Sanción 37200 de 2022 — SIC

(14 JUNIO 2022) “Por la cual se impone una sanción” Radicación 20-358054 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución No. 20362 del 8 de mayo de 2020, expedida por el Grupo de Trabajo de Hábeas Data de esta Dirección, se ordenó: “ARTÍCULO TERCERO: Remitir copia de la presente resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, para que proceda de acuerdo a su competencia, y conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente”.

SEGUNDO: Que, entre otras consideraciones, en la Resolución No. 20362 del 8 de mayo de 2020, se señaló lo siguiente: “(…) El artículo 17 de la Ley 1581 de 2012 contempla para los Responsables y Encargados del Tratamiento el cumplimiento de ciertos deberes, sin perjuicio de las demás disposiciones previstas en el Régimen General de Protección de Datos Personales y en otras que rijan su actividad, al interior de la cual el literal o) establece “Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.

En el presente caso, el 10 de octubre de 2019, este Despacho requirió a la sociedad Banco Pichincha S.A., con el fin de que se pronunciara sobre los hechos materia de la denuncia presentada por el señor Xxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx y aportara las pruebas que pretendiera hacer valer para el trámite de la actuación administrativa. En consecuencia, esta Dirección observó que una vez vencido el término concedido en el escrito de solicitud de explicaciones la sociedad Banco Pichincha S.A., no ejerció su derecho de defensa y contradicción, pese a que la comunicación se entregó el 16 de octubre de 2019 a la dirección de notificación judicial que se registraba en ese momento en el Certificado de Existencia y Representación Legal de la Cámara de Comercio de Bogotá, que para el efecto corresponde a la dirección Avenida las Américas # 42 – 81 Bogotá D.C., y fue recibida por dicha sociedad el día 16 de octubre de 2019, tal y como se evidencia en la guía N° XXXXXXXXXXXXX.

(…) Atendiendo las reglas citadas, encontramos que para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la sociedad Banco Pichincha S.A., rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, ésta no se pronunció al respecto; es decir, guardó silencio, se tendrán por ciertos los hechos narrados por el reclamante, mientras no se demuestre lo contrario.

(…) HOJA N, “Por la cual se impone una sanción” Por lo anterior, para el caso objeto de examen tenemos que el titular centra la presunta amenaza y violación del derecho fundamental salvaguardado por esta Delegatura, en la actitud omisiva de la sociedad Banco Pichincha S.A. al seguir enviado correos electrónicos aun cuando el señor Xxxx Xxxxxxx Xxxxxxxxx Xxxxxxx no autoriza su envío a través de ningún medio electrónico, tal como se notó en el acápite correspondiente a los hechos del presente acto administrativo, aunado a esto, la sociedad investigada no aportó respuesta al proceso de referencia, además, para el presente Despacho la sociedad Banco Pichincha S.A., tiene pleno conocimiento de la actuación administrativa en razón a que el día 16 de octubre de 2019 bajo la guía N° XXXXXXXXXXXXX recibió la comunicación 19118150-5 en la cual se solicitaban explicaciones para el caso en concreto, como ya se analizó en previamente en la presente resolución. Expuesto todo lo anterior, tenemos que no se detalla en el acervo probatorio que la sociedad investigada dio trámite a la solicitud de supresión de la información del reclamante y respuesta a dicho requerimiento, por lo tanto, no hay prueba alguna que demuestre que la sociedad Banco Pichincha S.A., haya eliminado el correo electrónico del titular de sus bases de datos, conforme a la solicitud realizada por parte del titular.

( )”

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 82241 del 23 de diciembre de 2020 por medio de la cual se formularon cargos a la sociedad BANCO PICHINCHA S.A. identificada con el Nit. 890.200.756-7.

La mencionada resolución le fue notificada mediante notificación electrónica a la investigada el 30 de diciembre de 2020, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia bajo radicado No. 20-358054- -12 del 25 de febrero de 2021, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante el 28 de diciembre de 2020.

CUARTO: Que, mediante la Resolución No. 27888 del 07 de mayo de 2021 esta Dirección resolvió ampliar la formulación de cargos contenida en la Resolución No. 82241 del 23 de diciembre de 2020 en contra de la sociedad BANCO PICHINCHA S.A. por la presunta contravención a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012. En consecuencia, los cargos formulados en contra de la investigada en la presente investigación administrativa son por la presunta vulneración de las disposiciones contenidas en: (i) (ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; y El literal o) del artículo 17 de la Ley 1581 de 2012.

QUINTO: Que, transcurrido el término establecido en la Resolución No. 82241 del 23 de diciembre de 2020 y en la Resolución No. 27888 del 07 de mayo de 2021, la investigada, por conducto de su apoderada, mediante comunicación radicada bajo Nos. 20-358054- -9 y 20-358054- -10 del 19 de enero de 2021, y 20-358054- -21 del 27 de mayo de 2021, dio respuesta a la formulación de cargos informando lo siguiente: 5.1.

En primer lugar, manifestó: “(…) se evidencia que no es cierto que el Banco Pichincha guardara silencio respecto a la Resolución 20362 de 2020, por el contrario, allegamos dentro del término perentorio las pruebas que daban fe de la eliminación del correo electrónico xxxxxxxxxxxxxxxxx@hotmail.com, tal como lo exigía la prenotada Resolución”. 5.2.

Con respecto al cargo primero, la investigada alegó que: HOJA N, “Por la cual se impone una sanción” “(…) con el fin de contextualizar el presente caso, es importante precisar que al inicio de la relación contractual entre el Banco Pichincha y el Sr XXXX XXXXXXX XXXXXXXXX XXXXXXXX se suscribió autorización libre, voluntaria, previa, explícita, informada e inequívoca a través del formato denominado ̈Solicitud de Crédito (Persona Natural) ̈, en donde se facultaba a la Entidad Originadora y posteriormente al Banco Pichincha S.A., en calidad de Cesionario del crédito, para que en los términos legalmente establecidos realizara la recolección, almacenamiento, uso, circulación, supresión y en general, el tratamiento de los datos personales entregados en virtud de las relaciones legales, contractuales y comerciales originadas de la celebración del contrato de mutuo celebrado con Vehycreditos S.A.S.- en liquidación y le cual fue objeto de cesión, la cual se adjunta.

Posteriormente el Sr. Xxxxxxxxx Xxxxxxxx, solicitó revocatoria otorgada para el tratamiento de datos personales, específicamente referente al correo electrónico suministrado inicialmente, por lo que el Banco tomó atenta nota y se le comunicó al titular que solo sería contactado a través de llamadas telefónicas, a los teléfonos suministrados, y por comunicación escrita a las direcciones de correo físico informado.

Anudado a lo anterior, en mayo de 2020 fuimos notificados por esta entidad de la Resolución 20362 de 2020, por lo que se procedió a remitir constancia de la eliminación del dato de correo electrónico, acatando así los lineamientos de la Ley 1581 de 2012, la cual preceptúa: ARTÍCULO 8o. DERECHOS DE LOS TITULARES Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución Es importante informar a esta entidad que, el Sr. Sr. XXXX XXXXXXX XXXXXXXXX XXXXXXXX se comunicó telefónicamente con el Banco Pichincha 7 de diciembre de 2020, donde solicitó de manera expresa la remisión de extractos y comunicaciones al correo electrónico: xxxxxxxxxxxxxxxxx@hotmail.com, entendiéndose por derogada la solicitud de revocatoria del dato informada en el año 2019, para constancia de lo anterior, me permito allegar como prueba la grabaciones de la llamada de fecha 7 de diciembre de 2020.

Ahora bien, atendiendo lo expresado en la Resolución 82241 de 2020 notificada el pasado 4 de enero, el Banco procedió a desuscribir nuevamente el dato, por lo que en la actualidad no registra en nuestras bases de datos o aplicativos la dirección de correo electrónico xxxxxxxxxxxxxxxxx@hotmail.com, tal como se evidencia en la Pantallazos del sistema SIIF del Banco donde se demuestra que no existe dirección de correo electrónico del reclamante, así mismo se allega Certificación expedida por nuestra área técnica de cobranzas - Outsourcing de Cobranza Interdinco, en el cual se procedió a realizar la eliminación del correo electrónico correspondiente a la reclamante, de la base de datos.

Por lo anterior, es evidente que el Banco Pichincha ha cumplido a cabalidad con las órdenes impartidas por esta entidad, así como los lineamientos preceptuados en la Ley 1581 de 2012, en consecuencia solicitamos muy respetuosamente la culminación y archivo de la investigación administrativa sin imposición de sanción alguna, ya que se ha demostrado con los hechos narrados en este escrito, así como con las pruebas que se allegan con el mismo, que la entidad que apodero ha actuado conforme al Principio de transparencia preceptuado en esta normatividad, así como conforme al principio constitucional de la buena fe”. 5.3.

Frente al cargo segundo, aclaró: “III. Fuimos notificados de la Resolución 27888 de 2021, mediante correo electrónico de fecha 20 de mayo de 2020, mediante dicho acto administrativo se ampliaba la formulación de cargos dentro de la investigación administrativa aquí citada, agregando: “Cargo Segundo: La presunta vulneración por parte de la sociedad investigada BANCO PICHINCHA S.A. en su condición de Responsable del tratamiento de datos personales, al deber de cumplir con las instrucciones y/o contestar los requerimientos que imparta esta Superintendencia como autoridad de control establecido en el literal o) del artículo 17 de la Ley 1581 de 2012” HOJA N, “Por la cual se impone una sanción” Referente a este nuevo cargo, es importante informar que una vez se recibió el requerimiento de octubre de 2019 se procedió a dar una contestación de fondo al titular y a eliminar el dato objeto de debate, me permito copiar aparte de la respuesta: Adicionalmente el 29 de mayo de 2020 se envió a esta entidad memorial acreditando la eliminación del dato solicitado y allegando copia de las comunicaciones sostenidas con el titular”.

SEXTO: Que mediante Resolución No. 62963 del 29 de septiembre de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-358054, con el valor legal que les correspondiera, y corrió traslado a la investigada para alegar de conclusión por el término de diez (10) días hábiles, en caso de que la misma lo considerara pertinente.

SÉPTIMO: Que dentro del plazo otorgado en la Resolución No. 62963 del 29 de septiembre de 2021, la sociedad investigada mediante correo electrónico enviado el día 25 de octubre de 2021 con radicado 20-358054- -28, presentó alegatos de conclusión reiterando lo señalado en los descargos.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: 1. El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; y 2.

El literal o) del artículo 17 de la Ley 1581 de 2012. 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, “Por la cual se impone una sanción” En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho expuestas en los descargos y alegatos de conclusión, así como el conjunto de pruebas que obran en el expediente. 9.2.

Valoración probatoria y conclusiones 9.2.1. Respecto del deber garantizar al Titular el pleno y efectivo derecho de habeas data El literal a) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables del Tratamiento, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…)”. En concordancia con dicho deber, se encuentra el derecho de los Titulares de revocar y/o solicitar la supresión, actualización y rectificación del dato dispuesto en los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074, en los siguientes términos: “ARTÍCULO 2.2.2.25.2.6.

REVOCATORIA DE LA AUTORIZACIÓN Y/O SUPRESIÓN DEL DATO. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

( )

ARTÍCULO 2. 2.2.25.4.3. DEL DERECHO DE ACTUALIZACIÓN, RECTIFICACIÓN Y SUPRESIÓN. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento.” La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa.” Por lo mencionado, tal como lo manifiesta la Corte Constitucional, el derecho de habeas data otorga la facultad al Titular de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro que los Responsables del Tratamiento deben implementar mecanismos que le permitan al titular acceder en cualquier momento a su información. Así, con referencia al deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional, en la misma providencia, señaló que: HOJA N, “Por la cual se impone una sanción” “(…) se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares”.

(Subrayado fuera del texto original). Como complemento de lo sostenido por ese Alto Tribunal, se le recuerda a la investigada que el deber de garantizar el ejercicio del derecho constitucional al habeas data se concreta cuando el Titular de este derecho fundamental interpone una petición, entendida como el medio idóneo para solicitar el amparo efectivo del derecho de los titulares a “conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y o privadas (…)” al tenor de lo dispuesto en el artículo 15 de la Constitución Política de 1991.

Sobre el caso que nos ocupa, esta Dirección determinó preliminarmente que la investigada no garantizó el derecho de habeas del denunciante, ya que no allegó prueba mediante la cual demostrara que eliminó, actualizó o corrigió la información del Titular de la información, de acuerdo al requerimiento telefónico realizado por el señor XXXX XXXXXXX XXXXXXXXX XXXXXXXX, mediante el cual no autorizó a la sociedad BANCO PICHINCHA S.A. para enviar correos electrónicos y que, caso contrario, continuó enviando correos de acuerdo a lo denunciado por el Titular.

Al respecto, mediante descargos la investigada informó que en el año 2019 el titular “(…) solicitó revocatoria otorgada para el tratamiento de datos personales, específicamente referente al correo electrónico suministrado inicialmente, por lo que el Banco tomó atenta nota y se le comunicó al titular que solo sería contactado a través de llamadas telefónicas, a los teléfonos suministrados, y por comunicación escrita a las direcciones de correo físico informado”.

Ahora bien, el titular mediante la denuncia presentada a esta Superintendencia informó lo siguiente: “Aproximadamente en el mes de septiembre del 2018, recibo varias llamadas DEL BANCO PICHINCHA S.A, realizan dome (sic) unos cobros de los cuales, no estoy de acuerdo, en dicha conversación con el asesor indique que podía seguir comunicándose conmigo, pero que no podía enviarme ningún tipo de información a mi correo electrónico, y evoque (sic) mediante la Ley 1581 de 2012, un levantamiento unilateral del uso de mis datos personales, y notifique (sic) que no autorizaba él (sic) envió de ningún tipo de correo electrónico del banco pi chincha (sic) y sus filiales (…)” En este sentido, observamos que el titular indica haber revocado la autorización para el tratamiento de su correo electrónico en el año 2018, mientras que, según lo informado por la investigada en descargos, la solicitud de revocatoria fue allegada a éste en el año 2019.

Es importante resaltar que desde la etapa preliminar, esta Dirección ha buscado esclarecer los hechos, por lo cual requirió a la sociedad investigada mediante oficio con radicado 19-118150- -5 del 10 de octubre de 2019, obrante en el radicado 20-358054- -1 del 26 de noviembre de 2020, para que, entre otras cosas, informara “(…) si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta”.

No obstante, no se obtuvo respuesta por parte de la investigada con respecto a dicho requerimiento. Así, esta Dirección encuentra que, según lo informado por el denunciante, aproximadamente en septiembre del 2018, mediante una llamada telefónica revocó la autorización del tratamiento de su correo electrónico con la finalidad de recibir información por parte de la investigada.

Por su parte, en descargos la investigada manifestó que tuvo conocimiento de dicha revocatoria en el año 2019, pero no allegó prueba que acredite que, en efecto, únicamente hasta ese momento conoció de la voluntad del titular de no seguir recibiendo correos electrónicos con información de la investigada. En la misma línea, con el fin de esclarecer lo anterior, esta Dirección se permitió analizar la totalidad de pruebas que obran en el expediente encontrando que junto con la denuncia, el titular allegó una queja presentada a la Superintendencia Financiera, la cual contiene una fecha de recepción por parte de la investigada del 26 de marzo de 2019, tal como se observa a continuación (cuadro rojo fuera de imagen original): HOJA N, “Por la cual se impone una sanción” Es preciso mencionar que en la queja que fue puesta en conocimiento de la investigada desde el 26 de marzo de 2019, una de las solicitudes del titular fue la siguiente (cuadro rojo fuera de imagen original): De lo anterior se puede concluir que por lo menos para el 26 de marzo de 2019, fecha en la que la investigada recibió la solicitud del titular antes relacionada, donde se refería a la revocatoria del tratamiento de su correo electrónico y número de celular para recibir notificaciones del Banco Pichincha, la investigada ya debía tener claridad sobre la voluntad del titular con respecto a no seguir recibiendo correos electrónicos.

No obstante, encuentra este Despacho que con posterioridad a tal hecho, por lo menos hasta el 19 de julio de 2019, la investigada seguía enviando correos electrónicos al denunciante, tal como se observa en la imagen que éste aportó: HOJA N, “Por la cual se impone una sanción” En este orden de ideas, independientemente de lo que alegó la investigada con respecto a que el denunciante “(…) se comunicó telefónicamente con el Banco Pichincha 7 de diciembre de 2020, donde solicitó de manera expresa la remisión de extractos y comunicaciones al correo electrónico: xxxxxxxxxxxxxxxxx@hotmail.com, entendiéndose por derogada la solicitud de revocatoria del dato informada en el año 2019”, es evidente que tal llamada sucedió con posterioridad a la vulneración del derecho fundamental de habeas data del titular, tal como se explicó anteriormente.

En virtud de lo expuesto, se concluye que se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data en la medida en que por lo menos hasta el 19 de julio de 2019 le continuó enviando correos electrónicos, aun así, cuando tuvo conocimiento, según el denunciante desde septiembre del 2018 y según las pruebas obrantes en el expediente desde el 26 de marzo de 2019, que el titular no deseaba seguir recibiendo dichos mensajes y que había revocado la autorización para el tratamiento de su dirección de correo electrónico para tal fin.

Así mismo, la sociedad investigada no aportó prueba alguna que acredite la supresión del dato. Con lo anterior la investigada desconoció el deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. En consecuencia, se impondrá una sanción por el cargo objeto de estudio. 9.2.2 Respecto del deber de cumplir las instrucciones y requerimientos que imparta esta Superintendencia Frente al cargo primero formulado, esta Dirección consideró que la investigada presuntamente había incumplido el deber de atender los requerimientos de esta Superintendencia consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012; norma que establece lo siguiente: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Al respecto, tal como se dejó ver en la etapa preliminar de la presente investigación, esta Dirección requirió a la sociedad investigada mediante radicado 19-118150- -5 del 10 de octubre de 2019, obrante en el radicado 20-358054- -1 del 26 de noviembre de 2020, a la dirección de notificaciones juidiciales que se encontraba en el Certificado de Existencia y Representación Legal de la Cámara de Comercio de Bogotá, que para el efecto corresponde a la dirección Avenida las Américas No. 42 – 81 Bogotá D.C., y fue recibida por dicha sociedad el día 16 de octubre de 2019, tal y como se evidencia en la guía No. XXXXXXXXXXXXX: HOJA N, “Por la cual se impone una sanción” Sobre este cargo, la investigada manifestó que: “(…) una vez se recibió el requerimiento de octubre de 2019 se procedió a dar una contestación de fondo al titular y a eliminar el dato objeto de debate, me permito copiar aparte de la respuesta: Adicionalmente el 29 de mayo de 2020 se envió a esta entidad memorial acreditando la eliminación del dato solicitado y allegando copia de las comunicaciones sostenidas con el titular”.

Con respecto a lo expresado por la investigada, es pertinente recordar que el requerimiento bajo radicado 19-118150- -5 del 10 de octubre de 2019, obrante en el radicado 20-358054- -1 del 26 de noviembre de 2020, tenía como finalidad que la investigada allegara las explicaciones correspondientes relacionadas con la denuncia presentada por el titular de la información, en los siguientes términos: “Con base en lo dispuesto en el artículo 21 de la Ley 1581 de 2012 y para los efectos previstos en el literal b) de la misma disposición 1, adjuntamos copia de la solicitud de actualización y/o eliminación de la información personal, presentada por el/la señor(a) XXXX XXXXXXX XXXXXXXXX XXXXXXXX, que ya había sido previamente presentada ante ustedes, de acuerdo con lo dispuesto en la norma antes citada y con el fin de que se pronuncie sobre los hechos materia de la denuncia y aporte las pruebas que pretenda hacer valer para el trámite de la presente actuación administrativa.

A dicha respuesta deberá adjuntar la siguiente información: 1. Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales. 2. En caso de contar con la respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3.

Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable. En caso de ser en calidad de Encargado favor indicar el nombre e identificación del Responsable del tratamiento de la información. 4. Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 5.

Informar las políticas internas de seguridad bajo las cuales conservan la información del Titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 6. En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular. La respuesta al presente requerimiento deberá ser suscrita por el representante legal de la sociedad o por apoderado debidamente constituido en un plazo que vence el 30 de octubre de 2019”.

Así las cosas, no es de recibo por parte de este Despacho el argumento de la investigada con respecto a que dio respuesta al requerimiento antes mencionado en la medida en que “(…) procedió a dar una contestación de fondo al titular y a eliminar el dato objeto de debate”, ya que independientemente de la respuesta que haya enviado al titular de la información, le correspondia atender, en su calidad de Responsable, todos y cada uno de los requerimientos de esta Dirección. Es importante resaltar que la investigada, aun teniendo hasta el 30 de octubre de 2019 para allegar HOJA N, “Por la cual se impone una sanción” la respuesta correspondiente, no se pronunció sobre los hechos de materia de la denuncia así como tampoco aportó lo solicitado por este Despacho dentro del término establecido.

Así las cosas, se concluye que se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de cumplir con los requerimientos de esta Superintendencia. Hecho que se subsume en una típica violación del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012. En consecuencia, se impondrá una sanción por el cargo objeto de estudio.

DÉCIMO: Que el parágrafo del artículo 2 de la Ley 1581 de 20122 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 20153.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del 2Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 3Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N, “Por la cual se impone una sanción” desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.

Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad BANCO PICHINCHA S.A. para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

HOJA N, “Por la cual se impone una sanción” b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “El Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional4.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝐿𝑉 UVT vigente 2022 = Multa en UVT 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 4 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N, “Por la cual se impone una sanción” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional5 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”6 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros7. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la 5 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 6 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 7 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N, “Por la cual se impone una sanción” conciencia de la humanidad”8. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia9.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2310 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar 10Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” en: HOJA N, “Por la cual se impone una sanción” función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”11 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados12.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, al no haber cumplido con su deber de garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de CUARENTA Y CINCO MILLONES SEISCIENTOS CUATRO MIL OCHOCIENTOS PESOS ($45.604.800) M/CTE, correspondiente a (1.200) unidades de valor tributaria- UVT13, por la violación de lo establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

De otro lado, se encontró probado el actuar negligente por parte de la investigada en el cumplimiento del deber de cumplir con los requerimientos de esta Superintendencia. En consecuencia, se impondrá dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de CUARENTA Y CINCO MILLONES SEISCIENTOS CUATRO MIL OCHOCIENTOS PESOS ($45.604.800) M/CTE, correspondiente a (1.200) unidades de valor tributaria- UVT, por violación al literal o) del artículo 17 de la Ley 1581 de 2012. 11.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones. 11 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 12 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 13 Mediante la resolución 000140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004.

HOJA N, “Por la cual se impone una sanción”

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción y a impartir unas órdenes por las siguientes razones: i. Se comprobó que la investigada infringió abiertamente las normas sobre protección de datos personales consagradas en: - El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

El literal o) del artículo 17 de la Ley 1581 de 2012. ii. Se comprobó que la investigada hizo tratamiento de los datos personales del señor XXXX XXXXXXX XXXXXXXXX XXXXXXXX, específicamente de la dirección de correo electrónico, después de que éste solicitó que se eliminara su correo electrónico para el envío de notificaciones del Banco Pichicha. iii.

Es notorio que la investigada falló, en su calidad de Responsable del Tratamiento, en atender el requerimiento allegado por esta Superintendencia, mediante el cual se pretendía esclarecer los hechos materia de la denuncia presentada por el titular de la información. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a NOVENTA Y UN MILLONES DOSCIENTOS NUEVE MIL SEISCIENTOS PESOS ($91.209.600) M/CTE, correspondiente a (2.400) unidades de valor tributaria- UVT, por la violación de i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; y ii) el literal o) del artículo 17 de la Ley 1581 de 2012, a la sociedad BANCO PICHINCHA S.A.

DÉCIMO TERCERO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad BANCO PICHINCHA S.A. con Número de Identificación Tributaria 890.200.756-7, esta Dirección ha concedido previamente el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificacionesjudiciales@pichincha.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BANCO PICHINCHA S.A. identificada con el Nit. 890.200.756-7, de NOVENTA Y UN MILLONES DOSCIENTOS NUEVE MIL SEISCIENTOS PESOS ($91.209.600) M/CTE, correspondiente a (2.400) unidades de valor tributaria- UVT, por la violación a lo dispuesto en: (i) (ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

El literal o) del artículo 17 de la Ley 1581 de 2012. HOJA N, “Por la cual se impone una sanción”

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: EXHORTAR a la señora XXXXXX XXXXXX XXXXXXX, identificada con cédula de ciudadanía No. XX.XXX.XXX, en calidad de representante legal de la sociedad BANCO PICHINCHA S.A. identificada con el Nit. 890.200.756-7, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BANCO PICHINCHA S.A. identificada con el Nit. 890.200.756-7, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido del presente acto administrativo al señor XXXX XXXXXXX XXXXXXXXX XXXXXXXX, identificado con Cédula de Ciudadanía No. X.XXX.XXX.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 14 JUNIO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.06.14 12:22:50 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LMLA Revisó: AMVJ Aprobó: CESM HOJA N, “Por la cual se impone una sanción” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: BANCO PICHINCHA S.A. Nit. 890.200.756-7 XXXX XXXXXXX XXXXXXXXX XXXXXXXX XXXX XXXXXXX XXXXXXXXX XXXXXXXX notificacionesjudiciales@pichincha.com.co Avenida las Américas No. 42 - 81 Bogotá D.C. COMUNICACIÓN: Señor (a): Identificación: Correo electrónico: Dirección: Ciudad: XXXX XXXXXXX XXXXXXXXX XXXXXXXX XXXX XXXXXXX XXXXXXXXX XXXXXXXX XXXX XXXXXXX XXXXXXXXX XXXXXXXX XXXX XXXXXXX XXXXXXXXX XXXXXXXX XXXX XXXXXXX XXXXXXXXX XXXXXXXX

Resolución sancionatoria N° 37200 de 2022

CONSIDERANDO

RESUELVE