Resolución sancionatoria N° 47342 de 2025

(18 de julio de 2025) “Por la cual se impone una sanción administrativa” Radicación 24-395529 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que en la Resolución N.° 79343 del 15 de diciembre 2023, expedida por la Dirección de Habeas Data, se ordenó lo siguiente: “ARTÍCULO 3. Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección para que determine si hay mérito o no para iniciar una investigación administrativa de carácter sancionatorio, dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1582 (sic) de 2012 por parte del BANCO DAVIVIENDA S.A.”1 SEGUNDO: Que en la parte motiva de la Resolución N.° 79343 del 15 de diciembre 2023, expedida por la Dirección de Habeas Data, se indicó lo siguiente: “Ahora bien, efectuada la valoración probatoria este Despacho encontró lo siguiente: 1.

La Titular acreditó que el 27 de marzo de 2023, el BANCO DAVIVIENDA S.A sin autorización divulgó su correo personal xxxxxxxxxxxxxxxxxxxxx. con xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx.. 2. i El BANCO DAVIVIENDA S.A: Afirmó que la comunicación del 27 de marzo de 2023, fue enviada a la Titular en su calidad de representante legal de CREDIYES SAS y a todos los correos electrónicos encontrados en el repositorio asociados a la dicha sociedad y a su representante legal; ii Acreditó mediante formato de vinculación del 7 de septiembre de 2021, que la Titular registró el correo electrónico xxxxxxxxxxxxxxxxxxxxx. y autorizó compartirlo con empresas del grupo Bolívar y aliados comerciales; iii Acreditó mediante formato de actualización del 12 de abril de 2023, que la sociedad CREDIYES SAS registró el correo electrónico xxxxxxxxxxxxxxxxxxxxxx; 1 Expediente digital 23-144597.

Resolución N.° 79343 del 15 de diciembre 2023. Folio 10. “Por la cual se impone una sanción administrativa” iv Acreditó que dejó asociado el correo electrónico xxxxxxxxxxxxxxxxxxxxx. a los productos de la Titular como cliente persona natural y el correo electrónico xxxxxxxxxxxxxxxxxxxxXX a la empresa de CREDIYES SAS. (…) Por lo anterior, el BANCO DAVIVIENDA S.A preliminarmente incumplió con el deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el artículo 2.2.2.25.2.2. del Decreto 1074 de 2015, por compartir el dato personal de la Titular con terceros no autorizados.” 2 TERCERO: Que el 28 de marzo de 2023 la Titular XXXXx XXXXXXXXX XXXX XXXXXXX identificada con cédula de ciudadanía N.º XxxxxxxxxxxX, presentó denuncia radicada bajo el radicado No.23-144597 contra la sociedad BANCO DAVIVIENDA S.A. con NIT. 860.034.313-7, por los siguientes hechos: 3.1.

La Titular manifiesta que el 27 de marzo de 2023, el BANCO DAVIVIENDA S.A. divulgó sin autorización su correo electrónico personal xxxxxxxxxxxxxxxxxxxxx.. Al respecto, la Titular afirma que el BANCO DAVIVIENDA S.A. envió un correo electrónico donde requería a la sociedad CREDIYES S.A.S. la actualización de datos y soportes. No obstante, en el correo enviado además del correo de notificación judicial de la sociedad, se encontraban los siguientes correos electrónicos: xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxx.. 3.2.

Como pruebas, la Titular allegó los siguientes documentos: • • • • Derecho de petición dirigido al BANCO DAVIVIENDA S.A. de fecha de 27 de marzo de 20233. Comunicado “Asunto: Actualización de datos y soportes” de fecha de 27 de marzo de 20234, enviado por el BANCO DAVIVIENDA S.A. y dirigido a la sociedad CREDIYES SAS. Respuesta brindada por la sociedad BANCO DAVIVIENDA S.A. al derecho de petición interpuesto por la Titular de fecha de 18 de abril de 20235.

Derecho de petición dirigido al BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 20236.

CUARTO: Que, dentro de la actuación administrativa adelantada por la Dirección de Habeas Data, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 4.1. Memorando de Traslado de Expediente; en Expediente digital, consecutivo número 0, página 2, folios 1 a 2. 4.2. Denuncia presentada por la Titular XXXXx XXXXXXXXX XXXX XXXXXXX, de fecha 28 de marzo de 2023; en Expediente digital, consecutivo número 0, página 2, folios 3 a 8. 4.3.

Oficio de solicitud de explicaciones realizado a la sociedad BANCO DAVIVIENDA S.A. de fecha de 10 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 9 a 10. 2 Expediente digital 23-144597. Resolución N.° 79343 del 15 de diciembre 2023. Folios 5 a 9. 3 Expediente digital. Consecutivo número 0. Página 2. Folios 4 a 5. 4 Expediente digital.

Consecutivo número 0. Página 2. Folios 6 a 8. 5 Expediente digital. Consecutivo número 0. Página 2. Folio 12. 6 Expediente digital. Consecutivo número 0. Página 2. Folios 13 a 15. “Por la cual se impone una sanción administrativa” 4.4. Complemento de información allegado por la Titular XXXXx XXXXXXXXX XXXX XXXXXXX, de fecha de 26 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 11 a 15. 4.5.

Respuesta de la sociedad BANCO DAVIVIENDA S.A. al requerimiento realizado, de fecha de 28 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 16 a 76. 4.6. Resolución N.° 79343 del 15 de diciembre de 2023, en Expediente digital, consecutivo número 0, página 2, folios 77 a 87. 4.7. Certificación de notificaciones de la Resolución N.° 79343 del 15 de diciembre de 2023, expedida por la Secretaría General Ad-Hoc de la consecutivo número 0, página 2, folio 88.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 27 de septiembre de 2024, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 56950 por medio de la cual, se formuló cargos en contra de la sociedad BANCO DAVIVIENDA S.A., con Nit. 860.034.313-7, por la presunta infracción de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

SEXTO: Que, la Resolución N.° 56950 del 27 de septiembre de 2024 le fue notificada mediante aviso N.° 23707 a la sociedad investigada, el 8 de octubre de 2024, de conformidad con la certificación con número de radicado 24395529- -8 de fecha de 8 de octubre de 2024, expedida por la Secretaría General AD-HOC de esta Superintendencia.

SÉPTIMO: Que encontrándose dentro del término establecido para el efecto, la sociedad BANCO DAVIVIENDA S.A. allegó escrito de descargos bajo consecutivos N.° 24-395529- -9 y 24-395529- -10 de fecha de 30 de octubre de 2024, argumentando, entre otras cosas, lo siguiente: Primero, la sociedad respecto de los hechos denunciados por la Titular aclara que la Titular se encuentra vinculada al Banco Davivienda como cliente persona natural desde el 7 de septiembre de 2021.

Adicionalmente, figura en las bases de datos de la entidad como representante legal de la empresa CrediYes S.A.S., conforme al formato de actualización de datos fechado el 12 de abril de 20237. El 27 de marzo de 2023, a raíz de una alerta originada en el marco de la actividad financiera ordinaria de CrediYes S.A.S., el Banco, en cumplimiento de sus deberes legales y sin haber recibido actualización alguna por parte de la Titular a través de los canales dispuestos para tal efecto, le remitió al correo electrónico asociado un comunicado titulado “SO-69 Solicitud de Información y Actualización de Datos Cliente”.

El propósito de dicha comunicación fue requerir la actualización y complementación de la información de la empresa, así como la entrega de documentos soporte e información adicional, todo ello en atención a la gestión de riesgos inherente a la actividad de las entidades vigiladas y de sus clientes.8 Segundo, la sociedad respecto al cargo imputado argumenta que la notificación dirigida al representante legal tuvo como finalidad la protección de intereses de orden público y la salvaguarda de la seguridad del sistema financiero.

En ese contexto, se justifica que el Banco utilice los datos de contacto previamente suministrados a través de los formularios autorizados, a fin de verificar la información pertinente tanto con la sociedad como con las personas naturales 7 Expediente digital. Consecutivo número 9. Página 11. Folio 2. 8 Expediente digital. Consecutivo número 9.

Página 11. Folio 2. “Por la cual se impone una sanción administrativa” que, en su calidad de representantes legales, pueden ser legítimamente contactadas para atender los requerimientos formulados.9 De igual forma, la sociedad establece que el deber de actualizar la información del cliente se deriva de la Circular Básica Jurídica Superintendencia Financiera de Colombia Parte I Título IV Capítulo IV10, y hace hincapié en que el proceso de actualización puede suponer el uso de datos igualmente autorizados para fines paralelos en actividades en que los clientes pueden realizar desde distintos roles.

Contexto que, sin duda, debe observarse bajo la necesidad de cumplimiento y de protección de un interés, como son los contextos de fraude, lavado de activos, corrupción u otros riesgos11. Así, la sociedad solicita que se valoren las actuaciones del Banco Davivienda en el marco de su naturaleza como entidad del sector financiero, el cual está sujeto no solo a la normativa general en materia de protección de datos personales, sino también a regulaciones especiales aplicables a dicha actividad.

En particular, resalta que deben considerarse las disposiciones relativas a condiciones de seguridad, necesidades de consulta y finalidades del tratamiento, contenidas en normas especiales como la Circular Única de la Superintendencia Financiera de Colombia.12. Tercero, la sociedad sostiene que no resulta aplicable el literal d) del artículo 17 de la Ley 1581 de 2012 al caso en cuestión, toda vez que el envío del correo electrónico referido se enmarca dentro de las obligaciones legales del Banco y responde a un interés prevalente, relacionado con la necesidad de ejecutar acciones especiales e inmediatas para mitigar riesgos.

En respaldo de lo anterior, se invoca la jurisprudencia de la Corte Constitucional, la cual ha exceptuado la aplicación estricta de dicha norma en escenarios orientados a la prevención, detección y monitoreo de actividades asociadas al lavado de activos, la financiación del terrorismo y fraudes que puedan derivar en dichos delitos. Asimismo, se destaca que el cumplimiento de la normativa especial aplicable al sector financiero impone a entidades como Davivienda la obligación de generar comunicaciones y activar protocolos destinados a la atención inmediata de este tipo de situaciones. 13 La sociedad resalta que, conforme a la Política de Tratamiento de Datos Personales de Davivienda, puesta a disposición tanto de la titular como de CrediYes S.A.S., el tratamiento de los datos tiene como finalidades, entre otras: la adecuada prestación de los servicios contratados; la consulta y verificación del comportamiento comercial, crediticio y financiero ante operadores de información autorizados por la Ley 1266 de 2008; la evaluación de riesgos contractuales; la realización de estudios de mercado; y el desarrollo e implementación de herramientas para la prevención del fraude, prácticas corruptas y el monitoreo del comportamiento financiero14.

Cuarto, la sociedad argumenta que el correo electrónico es un dato de naturaleza semiprivada, cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas -por ejemplo, al Banco Davivienda. En ese sentido, la sociedad recalca que en el presente caso es un dato que está directamente relacionado con la vinculación a los productos personales que la Titular tiene con Davivienda y, necesariamente, con aquellos que la Titular adquiera para las Compañías respecto de las cuales actúe en calidad de Representante Legal15. 9 Expediente digital.

Consecutivo número 9. Página 11. Folio 6. 10 Expediente digital. Consecutivo número 9. Página 11. Folios 6 a 7. 11 Expediente digital. Consecutivo número 9. Página 11. Folio 7. 12 Expediente digital. Consecutivo número 9. Página 11. Folio 8. 13 Expediente digital. Consecutivo número 9. Página 11. Folio 9. 14 Expediente digital. Consecutivo número 9.

Página 11. Folios 11 a 12. 15 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13. “Por la cual se impone una sanción administrativa” Quinto, la sociedad destaca que cuenta con un Programa Integral de Protección de Datos Personales, el cual constituye la base para el tratamiento de datos dentro de la organización. Este programa incluye un Manual de Protección de Datos Personales, una Política de Tratamiento de Datos Personales, así como diversas políticas y procedimientos orientados a garantizar la seguridad en la gestión de los activos de información y a prevenir posibles vulneraciones.

Asimismo, indica que dicho programa se encuentra alineado con las directrices establecidas en el Código de Ética del Grupo Bolívar, lo cual refuerza su enfoque preventivo en materia de seguridad y permite atender adecuadamente situaciones que involucren intereses superiores, como la prevención del fraude y el lavado de activos. 16 Sexto, la sociedad manifiesta que, ante la detección de una alerta por actividades inusuales relacionadas con la empresa CREDIYES S.A.S., se procedió a remitir la información pertinente a los correos electrónicos asociados a la compañía y, de manera excepcional, a aquellos vinculados directamente con su representante legal, en atención a la urgencia del caso.

Sostiene, además, que el envío del correo no generó un impacto significativo ni desproporcionado sobre la Titular, dado que los destinatarios del mensaje ya conocían la dirección electrónica utilizada y el contenido del mensaje se limitaba a un formulario de naturaleza empresarial, sin incluir datos personales sensibles que pudieran afectar los derechos de la Titular. 17 Por último, la sociedad solicita que se ordene el archivo de la investigación iniciada mediante la Resolución N.° 56950 del 27 de septiembre de 2024, adelantada en contra del Banco Davivienda S.A. 18 Subsidiariamente, pide que se valoren las medidas de debida diligencia adoptadas por la entidad, así como la aplicación del principio de responsabilidad demostrada (Accountability), evidenciadas tanto en la atención oportuna a la Titular como en la implementación de un Programa Integral de Protección de Datos Personales conforme con la normativa vigente y la naturaleza de sus operaciones19.

Adicionalmente, solicita que se tenga en cuenta el tipo de información compartida, la ausencia de un daño irreparable a la Titular, y que, en lugar de una sanción, se evalúe la posibilidad de impartir instrucciones al Banco encaminadas a fortalecer su programa de gestión de datos personales20.

OCTAVO: Que mediante Resolución N.º 76476 de 4 de diciembre de 2024, ésta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 24-395529, con el valor legal correspondiente: 8.1. Memorando de traslado; obrante en el expediente digital, consecutivo número 0, página 2, folios 1 a 2. 8.2. Denuncia presentada por la Titular el día 28 de marzo de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 3; donde se aportan los siguientes anexos: 8.2.1.

Escrito de la denuncia; obrante en el expediente digital, consecutivo número 0, página 2, folios 4 a 5. 8.2.2. Comunicación dirigida a la sociedad CREDIYES S.A.S. enviada el 27 de marzo de 2023 por la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 0, página 2, folios 6 a 8. 16 Expediente digital. Consecutivo número 9.

Página 11. Folios 13 a 15. 17 Expediente digital. Consecutivo número 9. Página 11. Folio 16 a 17. 18 Expediente digital. Consecutivo número 9. Página 11. Folio 19. 19 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13. 20 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13. “Por la cual se impone una sanción administrativa” 8.3.

Solicitud de explicaciones realizada el 10 de abril de 2023 a la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 0, página 2, folios 9 a 10. 8.4. Complemento de información remitido por la titular el 26 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 11; donde se aportan los siguientes anexos: 8.4.1.

Respuesta brindada por la sociedad BANCO DAVIVIENDA S.A. a la Titular de fecha de 18 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 12. 8.4.2. Reclamación interpuesta por la Titular ante la sociedad BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folios 13 a 15. 8.5.

Respuesta otorgada por la sociedad BANCO DAVIVIENDA S.A. el 28 de abril de 2023 a la solicitud de explicaciones; obrante en el expediente digital, consecutivo número 0, página 2, folio 16, donde se aportan los siguientes anexos: 8.5.1. Escrito de respuesta a la solicitud de explicaciones; obrante en el expediente digital, consecutivo número 0, página 2, folios 17 a 27. 8.5.2.

Formato NIC “Nos interesa conocerlo” (Persona natural) diligenciado el 7 de septiembre de 2021; obrante en el expediente digital, consecutivo número 0, página 2, folios 28 a 30. 8.5.3. Formato de actualización de datos (Persona Jurídica) diligenciado 12 de abril 2023; obrante en el expediente digital, consecutivo número 0, página 2, folios 31 a 36. 8.5.4.

Formato de vinculación inicial de la sociedad CREDIYES S.A.S.; obrante en el expediente digital, consecutivo número 0, página 2, folio 37 a 41. 8.5.5. Certificado de existencia y representación legal de la sociedad CREDIYES S.A.S. obrante en el expediente digital, consecutivo número 0, página 2, folios 42 a 47. 8.5.6. Soporte del aplicativo 360 clientes Davivienda de la reclamación presentada por la Titular el 11 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 48. 8.5.7.

Soporte de la respuesta brindada a la Titular el 18 de abril respecto de una reclamación interpuesta; obrante en el expediente digital, consecutivo número 0, página 2, folios 49 a 50. 8.5.8. Loc de eliminación y actualización del correo electrónico xxxxxxxxxxxxxxxxxxxxx.; obrante en el expediente digital, consecutivo número 0, página 2, folio 51. 8.5.9.

Loc de eliminación y actualización del correo electrónico xxxxxxxxxxxxxxxxxxxxXXXX; obrante en el expediente digital, consecutivo número 0, página 2, folio 52. 8.5.10. Política de Tratamiento de Datos Personales de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 0, página 2, folios 53 a 76. 8.6. Resolución N.° 79343 de 15 de diciembre de 2023 “Por la cual se archiva una actuación administrativa”, expedida dentro de la actuación “Por la cual se impone una sanción administrativa” adelantada por la Dirección de Hábeas Data; obrante en el expediente digital, consecutivo número 0, página 2, folios 77 a 87. 8.7.

Certificación de notificación de la Resolución N.° 79343 de 15 de diciembre de 2023 emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio de fecha de 24 de enero de 2024; obrante en el expediente digital, consecutivo número 0, página 2, folio 88. 8.8. Escrito de descargos presentado por la sociedad BANCO DAVIVIENDA S.A. el 30 de octubre del 2024; obrante en el expediente digital, consecutivo número 9, donde se aportan los siguientes anexos: 8.8.1.

Certificado de existencia y representación legal de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 2. 8.8.2. Formato NIC “Nos interesa conocerlo” (Persona natural) diligenciado el 7 de septiembre de 2021; obrante en el expediente digital, consecutivo número 9, página 3. 8.8.3. Formato de actualización de datos (Persona Jurídica) diligenciado 12 de abril 2023; obrante en el expediente digital, consecutivo número 9, página 4. 8.8.4.

Comunicación dirigida a la sociedad CREDIYES S.A.S. enviada el 27 de marzo de 2023 por la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 5. 8.8.5. Reclamación interpuesta por la Titular ante la sociedad BANCO DAVIVIENDA S.A. de fecha de 27 de marzo de 2023; obrante en el expediente digital, consecutivo número 9, página 6. 8.8.6.

Reclamación interpuesta por la Titular ante la sociedad BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 2023; obrante en el expediente digital, consecutivo número 9, página 7. 8.8.7. Política de Tratamiento de Datos Personales de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 8. 8.8.8.

Código de Ética de la Familia Bolívar; obrante en el expediente digital, consecutivo número 9, página 9. 8.8.9. Manual de Protección de Datos Personales de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 10. 8.8.10. Escrito de descargos; obrante en el expediente digital, consecutivo número 9, página 11 8.8.11.

Estados financieros de la sociedad BANCO DAVIVIENDA S.A. de los años 2021, 2022, 2023; obrantes en el expediente digital, consecutivo número 10, páginas 2, 3, y 4.

NOVENO: Que, la Resolución N.º 76476 de 4 de diciembre de 2024 le fue comunicada el día 4 de diciembre de 2024 al Representante Legal de la investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia, obrante en el expediente, bajo el radicado N.º 24-395529- -14 de fecha de 11 de diciembre de 2024.

DÉCIMO: Que el BANCO DAVIVIENDA S.A. presentó escrito alegatos de conclusión mediante radicado N.° 24-395529- -15, reiterando lo argumentado en su escrito de descargos. “Por la cual se impone una sanción administrativa”

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201121, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta la denuncia interpuesta por el Titular, el escrito de descargos presentados por la sociedad y el conjunto de pruebas obrantes en el expediente. 12.2 Valoración probatoria 12.2.1.

Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Frente a este deber, el literal d) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: Ley 1581 de 2012 “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 21 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción administrativa” (…). d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…). Así mismo, dentro de los principios rectores establecidos en la norma se encuentran los siguientes: Ley 1581 de 2012 “Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…). f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;(…).” En esta medida, es claro que los Responsables deben cumplir con las medidas de seguridad necesarias para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales de los titulares.

En el presente caso, la Titular en la denuncia interpuesta el 27 de marzo de 2023 indicó que el BANCO DAVIVIENDA S.A. divulgó sin autorización su correo electrónico personal xxxxxxxxxxxxxxxxxxxxx.. Al respecto, la Titular afirmó: “El veintisiete (27) de marzo de 2023, a través del correo electrónico soportesoperaciones@davivienda.com, se remitió un correo corporativo dirigido a CREDIYES S.A.S., sociedad que represento legalmente, mediante el cual se requiere actualización de datos y soportes.

El requerimiento también fue enviado a diferentes correos electrónicos que no tienen ninguna relación con la sociedad que represento, sin embargo, la comunicación con destino a CREDIYES S.A.S., bajo solicitud SO-69, fue radicada en los correos electrónicos: xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxXXXx. xxxxxxxxxxxxxxxxxxxx., Lo anterior, a pesar que la empresa tiene designado en el certificado de existencia y representación legal, como correo de notificaciones xxxxxxxxxxxxxxxxxxxxxxxx.” 22 Para sustentar lo anterior, la titular remitió los siguientes documentos: • Derecho de petición dirigido al BANCO DAVIVIENDA S.A. de fecha de 27 de marzo de 202323. 22 Expediente digital.

Consecutivo número 0. Página 2. Folios 6 a 8. 23 Expediente digital. Consecutivo número 0. Página 2. Folios 4 a 5. “Por la cual se impone una sanción administrativa” • Comunicado “Asunto: Actualización de datos y soportes” de fecha de 27 de marzo de 202324, enviado por el BANCO DAVIVIENDA S.A. y dirigido a la sociedad CREDIYES SAS, donde se visualiza lo siguiente: • Respuesta brindada por la sociedad BANCO DAVIVIENDA S.A. al derecho de petición interpuesto por la Titular de fecha de 18 de abril de 202325.

Derecho de petición presentado por la Titular y dirigido al BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 202326, donde se evidencia lo siguiente: • “¿Cuál es el motivo del tercero en obtener la información? Identificar nombre de quien recibió la información, cuál es la causa de la consulta, si esta persona tiene relación con el Banco Davivienda o si es funcionario? El requerimiento fue enviado a diferentes correos electrónicos que no tienen ninguna relación con la sociedad que represento, sin embargo, la comunicación con destino a CREDIYES S.A.S., bajo solicitud SO-69, fue radicada en los correos electrónicos: xxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx.

¿Pruebas cómo, llamadas, pantallazos, conversaciones de WhatsApp? 24 Expediente digital. Consecutivo número 0. Página 2. Folios 6 a 8. 25 Expediente digital. Consecutivo número 0. Página 2. Folio 12. 26 Expediente digital. Consecutivo número 0. Página 2. Folios 13 a 15. “Por la cual se impone una sanción administrativa” Con fundamento en lo anterior, la Dirección de Habeas Data de esta Superintendencia, requirió al BANCO DAVIVIENDA S.A. mediante oficio con número de radicado 23-144597- -3 del 10 de abril de 2023 para que, entre varias cuestiones, la sociedad se pronunciara sobre los hechos objeto de la denuncia instaurada por la Titular27.

El BANCO DAVIVIENDA S.A. mediante comunicación radicada bajo número 23-144597- -5 del 28 de abril de 2023 afirmó que: “Después de realizar las validaciones correspondientes en nuestras bases de datos, evidenciamos que la señora XXXXx XXXXXXXXX XXXX XXXXXXX, identificada con cédula de ciudadanía No. XxxxxxxxxxxX, es cliente persona natural en nuestra entidad, Banco Davivienda S.A., como titular de los siguientes productos: La primera vinculación de la señora XXXXx XXXXXXXXX XXXX XXXXXXX, identificada con cédula de ciudadanía No. XxxxxxxxxxxX, como cliente del Banco, fue el 07 de septiembre de 2021, a través de la apertura de la cuenta de ahorros número XXXXXXXXXXXXXXx (asociada a la dirección de correo electrónico xxxxxxxxxxxxxxxxxxxxx., tal como consta en el Formato “Nos Interesa Conocerlo” “NIC”, adjunto a esta comunicación Anexo No.1.

Adicionalmente, la Señora XXXXx XXXXXXXXX XXXX XXXXXXX es la actual representante legal de CREDIYES S.A.S identificada con NIT 9013881310, empresa que es cliente persona jurídica del Banco Davivienda como se puede constatar en el formato de Vinculación, adjunto a esta comunicación Anexo No.2., en donde se relacionan los distintos datos personales, entre estos el correo electrónico xxxxxxxxxxxxxxxXXXxxxxx. y donde se evidencia la actualización de datos realizada por la Señora XXXXx XXXXXXXXX XXXX XXXXXXX el pasado 12 de abril de 2023.

Ahora bien, es importante mencionar que en el formato de vinculación inicial de la empresa de la empresa CREDIYES SAS NIT 9013881310, Anexo No.3, se encuentra registrado el correo electrónico: xxxxxxxxxxxxxxxxxx, quien es una de las representante legales de esta empresa, tal como consta en su certificado de existencia y representación legal, Anexo No.4. 27 Expediente digital.

Consecutivo número 0. Página 2. Folio 10. “Por la cual se impone una sanción administrativa” En lo que respecta, al correo electrónico xxxxxxxxxxxxxxxxxxxx., este fue registrado por XXXXx XXXXXXXXX XXXX XXXXXXX, en su calidad de representante legal de la empresa CREDIYES SAS en el portal PYME del Banco Davivienda, tal y como se puede constar en el siguiente log: A manera de conclusión, se evidencia que la Señora XXXXx XXXXXXXXX XXXX XXXXXXX es cliente persona natural del Banco Davivienda y representante legal de la empresa CREDIYES SAS y con ambos productos mantiene hasta el momento una relación jurídica y contractual vigente con el Banco Davivienda.” 28 Asimismo, la sociedad aportó, entre otros, los siguientes documentos: • Formato NIC (Nos Interesa Conocerlo) del 28 de mayo de 201229, en el cual se evidencia lo siguiente: • Formato actualización de datos 12 de abril 2023 de la empresa CREDIYES SAS NIT 901388131030, en el cual se evidencia lo siguiente: 28 Expediente digital.

Consecutivo número 0. Página 2. Folios 17 a 18. 29 Expediente digital. Consecutivo número 0. Página 2. Folios 28 a 30. 30 Expediente digital. Consecutivo número 0. Página 2. Folios 31 a 36. “Por la cual se impone una sanción administrativa” • Formato de vinculación inicial de la empresa CREDIYES SAS NIT 901388131031, en el cual se evidencia lo siguiente: Por lo tanto, de acuerdo a los elementos allegados al expediente la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia, mediante Resolución N°. 56950 de 27 de septiembre de 2024, decidió formular pliego de cargos en contra del BANCO DAVIVIENDA S.A., por la presunta infracción de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, toda vez que la sociedad “utilizó el correo electrónico personal suministrado por la Titular en su calidad de cliente persona natural, para remitir información dirigida a la empresa CREDIYES SAS sin que mediara la autorización de la Titular para compartir su información de contacto con terceros.”32.

Al respecto, la sociedad allegó escrito de descargos bajo consecutivos N.° 24395529- -9 y 24-395529- -10 de fecha de 30 de octubre de 2024, aclarando que “El día 27 de marzo de 2023, el Banco Davivienda por una alerta que se originó en la actividad financiera ordinaria de la Sociedad CrediYes S.A.S., procedió a remitir correo personal a la Titular, quién en ese momento fungía en los registros del Banco como Representante Legal de dicha Sociedad”33, e indicando que: “esta notificación al Representante Legal se realiza con el fin de salvaguardar intereses de orden público y seguridad del sector financiero.

Contexto que justifica 31 Expediente digital. Consecutivo número 0. Página 2. Folios 37 a 41. 32 Resolución N°. 24264 de 16 de mayo de 2024. Folio 8. 33 Expediente digital. Consecutivo número 9. Página 11. Folio 2. “Por la cual se impone una sanción administrativa” que el Banco acuda a datos de contacto que han sido entregados a Davivienda bajo formatos autorizados y que le permiten al Banco poder verificar la información que sea necesaria con la Sociedad y/o con aquellas personas naturales que por tener facultades de representación legal pueden ser contactadas, para atender cualquier solicitud Para el caso en concreto, entre otras normas, la entidad vigilada debe dar aplicación a la Circular Básica Jurídica Superintendencia Financiera de Colombia Parte I Título IV Capítulo IV” 34 En relación con el asunto, este Despacho resalta que la Resolución N.° 56950 del 27 de septiembre de 2024, definió de manera precisa la conducta que se estima infractora del Régimen de Protección de Datos Personales.

Si bien la sociedad intenta justificar el uso del correo electrónico personal de la Titular, lo cierto es que la transgresión no se configura por el simple uso de dicho medio, sino por el hecho de que tal actuación permitió que la información de contacto de la Titular fuera conocida por terceros no autorizados. Así, en virtud de lo dispuesto en la Ley 1581 de 2012, los responsables del tratamiento de datos personales tienen el deber de implementar medidas de seguridad administrativas, técnicas y jurídicas adecuadas, para proteger la información de los titulares, a fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En este caso, el incumplimiento de dicho deber se configura en la omisión de salvaguardar la confidencialidad de los datos de contacto de la Titular, lo cual constituyó una vulneración del Régimen de Protección de Datos Personales. Ahora bien, la sociedad también sostiene que la presunta utilización y divulgación sin autorización del correo electrónico personal de la Titular no configura una infracción al literal d) del artículo 17 de la Ley 1581 de 2012.

Aduce que, en atención a las obligaciones especiales que rigen al sector financiero, particularmente aquellas orientadas a la prevención y detección del lavado de activos, financiación del terrorismo y fraude, el tratamiento de los datos personales en este caso se encuentra exceptuado de la aplicación estricta de dicha norma35. Por lo anterior, este Despacho considera pertinente entrar a analizar el ámbito de aplicación de la norma.

La ley 1581 de 2012 en su artículo segundo, el cual establece: “Artículo 2. Ámbito de Aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley; b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; 34 Expediente digital.

Consecutivo número 9. Página 11. Folio 6. 35 Expediente digital. Consecutivo número 9. Página 11. Folio 9. “Por la cual se impone una sanción administrativa” c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) A las bases de datos y archivos de información periodística y otros contenidos editoriales; e) A las bases de datos y archivos regulados por la Ley 1266 de 2008; f) A las bases de datos y archivos regulados por la Ley 79 de 1993.

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley” Cómo se evidencia, la norma establece que el régimen de protección de datos personales contenido en la Ley 1581 de 2012 no será de aplicación a las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.

En el presente caso, este Despacho evidencia que el correo electrónico de la Titular fue recolectado por la sociedad a través del Formato NIC (Nos Interesa Conocerlo)36, en el cual se evidencia lo siguiente: En este orden de ideas, se advierte que los datos personales de la Titular fueron recolectados por la sociedad en su calidad de persona natural cliente de la entidad financiera, en el marco de una relación contractual de carácter comercial o crediticio.

Bajo este entendido, este Despacho estima que dicha información no forma parte de una base de datos cuya finalidad principal sea la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo. Debe recordarse que, las bases de datos destinadas a la prevención y control del lavado de activos y la financiación del terrorismo, se caracterizan por estar integradas por información recolectada específicamente con ese propósito, bajo protocolos especiales de confidencialidad, acceso restringido y sujeción a medidas de seguridad reforzadas.

Tales bases de datos generalmente contienen reportes de operaciones sospechosas, información consolidada de riesgos, patrones inusuales de comportamiento financiero o datos obtenidos en el cumplimiento de obligaciones de debida diligencia. En contraste, la información de contacto suministrada por un cliente para efectos de la contratación de productos o servicios financieros ordinarios, tales como la apertura de cuentas o la solicitud de créditos, no constituye, por sí misma, parte de una base de datos destinada exclusivamente a actividades de 36 Expediente digital.

Consecutivo número 0. Página 2. Folios 28 a 30. “Por la cual se impone una sanción administrativa” prevención o monitoreo de delitos financieros. Por lo tanto, su tratamiento se encuentra regido por los principios generales de la Ley 1581 de 2012, particularmente los de seguridad, confidencialidad y acceso y circulación restringida, sin que pueda entenderse que toda la información contenida en las bases de datos de clientes financieros sea, per se, objeto de excepción frente al régimen general de protección de datos personales.

Adicionalmente, y en gracia de discusión, este Despacho destaca que, aun en el evento de que los datos de la Titular obraran en una base de datos destinada a la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo, ello no eximiría al responsable, del cumplimiento de los principios rectores en materia de protección de datos personales.

En efecto, la Ley 1581 de 2012 en su artículo 2 establece de manera expresa que "los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo", lo que implica que la recolección, tratamiento y circulación de datos debe, en todo caso, respetar los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

Así, en el presente caso, independientemente del tipo de base de datos a la que pertenezcan los datos personales de la titular XXXXx XXXXXXXXX XXXX XXXXXXX, la sociedad está obligada a garantizar el cumplimiento de los principios de acceso y circulación restringida, seguridad y confidencialidad, consagrados en el artículo 4 de la Ley 1581 de 2012, cuyo contenido se transcribe parcialmente a continuación: Artículo 4.

Principios Para El Tratamiento De Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

La observancia estricta de estos principios no constituye una opción discrecional para las organizaciones, sino que resulta en una obligación legal ineludible impuesta desde el marco constitucional y legal colombiano en materia de protección de datos personales. La sociedad, como Responsable del Tratamiento, debe implementar medidas concretas y verificables que aseguren el respeto integral de los derechos de los titulares, independientemente de la categoría de base de datos en que se encuentren registrados sus datos “Por la cual se impone una sanción administrativa” personales.

Al respecto, la Corte Constitucional en la sentencia C-748 de 2011 indicó: “2.4.5.4. Constitucionalidad del literal b): la excepción “las bases de datos o archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo” 2.4.5.4.1.

Como se indicó en la sentencia C-251 de 2002, “[u]na de las finalidades básicas de las autoridades colombianas es la defensa de la integridad nacional y la preservación del orden público y de la convivencia pacífica, no sólo porque así lo establece expresamente el artículo 2º de la Carta, sino además porque esos elementos son condiciones materiales para que las personas puedan gozar de sus derechos y libertades”.

Las labores de defensa y seguridad, a diferencia de las de inteligencia y contrainteligencia –como se verá más adelante- tienen lugar con ocasión de la existencia de amenazas actuales y graves contra el orden público y la soberanía, y solamente pueden ser ejecutadas por la Fuerza Pública. Amenazas de tal magnitud justifican el tratamiento de datos personales para los propósitos de defensa y seguridad nacional; es más, esta Corporación ha indicado que el tratamiento de datos personales para esos propósitos “(…) es un elemento importante para el logro de sus fines constitucionales de mantenimiento del orden constitucional y de las condiciones necesarias para el ejercicio adecuado de los derechos y libertades previstos en la Carta”, es decir, se trata de una herramienta importante de la que disponen las autoridades para cumplir sus funciones de defensa.

Sin embargo, como lo ha indicado esta Corporación, la defensa del orden público y de la integridad de la soberanía no pueden servir de excusa para desconocer las garantías básicas del estado social de derecho e implementar un estado totalitario en el que las personas se conviertan en objetos al servicio del Estado. Por ello, toda labor de seguridad y defensa nacional debe ser compatible con la dignidad y los derechos fundamentales de las personas que puedan resultar afectadas.” 37 (Subrayado y negrilla fuera del texto original) Así, en virtud de lo expuesto por la Corte Constitucional, se concluye que si bien el tratamiento de datos personales con fines de defensa y seguridad nacional constituye una herramienta legítima y necesaria para la protección del orden público, la soberanía y la convivencia pacífica, dicha facultad no puede entenderse como absoluta ni desprovista de límites.

La excepción consagrada en el literal b) del artículo en estudio se encuentra sujeta a los principios establecidos en la Ley 1581 de 2012, lo que implica que las autoridades y las sociedades responsables del tratamiento de Datos Personales de los titulares deben garantizar, en todo momento, que la recolección, uso y conservación de los datos personales se ajuste a los fines constitucionales que persiguen y que no se traduzca en una afectación desmedida o arbitraria de los derechos fundamentales de los titulares.

En consecuencia, de acuerdo al análisis realizado, no resulta procedente aplicar, en este caso, la excepción prevista para bases de datos especializadas en prevención de actividades ilícitas, ni puede considerarse que dicha excepción implica, una dispensa general del cumplimiento de los principios y obligaciones establecidos en el Régimen de Protección de Datos Personales.

Por otra parte, la sociedad argumenta que la dirección de correo electrónico constituye un dato de naturaleza semiprivada38 y que, en el presente caso, “se procedió a remitir la información a los correos asociados a la Compañía y de manera excepcional, a aquellos correos asociados directamente al representante legal, esto al tratarse de un caso urgente de alerta por actividad inusuales detectada respecto de la Sociedad CrediYes S.A.S.”.

Asimismo, la sociedad sostiene que: 37 Corte Constitucional. Sentencia C-748 de 6 de octubre de 2011. Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. 38 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13. “Por la cual se impone una sanción administrativa” “no se evidencia un impacto considerable o desproporcionado a la Titular con el envío del correo electrónico por parte de Davivienda, esto dado que los correos con los cuales se compartió el dato semiprivado correspondiente a la dirección de correo electrónico de la Titular le eran conocidos y, que el tipo de información que contenía el correo electrónico era un formulario de carácter empresarial y no información de carácter personal que pudiera afectar a la Titular” 39 En relación con lo anterior, este Despacho considera pertinente enfatizar que, si bien el envío del correo electrónico por parte del BANCO DAVIVIENDA S.A. tuvo un carácter excepcional, ello no exime a la entidad de su responsabilidad, ni permite restar importancia al impacto generado; resulta evidente, a partir del acervo probatorio, que se configuró una infracción al Régimen de Protección de Datos Personales.

En efecto, se constató que la sociedad remitió, el día 27 de marzo de 202340, un mensaje con el asunto “Actualización de datos y soportes” a los correos electrónicos xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx., como se detalla a continuación. Como consecuencia de lo anterior, los titulares de las cuentas de correo electrónico xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx. y xxxxxxxxxxxxxxxxxxxx. accedieron de forma no autorizada a la dirección de correo personal de la titular XXXXx XXXXXXXXX XXXX XXXXXXX, sin que existiera consentimiento previo, expreso e informado que habilitara dicha divulgación. Tal como fue manifestado por la Titular en su denuncia, “se divulgó mi correo de uso personal xxxxxxxxxxxxxxxxxxxxx., el cual nunca ha sido autorizado para ser transferido o difundido bajo ningún concepto, situación que ha vulnerado mis derechos contemplados en la Ley 1266 de 2008”41.

De conformidad con la autorización otorgada por la Titular mediante el Formato NIC (Nos Interesa Conocerlo)42, se advierte que su consentimiento fue limitado exclusivamente a las siguientes finalidades: (ESPACIO EN BLANCO) 39 Expediente digital. Consecutivo número 9. Página 11. Folio 16 a 17. 40 Expediente digital. Consecutivo número 0.

Página 2. Folios 6 a 8. 41 Expediente digital. Consecutivo número 0. Página 2. Folio 5. 42 Expediente digital. Consecutivo número 0. Página 2. Folios 28 a 30. “Por la cual se impone una sanción administrativa” En efecto, la Titular únicamente autorizó el tratamiento de sus datos personales por parte de BANCO DAVIVIENDA S.A., FIDUCIARIA DAVIVIENDA S.A., CORREDORES DAVIVIENDA S.A. COMISIONISTAS DE BOLSA, y por quienes en el futuro ostenten la calidad de acreedores de las obligaciones por ella contraídas, con el fin de ser utilizados en labores de cobranzas y para adelantar gestiones de cobro y recaudo de las mencionadas obligaciones.

En ningún caso dicha autorización contempló la posibilidad de divulgar sus datos personales a terceros ajenos, ni para fines relacionados con la sociedad CrediYes S.A.S. En este contexto, si bien la sociedad sostiene que la divulgación de la dirección de correo electrónico de la titular XXXXx XXXXXXXXX XXXX XXXXXXX obedeció al cumplimiento de disposiciones previstas en la Circular Básica Jurídica de la Superintendencia Financiera de Colombia (Parte I, Título IV, Capítulo IV), dicha circunstancia no la exonera del deber de garantizar el pleno respeto de los principios y obligaciones contenidos en la Ley 1581 de 2012.

La sujeción a la normativa del sector financiero no puede invocarse como una justificación válida para desconocer el régimen general de protección de datos personales ni para vulnerar los derechos fundamentales de los titulares, particularmente los derechos a la intimidad y al habeas data. En virtud de lo anterior, la sociedad tenía la obligación de armonizar el cumplimiento de ambas normativas, de modo que el tratamiento de la información se realizara exclusivamente con base en las finalidades autorizadas, garantizando su reserva y evitando la divulgación a terceros no autorizados.

En el presente caso, la utilización y divulgación del correo electrónico personal de la titular, sin que mediara un consentimiento previo, expreso e informado, constituye una infracción directa a los principios rectores del tratamiento de datos personales y una afectación ilegítima de sus derechos fundamentales. Adicionalmente, no es jurídicamente admisible que la sociedad pretenda sustentar la utilización del correo electrónico personal de la titular en la existencia de una relación contractual previa, en calidad de cliente persona natural, cuando el tratamiento de la información tuvo lugar en el marco de una relación jurídica distinta, en la cual la titular actuaba como representante legal de una persona jurídica.

Esta circunstancia no habilita a la sociedad para disponer de sus datos personales con propósitos ajenos a los autorizados ni para “Por la cual se impone una sanción administrativa” compartir dicha información con terceros sin su consentimiento, máxime cuando la finalidad para la cual se recaudó la información no guarda relación con la gestión desarrollada por la sociedad CREDIYES S.A.S. Sobre este particular, la Corte Constitucional, en la Sentencia C-748 de 2011, ha sido enfática en resaltar la obligatoriedad de respetar los principios de circulación restringida, seguridad y confidencialidad, pilares esenciales del régimen de protección de datos personales en Colombia.

La Corte señala que: 2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aun cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos. 2.6.5.2.7.

Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. (…) Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.

Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. (…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria. 2.6.5.2.8.

Principio de confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” (Subrayado y negrilla fuera del texto original) En concordancia con lo señalado por la Corte Constitucional en la Sentencia C748 de 2011, el tratamiento de los datos personales debe adelantarse con estricto apego a los principios de circulación restringida, seguridad y confidencialidad, los cuales constituyen pilares fundamentales del Régimen de Protección de Datos Personales en Colombia.

En virtud del principio de circulación restringida, la información personal solo puede ser tratada por personas autorizadas por el titular o habilitadas legalmente, estando prohibida su difusión indiscriminada, especialmente en entornos digitales, salvo que existan controles técnicos que garanticen el acceso restringido. Por su parte, el principio de seguridad impone a los responsables y encargados del tratamiento “Por la cual se impone una sanción administrativa” la obligación de implementar medidas técnicas, humanas y administrativas eficaces que prevengan el acceso, uso, consulta, adulteración o pérdida no autorizada de los datos personales.

Finalmente, el principio de confidencialidad exige a toda persona que intervenga en el tratamiento de datos no públicos garantizar la reserva de la información, incluso después de finalizada su relación con la actividad que dio lugar al tratamiento, y únicamente podrá comunicarla en los casos autorizados por la ley. A partir de lo expuesto, se configura una vulneración directa a los principios de acceso y circulación restringida, de seguridad y de confidencialidad, consagrados en la Ley 1581 de 2012.

El principio de acceso y circulación restringida establece que el tratamiento de los datos personales debe realizarse exclusivamente por personas autorizadas y dentro de los fines legítimos previstos por la ley. Este principio se ve transgredido cuando se permite el acceso o la divulgación no autorizada de datos personales, como ocurrió en el presente caso, en el que fue revelada la dirección de correo electrónico personal de la Titular sin su consentimiento previo, expreso e informado.

Por su parte, el principio de seguridad exige la adopción de mecanismos que garanticen la integridad y reserva de la información tratada; en este caso, la omisión de medidas básicas, como el uso de la opción de copia oculta (CCO) al momento de remitir la comunicación electrónica, constituye una infracción sustancial de dicho deber legal. De igual forma, la ausencia de controles que impidieran el acceso indebido a la información evidencia un incumplimiento grave de las obligaciones legales en cabeza de la sociedad.

En conclusión, este Despacho encuentra probado que la sociedad BANCO DAVIVIENDA S.A. divulgó y circuló información personal de contacto de la Titular con terceros no autorizados, por cuanto utilizó el correo electrónico personal suministrado por la Titular, en su calidad de cliente persona natural del banco, para remitir información dirigida a la empresa CREDIYES SAS sin que mediara autorización alguna de la Titular para compartir dicha información con terceros.

En consecuencia, se constata que la sociedad incurrió en una divulgación indebida de datos personales, vulnerando de manera directa los principios y deberes legales que rigen el tratamiento de la información personal en el ordenamiento jurídico colombiano. Por lo anterior, se evidencia un incumplimiento el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, obligación establecida en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

En consecuencia, este Despacho procederá a imponer la sanción correspondiente. Ahora bien, la sociedad enfatiza que cuenta con un Programa Integral de Datos Personales que sirve como base para el desarrollo de las actividades de tratamiento de datos personales dentro de la organización43. Al respecto indica que: “Este programa integra un Manual de Protección de Datos Personales (Anexo 8) aprobado por la alta dirección, una Política de Tratamiento de Datos Personales (Anexo 7), entre otros documentos que integran distintas políticas y procedimientos específicos para la seguridad en la gestión de los activos de información, protección y prevención de la información. (…) vale la pena mencionar que el Programa Integral de Protección de Datos de Davivienda, también se encuentra soportado desde las directrices del Código de Ética del Grupo Bolívar (Anexo 10) que al final, genera un sustento adicional en materia de seguridad, pues este establece directrices aplicables a la necesidad de 43 Expediente digital.

Consecutivo número 9. Página 11. Folios 11 a 13. “Por la cual se impone una sanción administrativa” atender intereses superiores a los individuales, respecto a contextos y/o posibles escenarios de fraude y/o lavado de activos.” 44 Para respaldar lo anterior, la sociedad aporta los siguientes documentos: • • • Política de Tratamiento de Datos Personales de la sociedad BANCO DAVIVIENDA S.A. 45, la cual en el Capítulo IX explica las medias de seguridad aplicadas en el tratamiento de datos personales46.

Código de Ética de la Familia Bolívar47. Manual de Protección de Datos Personales de la sociedad BANCO DAVIVIENDA S.A. 48, en el cual se establece un Comité de Riesgo de Ciberseguridad y fraude49, y se detallan las medidas de seguridad implementadas para la protección de los datos personales de los Titulares50. Ahora bien, conforme a lo establecido en el Decreto Único Reglamentario 1074 de 2015, el principio de responsabilidad demostrada (accountability) impone a los responsables del tratamiento de datos personales la obligación de demostrar, a solicitud de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para garantizar el cumplimiento de la Ley 1581 de 2012 y su reglamentación. En particular, el artículo 2.2.2.25.6.151 establece que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica y el tamaño del responsable;

(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento efectuado; y (iv) los riesgos potenciales que dicho tratamiento pueda implicar para los derechos de los titulares. El mismo artículo dispone que, en respuesta a requerimiento de la Superintendencia, los responsables deben suministrar evidencia concreta sobre los procedimientos de recolección, las finalidades del tratamiento, la pertinencia de los datos recolectados, y la implementación efectiva de las medidas de seguridad adoptadas.

Por su parte, el artículo 2.2.2.25.6.252 prevé que tales 44 Expediente digital. Consecutivo número 9. Página 11. Folios 13 a 15. 45 Expediente digital. Consecutivo número 9. Página 8. 46 Expediente digital. Consecutivo número 9. Página 8. Folios 19 a 20. 47 Expediente digital. Consecutivo número 9. Página 9. 48 Expediente digital. Consecutivo número 9.

Página 10. 49 Expediente digital. Consecutivo número 9. Página 10. Folios 37 a 38. 50 Expediente digital. Consecutivo número 9. Página 10. Folios 38 a 39 y 44 a 46. 51Decreto 1074 de 2015. Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. 52Decreto 1074 de 2015. Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de “Por la cual se impone una sanción administrativa” medidas deben estar respaldadas por políticas internas efectivas, que incluyan estructuras administrativas adecuadas, programas de formación, herramientas de implementación y mecanismos para la atención de peticiones, quejas y reclamos por parte de los titulares.

En este sentido, como se evidencia, el principio de responsabilidad demostrada no se satisface únicamente con la existencia de documentos normativos, sino con la puesta en práctica efectiva y verificable de políticas internas y controles de cumplimiento, acordes con los riesgos asociados al tratamiento de datos personales. En el presente caso, tras el análisis de los documentos aportados, este Despacho concluye que la sociedad no acreditó de manera suficiente que, de conformidad con su naturaleza y tamaño, ha adoptado medidas internas, administrativas, humanas y técnicas efectivas para prevenir incidentes como el que dio lugar a la presente actuación, ni para garantizar la seguridad de la información personal de la titular que se encuentra bajo su custodia.

Asimismo, se evidencia que la sociedad no desplegó medidas de debida diligencia frente a la queja formulada por la titular, ni acreditó haber adoptado acciones correctivas para mitigar los efectos de la vulneración. Por lo tanto, este Despacho no advierte la aplicación del principio de responsabilidad demostrada, toda vez que no se presentó evidencia suficiente sobre la implementación real y efectiva de mecanismos orientados a garantizar la protección de los datos personales tratados.

Esta omisión resulta particularmente grave si se considera que la sociedad no evidencia comprensión adecuada sobre cómo su conducta configuró una vulneración al derecho fundamental al habeas data de la titular, lo cual pone en duda la efectividad de sus mecanismos internos de cumplimiento y prevención, así como su compromiso real con el régimen general de protección de datos personales en Colombia.

En consecuencia, la documentación allegada no puede valorarse como circunstancia atenuante dentro de una eventual graduación de la sanción, dado que no demuestra la existencia de una gestión activa, preventiva y correctiva en materia de protección de datos personales.

DÉCIMO TERCERO: Conclusiones Por lo expuesto, esta Dirección evidencia que la sociedad BANCO DAVIVIENDA S.A. utilizó el correo electrónico personal suministrado por la Titular XXXXx XXXXXXXXX XXXX XXXXXXX en su calidad de cliente persona natural, para remitir información dirigida a la empresa CREDIYES SAS sin que mediara la autorización de la Titular para compartir su información de contacto con terceros.

Si bien la sociedad ostenta la calidad de entidad financiera y, en tal condición, debe observar lo dispuesto en la Circular Básica Jurídica de la Superintendencia Financiera de Colombia (Parte I, Título IV, Capítulo IV), ello no la exime del cumplimiento simultáneo de las obligaciones establecidas en la Ley 1581 de 2012. La sujeción a la normativa del sector financiero no puede ser invocada como una justificación válida para desconocer el régimen general de protección de datos personales ni para vulnerar los derechos fundamentales de los titulares, en particular los derechos a la intimidad y al habeas data.

En consecuencia, se configura una vulneración directa a los principios de acceso y circulación restringida, seguridad y confidencialidad, previstos en la Ley 1581 de 2012. En el caso concreto, la omisión de medidas mínimas de seguridad, como la utilización de la opción de copia oculta (CCO) al momento de enviar la comunicación electrónica, constituye una infracción sustancial a los deberes evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo." “Por la cual se impone una sanción administrativa” legales que rigen el tratamiento de datos personales.

Adicionalmente, la sociedad no acreditó la adopción de acciones correctivas frente a la queja formulada por la titular, ni demostró haber implementado medidas de debida diligencia para prevenir, contener o mitigar los efectos de la vulneración. Así las cosas, este Despacho constata que la sociedad no aplicó el principio de responsabilidad demostrada (accountability) frente a los hechos materia de análisis, ni evidenció un compromiso efectivo con la protección de los datos personales a su cargo.

DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2353. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 254, 455 y 656 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo57.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”58 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes 53“Artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” 54 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 55 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 56 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 57 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 58 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción administrativa” anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional59.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:

ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas 59 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional60 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”61 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 60 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 61 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa” 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros62. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”63.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia64. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2365 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. 62 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 63 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 65 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)66 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, frente al cargo único sobre el presunto incumplimiento del deber consagrado en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, quedó acreditado que la sociedad BANCO DAVIVIENDA S.A. utilizó el correo electrónico personal suministrado por la Titular XXXXx XXXXXXXXX XXXX XXXXXXX en su calidad de cliente persona natural, para remitir información dirigida a la empresa CREDIYES SAS sin que mediara la autorización de la Titular para compartir su información de contacto con terceros.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de TRESCIENTOS (300) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TREINTA Y CUATRO MIL OCHOCIENTOS (34.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS DOS 66Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

“Por la cual se impone una sanción administrativa” MILLONES NUEVE MIL SEISCIENTOS PESOS M/CTE ($402.009.600)67, por la vulneración a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012. La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 14.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo un reconocimiento expreso de la comisión de la sanción. De igual manera, frente a la solicitud elevada por la sociedad investigada, en la cual manifiesta que: “consideramos indispensable que sean tenidas en cuenta no solo las medidas de debida diligencia y demostración del principio de Accountabilty desplegadas por Davivienda tanto en la resolución y atención oportuna al Titular, como en la estructuración de un Programa Integral de Datos Personales acorde a la normativa y actividades propias de la Compañía” 68 Este Despacho considera que no es procedente evaluar el principio de responsabilidad demostrada de acuerdo a lo establecido en el inciso final del artículo 2.2.2.25.6.2 del Decreto 1074 de 201569.

Lo anterior, por cuanto, como se analizó previamente en esta providencia, la sociedad no acreditó haber implementado medidas apropiadas, suficientes y efectivas para cumplir con las obligaciones previstas en la Ley 1581 de 2012 y en su decreto reglamentario, conforme con los criterios establecidos en la norma. En efecto, la aplicación del principio de Accountability exige que el responsable del tratamiento demuestre de manera concreta y documentada que ha adoptado acciones proporcionales a: (i) su naturaleza jurídica y operativa;

(ii) las características de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento realizado; y (iv) los riesgos potenciales que dicho tratamiento puede generar frente a los derechos de los titulares. Sin embargo, en el presente caso, la sociedad no demostró haber desplegado medidas de debida diligencia frente a la vulneración analizada, ni aportó evidencia suficiente que permita verificar la existencia de protocolos eficaces de prevención, mitigación y respuesta ante incidentes relacionados con el uso y divulgación no autorizada de datos personales.

Además, como se indicó en apartados anteriores, la documentación allegada no da cuenta de acciones correctivas adoptadas a raíz de la queja interpuesta por la titular, ni de la existencia de una comprensión clara y adecuada sobre cómo su conducta afectó el derecho fundamental de habeas data de la Titular. En consecuencia, no resulta procedente otorgar a la sociedad el beneficio de una eventual atenuación de la sanción con fundamento en el principio de 67 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 68 Expediente digital.

Consecutivo número 9. Página 11. Folio 19. Decreto 1074 de 2015. “Artículo 2.2.2.25.6.2. Políticas internas efectivas. (…) La verificación por parte de la los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.” “Por la cual se impone una sanción administrativa” responsabilidad demostrada, toda vez que no se ha verificado el cumplimiento material y efectivo de las condiciones exigidas para su aplicación.

DÉCIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit. 860.034.313-7, con el correo electrónico de notificación judicial notificacionesjudiciales@davivienda.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 24-395529. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad BANCO DAVIVIENDA S.A., con NIT. 860.034.313-7, de TRESCIENTOS (300) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TREINTA Y CUATRO MIL OCHOCIENTOS (34.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS DOS MILLONES NUEVE MIL SEISCIENTOS PESOS M/CTE ($402.009.600)70, por la vulneración a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BANCO DAVIVIENDA S.A., con NIT. 860.034.313-7 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: COMUNICAR la presente decisión a la señora XXXXx XXXXXXXXX XXXX XXXXXXX, identificada con cédula de ciudadanía número XxxxxxxxxxxX. 70 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa”

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 18 de julio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.07.18 14:29:19 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG