegue copia de la contestación junto con el comprobante de entrega.
Se adjuntan los siguientes comunicados con los soportes de envío: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA Cuenta Hogar xxxxxxxxx: - Comunicado RVA 10000-2774632 del 08 de marzo de 2019 - Comunicado RVA 10000-2779152 del 12 de marzo de 2019 - Comunicado RVA 10000-2783441 del 15 de marzo de 2019 Cuenta Hogar xxxxxxxxx: - Comunicado RVA 10000-2781491 del 14 de marzo de 2019 - Comunicado RVA 10000-2773053 del 07 de marzo de 2019 Cuenta Hogar xxxxxxxxx: - Comunicado RVA 10000-3364452 del 17 de marzo de 2019 - Comunicado RVA 10000-2781384 del 14 de marzo de 2019 - Comunicado RVA 10000-2776943 del 11 de marzo de 2019 - Comunicado RVA 10000-2773065 del 07 de marzo de 2019 Al respecto es importante manifestar que debido a la presentación del formato para negación de línea de las cuentas xxxxxxxxx, xxxxxxxxx y xxxxxxxxx por parte de la señora xxxxxxxxxxxxxxxxxxxx xxxxxxxxx, la compañía le informó a la usuaria mediante comunicado RVA 10000-2781384 del 14 de marzo de 2019 lo siguiente: ‘(…) (i) Atendiendo su requerimiento, en el que manifiesta no haber solicitado la instalación de los servicios registrados en las cuentas No. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx; le informamos que a su nombre se encuentran registrados los servicios de Televisión, Telefonía e Internet instalados en la ciudad de xxxxx.
(ii) Es oportuno indicarle que luego de realizado un análisis del proceso de venta por parte de nuestra área de prevención fraude, hemos procedido a exonerarlo de la obligación pendiente de pago y por ello se ha descontado la totalidad de los saldos facturados hasta la fecha. (iii) En consecuencia hemos suspendido cualquier gestión de cobro vigente, así como realizamos la cancelación de los servicios registrados a su nombre, desconectados, con el fin de no generar cobros adicionales.
(iv) Consideramos necesario informarle, que se procedió con la eliminación del reporte en centrales de riesgo. (…)’ De conformidad a lo anterior, COMCEL SOLUCIONES FIJAS procedió a realizar ajustes por concepto del cobro de las cuentas Hogar No. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx y al validar el reporte ante las centrales de riesgos no registra ningún reporte, tal y como se evidencia en la impresión de novedad de Datacrédito y Cifin que se adjunta a este comunicado.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA Adjuntamos impresiones del sistema en el que se evidencia que las cuentas Hogar No. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx no presentan saldo pendiente por cancelar: 4. Informe las políticas que esa sociedad ha implementado con el fin de evitar casos de suplantación. Especifique las medidas tomadas frente al caso de la reclamante.
Entre las políticas que se han gestionado por parte de la empresa para prevenir y mitigar los casos de suplantación se encuentran las siguientes: a.) Los asesores/consultores reciben capacitación permanente y refuerzos respecto a tips de verificación de documentos, toma de huella y diligenciamiento del contrato. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA b.) El área de prevención de fraude realiza un proceso continuo de verificación de políticas para disminuir la suplantación de identidad. c.) Se implementó la herramienta IDVISION para verificar la identidad de suscriptores en canales NO presenciales. d.) En las ventas de calle (agentes comerciales y asesores directos) se ha implementado de manera gradual biometría dactilar en dispositivos móviles. e.) En las ventas realizadas en CAV´s habilitados para Biometría desde marzo de 2017, se implementó para el proceso de verificación de identidad, el método de Biometría Dactilar contra la base de la Registraduria (sic) Nacional del Estado Civil. f.) Se implementó en los canales de TMK una herramienta de validación de fraude llamada ROC- FMS del proveedor SUBEX que determina si la información de contacto del cliente potencial está relacionada con clientes con riesgo de fraude detectados anteriormente.
Adicionalmente a las herramientas de validación de identidad que se tienen con el buró de crédito, se han implementado o se encuentran en proceso de implementación las siguientes acciones: - Biometría móvil u OTP (SMS de buró de crédito) obligatorio en ventas de hogares ciudades riesgosas. Estado: Implementado. - Validación offline con biometría de voz las ventas que tuvieron autenticación de identidad con preguntas en canales telefónicos. - Confirmación mediante SMS en las ventas de servicios fijos en clientes antiguos en canales no presenciales. - Validación de identidad por preguntas internas en clientes antiguos que no sean autenticados con Biometría o SMS.
En cuanto a las medidas tomadas frente al caso de la reclamante, es importante señalar que el área de protección de la compañía realizó una validación exhaustiva verificando los datos de dirección de instalación y contacto registrados en el contrato y/o en el sistema con los registrados en las centrales de riesgo, en los aplicativos Reconoce y Ubica, en los que se validó la dirección de residencia de la usuaria y el número de veces que se ha reportado la dirección por diferentes entidades.
De igual forma, el número de cédula de la reclamante quedó en el área de protección de la compañía y sólo por medio biométrico se podrá realizar activación de los servicios hogar. 5. Allegue copia de la autorización previa, expresa e informada de la reclamante para el Tratamiento de sus datos personales. Acredite su respuesta. La compañía cuenta con la autorización de manera previa, expresa e informada de parte de quien en su momento se identificó y validó como la señora xxxxxxxxxxxxxxxxxx xxxxxxxxxx para la recolección y tratamiento de sus datos personales.
Anexamos grabaciones de los contratos de las cuentas No. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx en el que se puede evidenciar la autorización en el tratamiento de los datos personales y adicionalmente fue informada las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada: ‘autoriza a CLARO para realizar el tratamiento de sus datos personales con fines de prestación del servicio relación contractual comercial publicitaria y trasmisión de datos a terceros de acuerdo con la política de tratamiento disponible en www.claro.com.co usted puede consultar actualizar y rectificar sus datos, solicitar o revocar esta autorización conocer el uso que se le ha dado a sus datos, y contactar a la Superintendencia de Industria y Comercio, acepta sí o no? a lo que contesto: si señora’ 6.
Indique cuál(es) servicio(s) se encuentra(n) activo(s) actualmente a nombre de la reclamante. Adjunte contrato de lo(s) mismo(s). “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA A nombre de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx con número identificación No. xx.xxx.xxxx, a la fecha no existen obligaciones activas a su nombre ni en COMCEL SOLUCIONES MOVILES y tampoco en COMCEL SOLUCIONES FIJAS. 7.
Informe las políticas internas de seguridad bajo los cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La compañía tiene establecidos controles e implementadas políticas de seguridad de la información que incluyen lineamientos y controles de seguridad encaminados a proteger la confidencialidad, integralidad y disponibilidad de la información, construidos bajo los mejores estándares y prácticas de seguridad existentes en la materia.
Dichas políticas son regularmente revisadas y actualizadas y son de estricto cumplimiento por los funcionarios directos e indirectos que desempeñan alguna labor o actividad al interior de la compañía. Puntualmente con ocasión de la expedición de la ley 1581 de 2012 y el decreto reglamentario 1377 de 2013 se revisaron y actualizaron las políticas internas de seguridad de la información y se publicó en la página web de la compañía el documento de Políticas de Tratamiento de la información, que puede ser consultado en www.claro.com.co.
COMCEL ha tomado todas las precauciones razonables y medidas de índole técnico administrativo y organizacional conducentes a garantizar la seguridad de los datos de carácter personal de los titulares, principalmente aquellos destinados a impedir su alteración, perdida y tratamiento o acceso no autorizado. Las medidas de seguridad se aplican tanto a los ficheros como a los tratamientos.
La aplicación de las medidas de seguridad, tiene como fin procurar la conservación, confidencialidad, integridad y disponibilidad de los datos. Los lineamientos de seguridad se encuentran respaldados por las políticas de seguridad de la información, construidas bajo las mejores prácticas y estándares de seguridad existentes y dando cumplimiento a las regulaciones vigentes.
Dichas políticas son de estricto cumplimiento por los funcionarios directos o indirectos que desempeñan alguna labor o actividad al interior de CLARO S.A. 8. Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012.
Respecto de las medidas de seguridad establecidas por la compañía, la compañía cuenta con el documento POLITICAS DE SEGURIDAD DE LA INFORMACIÓN, en el que se establecen los controles de seguridad de la información necesarios para proteger la confidencialidad, integridad y disponibilidad de la información apoyados en estándares y seguridad de la información. Dentro de las políticas internas de seguridad implementadas por la compañía para conservar la información de los titulares a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento se encuentran, entre otras, las siguientes: a.) Los recursos de cómputo, dispositivos móviles, programas/ software, de almacenamiento y red asignados son propiedad de la organización y constituyen una herramienta de trabajo exclusiva para el desempeño de las funciones.
Por lo tanto la compañía se reserva el derecho de conocer, revisar, monitorear y examinar entre otros, la totalidad de la información que se encuentra en dichos recursos. b.) Está prohibido instalar, modificar, copiar o utilizar software en los recursos de cómputo o red diferente al suministrado. c.) Está prohibido usar, enviar o almacenar en los diferentes recursos tecnológicos a través de cualquier medio (físico o digital) contenido que pueda generar sentimientos de acoso u hostigamiento, o que por su naturaleza sea incomodo, sexualmente explicito, religioso, racial, difamatorio, ilegal o que impida, estorbe o retarde información valiosa e importante. d.) Las áreas responsables de la información de los equipos y medios de almacenamiento deben cumplir los lineamientos, estándares y procesos de seguridad para proteger la información. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA e.) Los colaboradores no deben revelar o intercambiar información confidencial de la compañía por ningún medio, sin contar con la autorización por parte de la Gerencia de Seguridad. f.) Las cuentas de usuarios (usuario y contraseña) son personales e intransferibles y deben cumplir con los estándares y controles de seguridad definidos; en ninguna circunstancia se deben compartir.
Todas las acciones realizadas con la cuenta del usuario asignada son responsabilidad del propietario. g.) Todos los contratos o acuerdos definidos deben de contar el anexo de seguridad de terceros de partes interesadas y acuerdos de confidencialidad. Adjuntamos, documento POLITICAS DE TRATAMIENTO DE LA INFORMACIÓN publicado en la página web de la compañía mediante el cual se informa sobre las disposiciones normativas contenidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013.
Adicionalmente nos permitimos adjuntar al presente el documento de Políticas de Seguridad de la Información, el cual agradecemos sea tratado como un documento confidencial toda vez que el mismo tiene información con tal carácter. En los anteriores términos damos respuesta al requerimiento, reiterando que la compañía ha implementado nuevos procedimientos y herramientas para evitar y contrarrestar los riesgos asociados al fraude y a la suplantación personal; manifestamos igualmente que la compañía trabaja con herramientas de última tecnología de seguridad y de control de identificación de las personas, que incluyen captores biométricos, validación de identidad con centrales de riesgos y bases de datos de la Registraduria (sic) Nacional.
Con base en lo antes expuesto y según se evidencia en los documentos que se anexan, de manera atenta se solicita el ARCHIVO de la presente actuación toda vez que la compañía realizó las gestiones pertinentes para la exoneración de la deuda de las obligaciones No. xxxxxxxxxxxx, xxxxxxxxxxxx y xxxxxxxxxxxx y bajo el número de cédula de la reclamante no se registra ningún reporte ante centrales de riesgo por parte de COMCEL”.
CUARTO: Que, con base en la denuncia y las averiguaciones preliminares, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 59135 del 24 de septiembre de 2020, por medio de la cual se formularon DOS (2) cargos a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7.
La mencionada resolución fue notificada por aviso No. 26211 a la antedicha sociedad, a través de su representante legal, el 6 de octubre de 2020 como consta en la certificación con radicado 2066400-00014 del 27 de octubre de 2020 emitida por la Secretaria Ad-Hoc de esta Superintendencia, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer frente a la formulación de cargos, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó la actuación a la denunciante el 29 de septiembre de 2020.
QUINTO: Que, mediante comunicación con radicado 20-66400-00015 del 27 de octubre de 20201, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a través de su apoderada especial, dentro de la oportunidad legal dio respuesta a los cargos formulados mediante la Resolución No. 59135 del 24 de septiembre de 2020.
SEXTO: Que este Despacho profirió la Resolución No. 19194 del 9 de abril de 2021, mediante la cual se incorporaron las pruebas obrantes en el expediente 20-66400 del 20-66400-00000 al 2066400-00017, con el valor probatorio que les corresponda, y las demás que sean allegadas debida 1 La investigada remitió el escrito de descargos también mediante las comunicaciones con radicados 20-66400- 00016 del 27 de octubre de 2020 y 20-66400-00017 del 28 de octubre de 2020.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA y oportunamente al expediente, así como se corrigió un acto administrativo y se ordenó a la investigada lo siguiente: “(…) La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, deberá informar la razón social y el NIT de la casa de cobranza que funge o fungió como Encargado del Tratamiento de los datos personales de la señora xxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con C.C. xx.xxx.xxxx. La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, deberá acreditar a través de una prueba técnica, respecto de la señora xxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con C.C. xx.xxx.xxxx, i) la fecha en la que suministró sus datos personales al Encargado del Tratamiento (casa de cobranzas), ii) los datos personales que fueron suministrados al Encargado del Tratamiento y; iii) la fecha en la que cesó el Tratamiento por parte del Encargado del Tratamiento”.
La Resolución No. 19194 de 2021 fue comunicada el 17 de junio de 2021 a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a través de su apoderada especial, como consta en la certificación con radicado 20-66400-00022 del 3 de mayo de 2021 de la Secretaria Ad-Hoc de esta Superintendencia.
SÉPTIMO: Que la investigada a través de la comunicación con radicado 20-66400-00021 del 23 de abril de 2021, dio cumplimiento a la prueba decretada mediante la Resolución No. 19194 de 2021.
OCTAVO: Que, esta entidad mediante la comunicación con radicado 20-66400-00023 del 27 de julio de 2021 corrió traslado para alegatos de conclusión a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., la cual los presentó, por conducto de su apoderada especial, mediante la comunicación con radicado 20-66400-00024 del 10 de agosto de 2021.
NOVENO: Que este Despacho profirió la Resolución No. 78034 del 30 de noviembre de 2021, mediante la cual decidió imponer una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000), equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley.
A su vez, mediante la Resolución No. 78034 del 30 de noviembre de 2021 se impartió a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., la siguiente orden administrativa: “La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá adoptar un procedimiento tendiente a garantizar que la información que suministre a los Encargados del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible, acorde con el literal e) del artículo 17 de la Ley 1581 de 2012 y el literal d) del artículo 4 de la misma ley”.
DÉCIMO: Que, el 13 de diciembre de 2021 la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., por conducto de su apoderada especial, fue notificada por aviso No. 30624 de la Resolución No. 78034 del 30 de noviembre de 2021, como consta en la certificación con radicado 20-66400-00032 del 15 de diciembre de 2021 expedida por la Secretaria Ad-Hoc de esta entidad.
Dicho acto administrativo fue comunicado a la denunciante el 1 de diciembre de 2021.
DÉCIMO PRIMERO: Que mediante las comunicación con radicado 20-66400-00033 del 24 de diciembre de 2021, a través de su apoderada especial, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. presentó recurso de reposición y en subsidio de apelación a la Resolución 78034 de 2021, a fin que se revoque el citado acto administrativo o en su defecto, se disminuya el monto de la sanción impuesta.
Los argumentos expuestos por la recurrente en el recurso interpuesto son los siguientes: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA 11.1 Manifiesta que la información que reposa de la Titular en las bases de datos de la compañía se recolectó mediante la suscripción de contratos verbales de las cuentas hogar Nos. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx, momento en el que se realizaron las preguntas de seguridad a la Titular para la contratación de los servicios. 11.2 Expresa que cuenta con la autorización previa, expresa e informada de la Titular, como se evidencia en las grabaciones de los contratos de cuentas hogar Nos. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx. 11.3 La Titular no presentó el denuncio por el presunto delito de suplantación de identidad; no obstante, se “procedió a realizar ajustes por concepto de cobro de las cuentas Hogar No. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx” frente a “la manifestación efectuada por parte de la usuaria de declarar ser víctima del delito de falsedad personal bajo la gravedad del juramento”. 11.4 Expone que a través de la comunicación “RVA 10000-3364452 del 17 de marzo de 2020 nuevamente le reiteró a la usuaria que respecto a la cuenta Hogar No. xxxxxxxxx, se había procedido a exonerarla de la obligación y se había descontado la totalidad de los saldos”, lo cual se evidencia en la siguiente imagen: Imagen 1.
Tomada del radicado 20-66400-00033, página 3, folio 6. 11.5 Señala que acorde con el literal g) del artículo 17 de la Ley 1581 de 2012 y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015, “cumplió con el deber establecido y realizó las respectivas rectificaciones ante el encargado de las mismas, evitando así que se realizaran gestiones de cobranza por obligaciones que no le correspondían a la titular”. 11.6 Agrega que en la Política de Tratamiento de Datos Personales que está publicada en la página web de la compañía, se indica que los Titulares tienen el derecho de rectificar sus datos personales.
Así, una vez la Titular presentó la petición ante la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., se le reiteró que no presenta saldos adeudados respecto de la cuenta hogar No. xxxxxxxxx. 11.7 Arguye que se vulnera el derecho de defensa y existe incongruencia entre la formulación de cargos y los fundamentos de la sanción, en razón a que: “en la imputación de cargos el Despacho reprocha a COMCEL haber suministrado al encargado del tratamiento información que no es comprobable, veraz ni exacta toda vez que no existe prueba de la autorización de la titular y COMCEL como lo demostró en los descargos SI cuenta con las grabaciones en las que se evidencia la autorización de la titular; no obstante lo anterior, para fundamentar la sanción, el despacho a su digno cargo manifiesta que la conducta reprochable a mi representada es porque desde marzo 2019 se había exonerado a la titular y le efectuó gestiones de cobranza en el mes de noviembre de 2019 y 26 de febrero de 2020”. 11.8 Señala que la sanción no atiende los principios de proporcionalidad y razonabilidad al haberse impuesto una multa con rigidez por parte de la Administración, por lo cual es necesario que se tengan en cuenta las circunstancias de tiempo y lugar.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 11.9 VERSIÓN PÚBLICA Indica que ha adoptado las medidas de seguridad técnicas, administrativas y organizaciones necesarias y razonables para evitar la alteración, pérdida, tratamiento o acceso no autorizado de los datos personales de los Titulares, siendo las políticas que se han adoptado en la materia “de estricto cumplimiento por los funcionarios directos o indirectos que desempeñan alguna labor u actividad al interior de CLARO S.A.”.
DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
DÉCIMO TERCERO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de los mismos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición, por cuanto: 13.1 El recurso fue interpuesto por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. dentro del término legal, ya que fue radicado dentro del plazo otorgado en el Artículo Tercero de la parte resolutiva de la Resolución No. 78034 de 2021 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 13.1.1 La recurrente fue notificada por aviso No. 30624 el 13 de diciembre de 2021 de la Resolución No. 78034 de 2021, de acuerdo a certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 2066400-00032 del 15 de diciembre de 2021. 13.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 24 de diciembre de 2021 a través de la comunicación con radicado 20-66400-00033, encontrándose presentado dentro del término legal. 13.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución No. 78034 de 2021, los cuales fueron relacionados en el numeral considerativo décimo tercero de esta resolución. 13.3 Respecto de los documentos aportados como pruebas por la recurrente.
Mediante el correo electrónico con radicado 20-66400-00033 del 24 de diciembre de 2021, la recurrente solo allegó el escrito de recurso de reposición y en subsidio de apelación. 13.4 Sobre la indicación del nombre y dirección de la recurrente, y correo electrónico si desea ser notificada por este medio. Al respecto, la recurrente en el recurso de reposición y en subsidio de apelación indica la dirección física y correo electrónico electrónico de la apoderada especial para ser notificada.
DÉCIMO CUARTO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cinco aspectos, a saber: (i) congruencia entre el segundo cargo formulado y la sanción, (ii) rectificación de los datos personales de la Titular, (iii) las medidas técnicas, administrativas y organizacionales para garantizar la seguridad de la información de los Titulares, (iv) responsabilidad subjetiva y principios de proporcionalidad y razonabilidad y;
(v) de las pretensiones. 14.1 Respecto de la congruencia entre el segundo cargo formulado y la sanción impuesta La recurrente expresa que el Despacho vulnera el derecho de defensa que le asiste, en consideración a que en la Resolución No. 59135 de 2020 se le formula el segundo cargo por “haber suministrado al encargado del tratamiento información que no es comprobable, veraz ni “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA exacta toda vez que no existe prueba de la autorización de la titular”, mientras que en el acto administrativo recurrido se le sanciona por “la conducta reprochable a mi representada es porque desde marzo 2019 se había exonerado a la titular y le efectuó gestiones de cobranza en el mes de noviembre de 2019 y 26 de febrero de 2020”.
Así, indica que la presunta conducta en virtud de la cual se le formularon cargos dista de la que es objeto de la sanción, más cuando se demostró en descargos que contaba con la autorización de la Titular para el Tratamiento de sus datos personales. En primer lugar, es de señalar que el procedimiento administrativo sancionatorio está contenido en el artículo 47 a 52 de la Ley 1437 de 2011.
En particular, el artículo 47 dispone: “ARTÍCULO
47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes. Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona.
Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.
Este acto administrativo deberá ser notificado personalmente a los investigados. Contra esta decisión no procede recurso. Los investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer. Serán rechazadas de manera motivada, las inconducentes, las impertinentes y las superfluas y no se atenderán las practicadas ilegalmente.
(…)”. (Se subraya fuera de texto) De acuerdo con el artículo 47 de la Ley 1437 de 2011, las averiguaciones preliminares constituyen una etapa previa para determinar si se formulan o no cargos a la(s) persona(s) jurídica(s) o natural(es) cuando se encuentre mérito para ello. Si tras realizarse las averiguaciones preliminares se concluye que hay lugar a formular cargo(s), ello se realiza mediante un acto administrativo e inicia la actuación administrativa de carácter sancionatorio, la cual se surte en estricto cumplimiento del procedimiento administrativo sancionatorio previsto en el artículo 47 a 52 de la Ley 1437 de 2011 y en lo no previsto en estos artículos, es aplicable la primera parte de dicha ley.
Luego de formularse cargos, se (i) concede el término para que la investigada presente descargos y/o aporte y/o solicite las pruebas que pretende hacer valer, garantizándosele sus derechos de defensa y contradicción, (ii) incorporan y/o decretan pruebas (iii) corre traslado para que la investigada presente alegatos de conclusión y; (iv) adopta por el Despacho una decisión que de acuerdo con el artículo 49 de la Ley 1437 de 2011 debe contener: “ARTÍCULO
49. CONTENIDO DE LA DECISIÓN. El funcionario competente proferirá el acto administrativo definitivo dentro de los treinta (30) días siguientes a la presentación de los alegatos. El acto administrativo que ponga fin al procedimiento administrativo de carácter sancionatorio deberá contener: 1. La individualización de la persona natural ó jurídica a sancionar. 2.
El análisis de hechos y pruebas con base en los cuales se impone la sanción. 3. Las normas infringidas con los hechos probados. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA 4. La decisión final de archivo o sanción y la correspondiente fundamentación”. (Se subraya fuera de texto) Frente a la decisión que sanciona y/o imparte órdenes administrativas o, archiva, se falla con fundamento en todas las pruebas recaudadas por la Administración y aquellas que fueron allegadas por la investigada debida y oportunamente dentro de la actuación administrativa.
De acuerdo con lo anterior, téngase presente que la formulación de cargos se sustenta en las pruebas que son recaudadas en averiguaciones preliminares, de manera que los hechos precisos y claros que son expuestos en el acto administrativo de formulación de cargos tienen origen en esas evidencias. A su vez, esta Superintendencia en ejercicio de su función investigadora prevista en el literal b) del artículo 21 de la Ley 1581 de 20122, para esclarecer los hechos que dieron lugar a los cargos formulados recauda y práctica pruebas, así como en garantía de los derechos de defensa y contradicción corre traslado para la presentación de descargos y de alegatos de conclusión, teniendo la investigada la posibilidad de aportar y/o solicitar pruebas.
Ahora bien, este Despacho procede a indicar que el segundo cargo formulado en la Resolución No. 59135 de 2020 “[p]or medio de la cual se inicia una actuación administrativa y se formulan cargos” corresponde a la presunta vulneración del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4, y el fundamento de ello fue: “Ahora, se tiene que, (i) preliminarmente la investigada transfirió datos de la Titular al Encargado con el fin de que se realizara la gestión de cobro correspondiente.
Y (ii) que, este envió un correo electrónico mediante el cual se realizaba operaciones de recolección de cartera de la obligación xxxxxxxxx, la cual se adquirió mediante suplantación de identidad y sin que mediara autorización de la Titular para el Tratamiento de sus datos. A partir de estos dos postulados, se infiere de manera razonable que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. suministró información al Encargado del Tratamiento que no es comprobable, veraz ni exacta, pues no existe prueba en el expediente de la autorización previa, expresa e informada de la Titular”.
La formulación del segundo cargo se basó en las pruebas con las que contaba esta Superintendencia a la fecha de expedición de la Resolución No. 59135 de 2020, es decir las correspondientes a las aportadas por la denunciante y las recaudadas dentro de las averiguaciones preliminares por esta Dirección. Por su parte, mediante la Resolución No. 78034 de 2021 “[p]or medio de la cual se impone una sanción y se imparte una orden”, luego de la valoración de todas las pruebas obrantes en la actuación administrativa de carácter sancionatorio del expediente 20-66400 y en virtud de la labor investigativa de este Despacho se concluyó que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. actuó negligentemente en el cumplimiento del deber contemplado en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4, en consideración a: “Así las cosas, frente a los mensajes de gestión de cobranza de noviembre de 2019 y del 26 de febrero de 2020 de los Encargados del Tratamiento, este Despacho encuentra que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. les suministró datos de la Titular erróneos, inexactos, no comprobables y desactualizados, ya que desde marzo de 2019 se había exonerado a la Titular de la mora en la deuda y descontado todos los saldos facturados de la cuenta hogar No. xxxxxxxx frente a la manifestación de la Titular bajo la gravedad del juramento en el sentido de que fue suplantada en su identidad”. 2 “La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA En esta medida, no se desconoció el derecho al debido proceso, del cual hace parte el derecho de defensa y el derecho de contradicción, así como no tienen ningún sustento lo señalado por la recurrente en el sentido que en el acto administrativo recurrido se modificó la conducta de la formulación del segundo cargo, ya que luego de una exhaustiva valoración probatoria de las pruebas recaudadas y allegadas a esta investigación, se encontró que la recurrente sí suministro a los Encargados del Tratamiento información personal de la Titular para que adelantaran gestiones de cobro de la obligación en mora No. xxxxxxxxxx y quienes le remitieron mensajes de gestión de cobranza en noviembre de 2019 y el 26 de febrero de 2020.
La información suministrada de la Titular por parte de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a los Encargados fue errónea, inexacta, no comprobable y desactualizada, por cuanto desde marzo de 2019 la investigada procedió a: i) exonerar a la Titular de la obligación pendiente de pago, ii) descontar todos los saldos facturados, iii) suspender cualquier gestión de cobro y; iv) eliminar el reporte ante los Operadores de la información. Por su parte, es necesario aclarar que la Titular informó por primera vez que estaba siendo presuntamente víctima de suplantación a través de la petición presentada el 15 de febrero de 20193, por lo cual la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. en atención a la información suministrada por la Titular, procedió desde el 7 de marzo de 20194 a i) exonerarla de la obligación pendiente de pago, ii) descontar todos los saldos facturados, iii) suspender cualquier gestión de cobro y; iv) eliminar el reporte ante los Operadores de la información, por lo cual no es aceptable, de modo alguno, lo señalado por la recurrente en el sentido que cuenta con la autorización de la Titular para el Tratamiento de sus datos personales.
Por lo tanto, es claro que a partir de la fecha en que la Titular informó la presunta suplantación y la sociedad adoptó las antedichas medidas, es totalmente evidente que la autorización otorgada por el presunto tercero suplantador no es válida, y en consecuencia la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. no podía continuar tratando los datos personales de la Titular desde el 7 de marzo de 2019.
Así pues, es manifiesto que en fecha posterior a esto, la recurrente no suministró al Encargado del Tratamiento información de la denunciante veraz, completa, exacta, actualizada, comprobable y comprensible, puesto que en noviembre de 2019 y el febrero de 2020 los Encargados realizaron Tratamiento de los datos personales de la Titular como si se encontrara en mora de una obligación respecto de la cual fue exonerada y se eliminaron los reportes negativos.
De acuerdo con lo anterior, es claro que este Despacho no vulneró el derecho de defensa de la recurrente y luego de una exhaustiva y acuciosa valoración probatoria de las pruebas recolectadas por esta Dirección y allegadas por la recurrente, se confirma que efectivamente los Encargados del Tratamiento continuaron realizando Tratamiento de los datos personales del denunciante, entre otras, en la medida en que remitieron mensajes de cobro de la obligación en mora No. xxxxxxxxx, en razón a que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. les suministró información de la Titular, desactualizada, no veraz, inexacta y no comprobable, a pesar que desde marzo de 2019 se le había exonerado de la obligación y descontado los saldos facturados.
Asimismo, en consideración a lo expuesto, no tienen ningún sustento lo señalado por la recurrente en el sentido que en el acto administrativo recurrido se modificó la conducta de la formulación del primer cargo. Por último, y con fundamento en lo esgrimido por este Despacho, no son de recibo los argumentos de la recurrente en el sentido de que no desconoció el deber previsto el literal e) del artículo 17 de la Ley 1581 de 2012 al contar con las grabaciones de la autorización previa, expresa e informada y que la Titular no ha aportado el denuncio ante la Fiscalía General de la Nación por el posible delito de suplantación en la identidad. 14.2 Respecto de la rectificación de los datos personales de la Titular La recurrente expresa que reiteró a la Titular mediante comunicado RVA 10000-3364452 del 17 de marzo de 2020 que fue exonerada la obligación de la cuenta hogar No. xxxxxxxxxx y que los saldos pendientes fueron descontados.
A su vez, invoca el deber previsto en el artículo 3 Obrante en la comunicación con radicado 20-66400-00006, página 4. 4 Conforme con la comunicación con radicado 20-66400-00000, página 6. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA 2.2.2.25.4.3 del Decreto 1074 de 2015 del Decreto 1074 de 2015 y el literal g) del artículo 17 de la Ley 1581 de 2012 que dispone que como Responsable del Tratamiento debe “[r]ectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento”, indicando que cumplió con este deber “y realizó las respectivas rectificaciones ante el encargado de las mismas, evitando así que se realizaran gestiones de cobranza por obligaciones que no le correspondían a la titular”.
Agrega que en la Política de Protección de Datos Personales “se informa a los titulares el derecho de rectificar sus datos personales, por lo cual la compañía una vez presentada la petición por la usuaria le reiteró que respecto de la cuenta Hogar No. xxxxxxxxx no presentaba saldos adeudados y rectificó la información al encargado para no continuar con la gestión de cobro”.
Ahora bien, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. está invocando que dio cumplimiento al deber previsto en el literal g) del artículo 17 de la Ley 1581 de 2012, en consideración a que rectificó la información de la Titular y lo informó al Encargado del Tratamiento; no obstante, este Despacho hace hincapié en que dicho deber no ha sido objeto de investigación en esta actuación administrativa y en consecuencia, no hay lugar a que se pronuncie en esta resolución sobre un deber respecto del cual no se formularon cargos en la Resolución No. 59135 de 2020.
Por ello, no son de recibo ninguno de los argumentos expuestos por la recurrente sobre este deber. Es de resaltar que los únicos cargos por los cuales se investigó a la recurrente fueron por la presunta vulneración de lo previsto en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, sancionando a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. solo por este último deber a través de la Resolución No. 78034 de 2021. 14.3 Respecto de las medidas técnicas, administrativas y organizacionales para garantizar la seguridad de la información de los Titulares La recurrente señala que: “COMCEL ha tomado todas las precauciones razonables y las medidas de índole técnico, administrativo y organizacional conducentes a garantizar la seguridad de los datos de carácter personal de los Titulares, principalmente aquellos destinados a impedir su alteración, pérdida y tratamiento o acceso no autorizado.
Las medidas de seguridad se aplican tanto a los ficheros como a los tratamientos. La aplicación de las medidas de seguridad tiene como fin procurar la conservación, confidencialidad, integridad, y disponibilidad de los datos. Los lineamientos de seguridad se encuentran respaldados por las políticas de seguridad de la información construidas bajo las mejores prácticas y estándares de seguridad existentes y dando cumplimiento a las regulaciones vigentes.
Dichas políticas son de estricto cumplimiento por los funcionarios directos o indirectos que desempeñan alguna labor u actividad al interior de CLARO S.A.”. Respecto de este argumento es preciso señalar que este Despacho no formuló cargos a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por razones de falta de medidas de seguridad en el Tratamiento de la información y en consecuencia, no se sancionó por ello; no obstante, este Despacho evidenció que es necesario que la recurrente mejore sus protocolos y procedimientos en materia de seguridad en el Tratamiento de la información de los Titulares, en consideración a que en la grabación, de duración de 00:13:50, en la que una usuaria solicita los servicios de la compañía y se suscribe el contrato, se encontró lo siguiente: “ (…) Titular: necesito unos servicios para mi casa: Agente de ventas: ¿Para el hogar? Titular: Sí, señora.
El más económico porfa. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA Agente de ventas: ¿A qué dirección? Titular: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. Agente de ventas: xxxxxxxxx Titular: xxxxxxxxx Agente de ventas: xxxxxx (…) Titular: xxxxx. Agente de ventas: ¿Eso que barrios es? (…) Titular: es, mmm, xxxxxxxxxxxxxxxxxxxxxxxxx.
Agente de ventas: eso es xxxxx, ¿no? Titular: sí, señora. Agente de ventas: ¿En qué apartamento? Titular: xxx Agente de ventas: x, xxx. ¿Para cuántos televisores señora xxxxxxx? Titular: pues para uno. Agente de ventas: pero en ese xxx ya hay una orden a nombre del señor xxxxxxxxx xxxxxxxxx. (Inaudible) Agente de ventas: ¿Usted lo conoce? Titular: no señora.
Agente de ventas: ¿no? Titular: no. O sea hay dos apartamentos. Agente de ventas: entonces el suyo es el xxx porque el xxx ya tiene una orden. Entonces hagámosle el xxx. xxx. Listo. 2 televisores. ¿Algún canal en especial, alguna programación en específico? (…) Agente de ventas: efectivamente a su nombre se puede tomar el servicio. (…) Agente de ventas: bueno señora xxxxxxx, le voy a leer entonces el contrato.
Lo que usted no me entienda solo aclaro con mucho gusto. ¿Listo? Titula: listo. Agente de ventas: señora xxxxxxxxxxxxx. Vamos a proceder con el guion contrato venta servicios fijos. Realizaremos a continuación unas preguntas de validación para identificar su identidad. Esto es con el fin de evitar suplantación. ¿Está de acuerdo, sí o no? Titular: sí señora.
Agente de ventas: señora xxxxxxxx, recuerde que cuando me vaya a confirmar la dirección me dice xxx, listo, porque la xxx ya tiene una orden. ¿Bueno? “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA Titular: sí. ¿La dirección si la miro bien? Agente de ventas: sí. La dirección es xxxxxxxxxxxxxxxxxxx.
(…) Agente de ventas: a continuación le solicitaré unos datos. Indíqueme por favor la dirección de instalación. Titular: xxxxxxxxxxxxxxxxxxxx, apartamento xxx. (…)”. (Resaltado propio) Los hallazgos en la grabación no respaldan en lo absoluto lo argumentado por la recurrente en el sentido que ha adoptado las medidas técnicas, administrativas y organizacionales para garantizar la seguridad de los datos de los Titulares, por cuanto el agente de ventas al identificar que en la dirección y apartamento indicado por la interlocutora ya existía una orden de servicio, procedió a informar a la interlocutora, quien se presentó como xxxxxxxxxxxxx, el nombre completo de la persona que reside en el apartamento xxx, xxxxxxxxxxxxxxxxx, compartiendo así los datos personales de un Titular que obran bajo custodia de la recurrente a un tercero no autorizado, es decir informando el nombre de la persona que reside en dicho apartamento.
Además, a pesar de que la interlocutora le informa al agente de ventas que no conoce al señor xxxxxxxxxxxxxxx, quien tiene una orden de servicio en el apartamento xxx en la dirección por ella señalada, el agente de ventas de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. procede a indicarle que mienta respecto del número de apartamento, hecho que, en lugar de obstaculizar, colabora a que se configure una suplantación. Así mismo, el agente de ventas de la recurrente inmediatamente después de indicarle a la interlocutora que “[v]amos a proceder con el guion contrato venta servicios fijos.
Realizaremos a continuación unas preguntas de validación para identificar su identidad. Esto es con el fin de evitar suplantación. ¿Está de acuerdo, sí o no?”, procede a recordarle que mienta respecto del número del apartamento para que indique xxx en lugar de xxx. Por lo anterior, la grabación de la conversación telefónica es suficiente para revelar el riesgo en el Tratamiento de datos personales a través del contacto telefónico por parte de la recurrente, por lo cual este Despacho pone de presente a la recurrente el hecho que ocurrió en la llamada telefónica, que es una mala práctica y, puede llevar a que se generen casos de suplantación de identidad y de desconocimiento del principio de seguridad en el Tratamiento de los datos personales.
Por ello, es necesario que la recurrente adopte las medidas de técnicas, humanas y administrativas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información de los Titulares; sin embargo, en esta actuación administrativa no se impartió una orden administrativa en materia de seguridad de la información, en razón a que recientemente con la Resolución No. 38512 de 2021, dentro del expediente 20103460, se impartieron unas órdenes administrativas con la intención de prevenir que se generen casos de suplantación de identidad y de garantizar el principio de seguridad en el Tratamiento de los datos personales.
En todo caso, la recurrente debe advertir el hecho expuesto en la grabación para evitar que vuelvan a ocurrir hechos similares o iguales. 14.4 Respecto de la responsabilidad subjetiva y de los principios de proporcionalidad y razonabilidad La recurrente invoca un fallo del Consejo de Estado del 28 de febrero de 2013, en el cual se señala lo siguiente: “De otro lado, en criterio de la sala, el monto a que hace referencia el articulo (sic) 97 ibídem no puede entenderse como una camisa de fuerza, puesto que al margen de que la mencionada disposición sea pertinente para valorar el perjuicio inmaterial en aquellos supuestos en que el daño antijurídico tiene origen en una conducta punible, es preciso indicar que la tasación del mismo del mismo dependerá de las circunstancias en que se produjo la lesión o afectación, así como la magnitud de la misma, su gravedad, naturaleza e intensidad y demás factores objetivos”.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA También, la recurrente indica que hubo excesiva rigidez en la decisión de la Superintendencia y es necesario atender “las circunstancias de tiempo y modo de la presunta infracción, porque la sanción impuesta resulta desproporcionada”, siendo necesario aplicar “los criterios de razonabilidad y proporcionalidad, dado que la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada”.
En primer lugar, frente a la sentencia del Consejo de Estado de 2013 invocada por la recurrente, es de señalar que dicho fallo se enmarca dentro de una demanda de reparación directa impetrada por una ciudadana contra el MINISTERIO DE DEFENSA - EJÉRCITO NACIONAL para que a este se le declarara patrimonialmente responsable de los perjuicios causados por la muerte de su familia.
Téngase presente que la reparación directa es un medio de control previsto en el artículo 140 de la Ley 1437 de 2011 que se impetra contra el Estado y busca la reparación ante los daños antijurídicos ocasionados por la acción u omisión de agentes de este, por lo cual no tiene relación alguna con el objeto de una actuación administrativa de carácter sancionatorio, la cual es surtida por este Despacho de acuerdo con lo dispuesto en los artículos 47 a 52 y lo no previsto en ellos en la primera parte de la ley 1437 de 2011.
Además, el artículo 97 de la Ley 599 de 2000, que se indica en dicha sentencia de 2013, corresponde al Código Penal colombiano y este artículo hace referencia a la indemnización por daños en materia de responsabilidad civil derivada de la conducta punible. Adviértase que en materia de derecho administrativo sancionatorio la responsabilidad es subjetiva, que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 5.
En el caso concreto, este Despacho impuso una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. al encontrarse demostrado su actuar negligente en el cumplimiento del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, al acreditarse que suministró información desactualizada, errónea, inexacta y no comprobable al Encargado del Tratamiento, toda vez que el 5 de noviembre de 2019 le proporcionó información personal de la Titular para la gestión de cobranza de la obligación correspondiente a la cuenta hogar No. xxxxxxxxxx.
Frente a este hecho, en consideración a que desde el 7 de marzo de 2019 la recurrente informó a la Titular que en virtud de lo señalado frente a la posible suplantación, procedía a exonerarla de la obligación pendiente de pago, descontar todos los saldos facturados y suspender cualquier gestión de cobro, desde ese 7 de marzo de 2019 los datos de la Titular ya no debían estar siendo sometidos a Tratamiento por la recurrente respecto de la cuenta hogar No. xxxxxxxxxx.
Ahora bien, en lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: 5 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.
Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
De acuerdo con estos criterios de graduación, este Despacho, en primer lugar se refiere al previsto en el literal a) del artículo 24 de la Ley 1581 de 2012. Dentro de su marco, se encuentra que a lo largo de la presente investigación se demostró la infracción cometida por la recurrente, específicamente respecto del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, por la negligencia de la recurrente en suministrar información veraz, exacta, comprobable y actualizable a los Encargados del Tratamiento respecto de la obligación No. xxxxxxxxxx.
Así pues, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de las infracciones al Régimen General de Protección de Datos Personales se configuró un peligro a los interés del Titular contemplados en la Ley 1581 de 2012, de manera que sí se encontró demostrado en esta actuación administrativa la vulneración del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley que dieron lugar a la imposición de la sanción pecuniaria a través de la Resolución No. 78034 de 2021.
Ahora bien, este Despacho aclara a la recurrente que, para la disminución del monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23, le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del Tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.
Este artículo dispone: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.
Sobre la anterior norma, la Corte Constitucional en sentencia C-748/11 indicó: “Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].
En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: ‘El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.
Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;
(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria’. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.
En segundo lugar, la norma debe cumplir con los principios de proporcionalidad y razonabilidad, frente al cual el proyecto establece una serie de criterios en su artículo 24 para determinar la sanción aplicable, tales como: ‘a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar’[292].
En este sentido, se estima que existen los suficientes criterios para determinar la sanción específicamente imponible, los cuales han sido señalados por el propio proyecto de ley estatutaria”. Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA forma razonable y proporcionada, de modo en que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro los intereses jurídicos tutelados por la ley, ya que se demostró que la sociedad incumplió con el deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley.
Es de señalar que estas conductas de la recurrente conllevaron al desconocimiento del Régimen General de Protección de Datos Personales previsto en la Ley 1581 de 2012, el cual “(….) tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política (…)”.
Por su parte, el literal a) del artículo 24 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio puede imponer a título de sanción “[m]ultas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción (…)”, por lo cual para el año 2021 la sanción máxima por violación del régimen general de protección de datos personales ascendía a MIL OCHOCIENTOS DIECISIETE MIL CINCUENTA Y DOS MIL PESOS M/CTE ($ 1.817.052.000), teniendo en cuenta que para la vigencia 2021 el salario mínimo mensual legal vigente era de NOVECIENTOS OCHO MIL QUINIENTOS VEINTISÉIS PESOS M/CTE ($ 908.526).
Por su parte, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente”. (Se subraya fuera de texto) De acuerdo con las dos normas anteriores, el monto de la sanción del citado literal a) es hasta 2.000 salarios mínimos mensuales vigentes y su cálculo se determina en unidades de valor tributario – UVT, así el monto de la sanción máxima a imponer es de 2.000 SMML, equivalentes para el 2021 a cincuenta mil cuarenta y cinco (50.045) unidades de valor tributario – UVT6.
A partir del tope máximo que puede imponerse de acuerdo con el literal a) del artículo 24 de la Ley 1581 de 2012, la multa impuesta en la Resolución No. 78034 de 2021 de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000), equivalente a DOS MIL (2.000) UNIDADES DE VALOR TRIBUTARIO – UVT, corresponde al 4% de la sanción pecuniaria máxima que puede aplicar este Despacho.
En todo caso, es importante que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. tenga presente que al analizarse el caso y al revisarse el material probatorio, así como los argumentos de hecho y de derecho de la recurrente, no solo se encontró que para el caso es aplicable el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también para determinar el monto de la sanción se tiene en cuenta que no hubo lugar a aplicar otros agravantes o el atenuante previstos en el antedicho artículo, se analizó el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria. 6 La unidad de valor tributario – UVT para la vigencia 2021 era de treinta y seis mil trescientos ocho pesos ($ 36.308).
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
En este orden de ideas, en la imposición de la sanción por este Despacho a través de la Resolución No. 78034 de 2021 se garantizaron los principios de proporcionalidad y razonabilidad. 14.5 Respecto de las pretensiones La recurrente expone las razones de inconformidad respecto de la Resolución No. 78034 de 2021, solicitando que: (i) se revoque el acto administrativo recurrido, (ii) se disminuya la sanción impuesta y;
(iii) subsidiariamente, se conceda el recurso de apelación. Al respecto, al haberse confirmado la conducta negligente de la recurrente en el cumplimiento del deber consagrado en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, y al haberse analizado los criterios de proporcionalidad y razonabilidad en la graduación de la sanción, se encuentra que se calculó bajo los parámetros legales pertinentes y en vista del bien jurídico tutelado.
Así las cosas, no es procedente revocar la Resolución No. 78034 de 2021 y tampoco disminuir el monto de la sanción impuesta, por lo cual se confirmará en todas sus partes el acto administrativo recurrido.
DÉCIMO QUINTO: Conclusiones 15.1 Se confirma que la recurrente actuó negligentemente en el cumplimiento del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley. 15.2 La formulación de cargos se sustenta en las pruebas que son recaudadas en averiguaciones preliminares, de manera que los hechos precisos y claros que son expuestos en el acto administrativo de formulación de cargos tienen origen en esas evidencias. 15.3 La Superintendencia en ejercicio de su función investigadora prevista en el literal b) del artículo 21 de la Ley 1581 de 2012, para esclarecer los hechos que dieron lugar a los cargos formulados recauda y práctica pruebas, así como en garantía de los derechos de defensa y contradicción corre traslado para la presentación de descargos y de alegatos de conclusión, teniendo la investigada la posibilidad de aportar y/o solicitar pruebas. 15.4 Se garantizó el derecho de defensa y contradicción, del cual hacen parte el derecho al debido proceso, en cuanto este Despacho efectuó una exhaustiva valoración probatoria de las evidencias recaudadas y allegadas a esta investigación que llevaron a evidenciar que la recurrente sí suministro a los Encargados del Tratamiento información personal de la Titular para que adelantaran gestiones de cobro de la obligación en mora No. xxxxxxxxxx y quienes le remitieron mensajes de gestión de cobranza en noviembre de 2019 y el 26 de marzo de 2020, por lo cual la conducta por la que se sancionó a la recurrente no fue modificada en el acto administrativo recurrido. 15.5 No son de recibo ninguno de los argumentos expuestos por la recurrente respecto del deber previsto en el literal g) del artículo 17 de la Ley 1581 de 2012, en consideración a que en esta actuación administrativa dicho deber no ha sido objeto de investigación. Al no haberse formulado cargos por tal deber, no hay lugar a que se pronuncie este Despacho sobre él. 15.6 No se sancionó ni se le impartieron órdenes administrativas a la recurrente por motivos de no adoptar las medidas de técnicas, humanas y administrativas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información de los Titulares.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA 15.7 La Delegatura de Protección de Datos Personales en ejercicio de su potestad de vigilancia en el cumplimiento del Régimen de Protección de Datos Personales, despliega su facultad sancionatoria en los términos previstos en el artículo 21 de la Ley 1581 de 2012; de manera que, al demostrarse dentro de una actuación administrativa que el Responsable cometió o está cometiendo una infracción contra este régimen, es sancionado por esta autoridad administrativa. 15.8 En esta investigación no solo era aplicable para la tasación de la sanción el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también se tuvo en cuenta que no hubo lugar a aplicar otros agravantes o el atenuante previstos en el antedicho artículo, se analizó el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria.
DÉCIMO SEXTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, esta Dirección ha concedido el acceso al presente expediente digital a esta 7, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, notificacionesclaro@claro.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 78034 de 2021 por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, a través de su apoderada especial, entregándole copia de la misma.
ARTÍCULO CUARTO: COMUNICAR el contenido de la presente resolución al señora xxxxxxxxxx xxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xxxxxxxxxx. 7 El acceso al expediente digital se informó mediante la comunicación con radicado 19-250479-00029 del 7 de julio de 2021. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 08 MARZO 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente CARLOS ENRIQUE por CARLOS ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2022.03.08 10:52:42 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Entidad: COMUNICACIÓN CELULAR S.A. COMCEL S.A. Identificación: NIT 800.153.993-7 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxx Dirección: Carrera 68A No. 24B - 10 Ciudad: Bogotá Correo electrónico: notificacionesclaro@claro.com.co Apoderada especial: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxxx Dirección: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Ciudad: xxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxx COMUNICACIÓN: Señora: xxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxx8 8 La denunciante no informó dirección física para notificaciones.