Resolución sancionatoria N° 31870 de 2023

REPÚBLICA DE COLOMBIA (08 JUNIO 2023) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 20-448705 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que el 25 de noviembre de 2020, el señor XXXXXX XXXXXXx XXXXX XXXXXXX interpuso una denuncia contra COMUNICACIÓN CELULAR S.A. COMCEL S.A. porque “han vulnerado el tratamiento de mis datos personales, toda vez que están violando mi privacidad, al revelar mis datos sensibles contenidos en la facturación a un tercero (…) se evidencia un error de la compañía CLARO al estar enviando mi factura de cobro a un tercero no AUTORIZADO.”1 SEGUNDO: Que el 23 de abril de 2021 esta Dirección por medio del radicado 20-448705- 3 procedió a requerir a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. para que se pronunciara sobre los hechos de la denuncia.

TERCERO: Que el 25 de mayo de 2021 mediante radicado número 20-448705- 8, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. dio respuesta al requerimiento realizado por esta Dirección indicando lo siguiente: 1. “La compañía cuenta con la autorización otorgada de manera previa, expresa e informada del titular XXXXXX XXXXXXx XXXXX XXXXXXX para la recolección y tratamiento de sus datos personales.

Anexamos grabación del contrato de la línea celular XXXXXXXX. con referencia XXXXXXXX, en la que se puede evidenciar en el minuto 4:20 que el titular autorizó el tratamiento de los datos personales y adicionalmente fue informado sobre las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada: ‘Señor Xxxxx.

XXXX autoriza a CLARO para realizar el tratamiento de sus datos personales con fines de prestación de servicio relación contractual comercial y publicitarios y trasmisión de datos a terceros en los términos detallados en la política de tratamiento disponible para consulta en www.claro.com.co usted puede consultar, actualizar y rectificar sus datos solicitar o revocar esta autorización conocer el uso dado a sus datos y contactar a la Superintendencia de Industria y Comercio acepta sí o no? a lo que contesto: si’” 2.

“Reiteramos lo señalado en el numeral anterior, que la compañía cuenta con la autorización otorgada de manera previa, expresa e informada del titular XXXXXX XXXXXXx XXXXX XXXXXXX para la recolección y tratamiento de sus datos personales, la cual se encuentra en la grabación del contrato que se adjunta en este comunicado; así mismo y como lo manifestamos en el punto 1 del presente escrito, el titular fue informado sobre las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada.” 1 Expediente Digital.

Consecutivo número 0. Página 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 2 3. “Con base en lo manifestado por la compañía, se registran los siguientes derechos de petición presentados por el titular XXXXXX XXXXXXx XXXXX XXXXXXX: - Derecho de petición escrito radicado el día 30 de mayo de 2020, al cual se dio respuesta mediante comunicado XXXXXXXXXXXX del 22 de junio de 2020. - Recurso escrito radicado el día 24 de junio de 2020, al cual se dio respuesta mediante comunicado XXXXXXXXXXXX del 17 de julio de 2020. - Recurso escrito radicado el día 05 de agosto de 2020, al cual se dio respuesta mediante comunicado XXXXXXXXXXXX del 28 de agosto de 2020.

Anexamos imágenes de los derechos de petición presentados por el usuario y las respuestas dadas por la compañía.” 4. “De conformidad con la grabación del contrato de la línea celular XXXXXXXX. con referencia XXXXXXXX, se encuentra registrado el correo electrónico informado por el usuario: xxxxxxxxxxxxxxxxxxxxxxx” 5. “Teniendo en cuenta la validación efectuada por el área de facturación de la compañía, Se registran mensajes de texto correspondientes a la entrega de la factura de los meses de marzo, abril y mayo de 2020, los cuales fueron enviados a la línea celular XXXXXXXX., adjuntamos soporte del sistema: Es importante manifestar que no se encontraron mensajes SMS de entrega de facturas al número celular XXXXXXXX.” 6.

“De acuerdo con la validación efectuada por el área de facturación, no se han presentado inconvenientes en la entrega de las facturas, las cuales han sido entregadas a los correos electrónicos relacionados en el sistema de la línea celular XXXXXXXX.. Al respecto, es importante indicar que se encontraba registrado el correo electrónico: xxxxxxxxxxxxxxxxxxxxxxx posteriormente el día 17 de julio de 2020, registra un cambio de correo electrónico a xxxxxxxxxxxxxxxxxxxxxxx.

La compañía mediante comunicado XXXXXXXXXXXX del 17 de julio de 2020 le informó al usuario que se procedía a corregir el correo electrónico para la entrega de la factura por el xxxxxxxxxxxxxxxxxxxxxxx y adicionalmente fue efectuado un ajuste por valor de $280.052.83 impuestos incluidos, por concepto del cargo fijo mensual desde el momento en que se activó la línea celular del 10 de marzo al 11 de agosto del 2020.

Anexamos factura del mes de agosto de 2020 en la que se evidencia el ajuste efectuado en la línea XXXXXXXX y los soportes de entrega de las facturas de los meses de agosto de 2020 a mayo de 2021 al correo electrónico: xxxxxxxxxxxxxxxxxxxxx..xx” “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 3 7. “Los datos personales recolectados NO son trasferidos o trasmitidos a otras entidades, personas jurídicas y/o personas naturales a nivel nacional o internacional; la compañía tiene establecidos controles e implementadas políticas de seguridad de la información que incluyen lineamientos y controles de seguridad encaminados a proteger la confidencialidad, integralidad y disponibilidad de la información, construidos bajo los mejores estándares y prácticas de seguridad existentes en la materia.

Dichas políticas son regularmente revisadas y actualizadas y son de estricto cumplimiento por parte de todos los funcionarios directos e indirectos que desempeñan alguna labor o actividad al interior de la compañía. Puntualmente con ocasión de la expedición de la ley 1581 de 2012 y el decreto reglamentario 1377 de 2013 se revisaron y actualizaron las políticas internas de seguridad de la información y se publicó en la página web de la compañía el documento de Políticas de Tratamiento de la información, que puede ser consultado en www.claro.com.co.” 8.

“Adjuntamos documento POLITICAS DE TRATAMIENTO DE LA INFORMACIÓN publicado en la página web de la compañía mediante el cual se informa a los titulares sobre las disposiciones normativas contenidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013.” 9. “Anexamos al presente escrito el documento POLITICA DE SEGURIDAD DE LA INFORMACION, a través del cual se han establecido los controles de seguridad de la información necesarios para proteger la confidencialidad, integridad y disponibilidad de la información apoyados en estándares y seguridad de la información. Dentro de las políticas internas de seguridad implementadas por la compañía para conservar la información de los titulares a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento se encuentran las siguientes: a.) Los recursos de cómputo, dispositivos móviles, programas/ software, de almacenamiento y red asignados son propiedad de la organización y constituyen una herramienta de trabajo exclusiva para el desempeño de las funciones.

Por lo tanto, la compañía se reserva el derecho de conocer, revisar, monitorear y examinar entre otros, la totalidad de la información que se encuentra en dichos recursos. b.) Está prohibido instalar, modificar, copiar o utilizar software en los recursos de cómputo o red diferente al suministrado. c.) Está prohibido usar, enviar o almacenar en los diferentes recursos tecnológicos a través de cualquier medio (físico o digital) contenido que pueda generar sentimientos de acoso u hostigamiento, o que por su naturaleza sea incomodo, sexualmente explicito, religioso, racial, difamatorio, ilegal o que impida, estorbe o retarde información valiosa e importante. d.) Las áreas responsables de la información de los equipos y medios de almacenamiento deben cumplir los lineamientos, estándares y procesos de seguridad para proteger la información. e.) Los colaboradores no pueden revelar o intercambiar información confidencial de la compañía por ningún medio, sin contar con la autorización por parte de la Gerencia de Seguridad. f.) Las cuentas de usuarios (usuario y contraseña) son personales e intransferibles y deben cumplir con los estándares y controles de seguridad definidos; en ninguna circunstancia se deben compartir.

Todas las acciones realizadas con la cuenta del usuario asignada son responsabilidad del propietario. g.) Todos los contratos o acuerdos definidos deben de contar el anexo de seguridad de terceros de partes interesadas y acuerdos de confidencialidad.” 10. y 11. Adjunto al presente nos permitimos remitir el procedimiento establecido por la compañía para la atención de peticiones quejas y reclamos relacionados con el derecho a conocer, actualizar, rectificar, suprimir y revocar la autorización por parte de los Titulares de la información, en los diferentes canales establecidos para recibir peticiones, a saber: a.) Peticiones recibidas en CALL CENTER b.) Peticiones recibidas por CANALES ESPECIALES (correo certificado – correo electrónico) c.) Peticiones mediante PORTAL WEB “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 4 d.) Peticiones de forma verbal o escrita a través de los Centros de Atención y Ventas CAV de Claro Soluciones Móviles y Fijas.”2 CUARTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar, se inició la presente investigación administrativa mediante la expedición de la Resolución N° 70093 de 29 de octubre de 2021 por medio de la cual se formuló cargo único a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el presunto incumplimiento de las disposiciones contenidas en el literal d) del artículo 17, en concordancia con los literales d), f) y g) del artículo 4 de la misma Ley 1581 de 2012.

QUINTO: Que, la Resolución N° 70093 del 29 de octubre de 2021 le fue notificada a la investigada mediante aviso No. 27882 el 11 de noviembre de 2021, de conformidad con la certificación con número de radicado 20-448705- 19 de fecha de 16 de noviembre de 2021 expedida por la Secretaría General de esta Superintendencia.

SEXTO: Que, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a través de su apoderada especial, mediante comunicación radicada bajo número 20-448705- 20 de fecha de 2 de diciembre de 2021 presentó los respectivos descargos argumentando, entre otras cosas, lo siguiente: “(…) debemos manifestar lo siguiente: 1. La línea celular XXXXXXXX. fue activada el día 10 de marzo de 2020 por solicitud de portabilidad del titular XXXXXX XXXXXXx XXXXX XXXXXXX; para la activación del servicio la compañía efectuó grabación del contrato en el que consta que el usuario autorizó de manera previa y expresa el tratamiento de sus datos personales y adicionalmente fue informado en el minuto 4:20 sobre las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada, así: “Señor Xxxxx.

XXXX autoriza a CLARO para realizar el tratamiento de sus datos personales con fines de prestación de servicio relación contractual comercial y publicitarios y trasmisión de datos a terceros en los términos detallados en la política de tratamiento disponible para consulta en www.claro.com.co usted puede consultar, actualizar y rectificar sus datos solicitar o revocar esta autorización conocer el uso dado a sus datos y contactar a la Superintendencia de Industria y Comercio acepta sí o no? a lo que contesto: si” Es importante resaltar que en la grabación del contrato se le informó al titular XXXXXX XXXXXXx XXXXX XXXXXXX que tiene el derecho de consultar, actualizar y rectificar sus datos; es decir la compañía al momento de solicitar la autorización, le informó de manera clara y expresa los derechos que le asisten como titular, es decir desde el momento de la contratación del servicio, el usuario puede contactar a la línea de atención al cliente de la compañía para consultar y actualizar sus datos personales.

De conformidad con la grabación del contrato de la línea celular XXXXXXXX. con referencia XXXXXXXX., se evidencia en la misma que el titular señaló como correo electrónico: xxxxxxxxxxxxxxxxxxxxxxx sin embargo, el asesor comercial por un error de digitación en el formulario de venta registró el correo: xxxxxxxxxxxxxxxxxxxxxxx. El día 25 de junio de 2020 el titular presentó derecho de petición ante la compañía, por el no envío de su facturación al correo electrónico;

COMCEL mediante comunicado XXXXXXXXXXXX del 17 de julio de 2020, le informó al usuario que se procedía a corregir el correo electrónico para la entrega de la factura la cual sería remitida al correo: xxxxxxxxxxxxxxxxxxxxxxxx; adicionalmente la compañía efectuó un ajuste por valor de $280.052.83 impuestos incluidos, por concepto del cargo fijo mensual desde el 10 de marzo fecha en la que se activó la línea celular, al 11 de agosto del 2020.

La compañía identificó de manera oportuna y corrigió de manera inmediata el correo electrónico de facturación de la línea celular XXXXXXXX., la cual sería enviada al correo electrónico: xxxxxxxxxxxxxxxxxxxxxxx. Es importante señalar que la compañía implementó como plan de mejora desde el mes de abril de 2020, un proceso de validación, digitación y seguimiento para el BackOffice del área de ventas en el que la digitación de datos personales se efectúa a través del modelo de PAP (Paso a paso) 2 Expediente Digital.

Consecutivo número 8. Página 2. Folios 1 a 5. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 5 lo que obliga al asesor confirmar cada uno de los datos registrados en el formulario de venta con los registrados en la grabación, por lo tanto la compañía hace más de un año reforzó esta acción de mejora, para evitar errores de digitación en la información personal.

Por otra parte, las facturas de la línea celular XXXXXXXX. han sido enviadas al correo señalado por el titular, tal y como se evidencia en la impresión del sistema: Como se evidencia de lo anteriormente expuesto, para el caso en particular, es claro que COMCEL S.A. en su calidad de Responsable del tratamiento de los datos del señor XXXXXX XXXXXXx XXXXX XXXXXXX CUMPLIÓ con el deber establecido en el artículo 17 de la Ley 1581 de 2012 consistente en rectificar la información y adicionalmente conforme a la misma norma realizó las respectivas gestiones para enviar la facturación al correo electrónico informado por el Titular.

En este caso reiteramos que COMCEL en su calidad de Responsable del tratamiento de los datos personales del Titular, procedió a rectificar la información y adoptó las medidas necesarias para mejorar el proceso de validación, digitación y seguimiento para el BackOffice del área de ventas por medio del modelo de PAP (Paso a paso), es decir reforzó las medidas para garantizar la seguridad del dato, y de acuerdo con el principio de veracidad de la información, la información del titular XXXXXX XXXXXXx XXXXX XXXXXXX se encuentra exacta y actualizada en las bases de datos de la compañía, tal y como se evidencia en la impresión del sistema: De acuerdo con todo lo anteriormente expuesto, atentamente nos permitimos manifestar que COMCEL cumplió con el deber como Responsable de la información de conservar la misma, bajo las condiciones de seguridad de acuerdo a lo ordenado en los literales d), y g) del artículo 17 de la Ley 1581 de 2012 y literal d) del artículo 4 de la misma Ley, y en el caso que nos ocupa al detectar un error, COMCEL procedió de inmediato a rectificar la información y reforzó las medidas adoptadas para la seguridad del dato.

En cuanto al cargo único, de manera atenta se solicita que el despacho al momento de evaluar el presente caso, de aplicación a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 6 2012 e imponga como máximo la amonestación, ya que, tal y como se desprende de los hechos antes narrados, el asesor comercial por un error de digitación en el formulario de venta registró el correo: xxxxxxxxxxxxxxxxxxxxxxx y la compañía al darse cuenta del error, procedió a rectificar la información de manera diligente, con veracidad y con el cumplimiento de las demás normas aplicables en estos casos y ha estado como siempre dispuesta a brindar la información que ese ente de control le ha requerido.”3 SÉPTIMO: Que mediante escrito radicado bajo número 20-448705- 16 de fecha de 4 de noviembre de 2021, el Titular XXXXXX XXXXXXx XXXXX XXXXXXX, a través de su apoderada, solicitó constituirse como tercero en la presente actuación administrativa.

OCTAVO: Que mediante Resolución N° 53127 del 9 de agosto de 2022, esta Dirección: (i) Incorporó las siguientes pruebas del expediente radicado bajo el número 20-448705, con el valor legal correspondiente: 8.1. Queja junto con anexos presentada por el denunciante el día 25 de noviembre de 2020, radicada bajo el número 20-448705-0. 8.2. Requerimiento de información a la investigada del 23 de abril de 2021 bajo el radicado N°. 20-448705 - 3. 8.3.

Comunicación al quejoso del 23 de abril de 2021 bajo el radicado N°. 20 - 448705 – 4. 8.4. Complemento de información del 28 de abril de 2021 bajo el radicado N°. 20-448705-5. 8.5. Respuesta a requerimiento de información por parte de la investigada del día 24 de mayo de 2021 bajo el radicado N°. 20-448705-8. 8.6. Complemento de información del 04 de noviembre de 2021 bajo el radicado N°. 20-44870516. 8.7.

Escrito de descargos junto con sus anexos del 02 de diciembre de 2021 bajo el radicado N°. 20- 448705-20. (ii) Reconoció como tercero interviniente al señor XXXXXX XXXXXXx XXXXX XXXXXXX, identificado con número de cédula CC XXXXXXXXX.. (iii) Así mismo, cerró la etapa probatoria y corrió traslado a las parte para alegar de conclusión, en caso de considerarlo pertinente.

NOVENO: Que la Resolución N° 53127 del 9 de agosto de 2022 le fue comunicada el 10 de agosto de 2022 a la investigada y al Titular XXXXXX XXXXXXx XXXXX XXXXXXX, en su calidad de tercero; de conformidad con la certificación radicada bajo el número 20-448705- 26 de 23 de agosto de 2022 expedida por la Secretaría General de esta Superintendencia.

DÉCIMO: Que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., presentó escrito de alegatos de conclusión bajo radicado 20-448705- 27 de fecha 25 de agosto de 2022 en el cual reiteró lo indicado en el escrito de descargos.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que 3 Expediente digital.

Consecutivo número 20. Página 5 Folios 4 a 6. 4 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 7 hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal d) del artículo 17, en concordancia con los literales d), f) y g) del artículo 4 de la misma Ley 1581 de 2012. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hecho y de derecho de la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 12.2 Valoración probatoria 12.2.1 Respecto del deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Al respecto, la normativa de Protección de Datos Personales establece lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” Artículo 4. Principios: “En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error;

(…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 8 las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento” Sea lo primero indicar que la regulación colombiana exige a los Responsables del Tratamiento “ser capaces de demostrar (…) que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”5 y en sus normas reglamentarias.

Por su parte, en cabeza de los Responsables de Tratamiento de datos personales se encuentra la de cumplir con los principios señalados en la ley tales como el de circulación restringida y de seguridad, de tal manera que se debe tener presente que los responsables del tratamiento deben garantizar, entre otras cosas, que la información personal no sea objeto de divulgación, pérdida, consulta, uso o acceso no autorizado.

Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulación y acceso de los datos tiene que estar controlada y restringida frente a terceros no autorizados, razón por la cual la ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin, como lo es el de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración pérdida consulta, uso o acceso no autorizado o fraudulento”.

Así pues, el Responsable deberá tener en cuenta diferentes variables para realizar un análisis de riesgo, como por ejemplo el volumen de la base de datos a la que realiza Tratamiento, así como la naturaleza de los datos, sitio y medio en el que se almacena la información, personas que tienen acceso a la misma, entre otras, a fin de establecer las vulnerabilidades en cada etapa del ciclo de vida del dato, con el fin de implementar las medidas o controles de seguridad que sean directamente proporcionales a los riesgos de los datos tratados.

De esta manera el legislador dispuso, entre otros, como principios rectores del Tratamiento y la administración de los datos personales, el principio de circulación restringida, el principio de seguridad. Al respecto la Corte Constitucional ha relacionado este deber con el principio de seguridad, manifestando que la “(…) información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”6.

Por su parte, frente al principio de confidencialidad señaló que “los datos se definen como públicos, privados o confidenciales en razón a su naturaleza no en razón de su grado de divulgación, aunque sea el mismo titular quien opte por revelarlos. En este orden de ideas, se estaría admitiendo el tratamiento sin consentimiento del titular y para una finalidad no autorizada por él, por parte de personas, autoridades o entes que pueden no contar con habilitación legal para ello”7.

Como se advierte, tanto el principio de acceso y circulación restringida como el de seguridad deben ser cumplidos por los Responsables y Encargados de información para garantizar el derecho de habeas data de los titulares, pues de la adopción de medidas de conservación de la información y de los controles de seguridad implementados depende de que se minimicen los riesgos de exposición de los datos personales.

Al respecto este Despacho considera de gran importancia señalar que, si bien la Superintendencia no ha emitido un listado taxativo de las medidas de seguridad que deben implementar los Responsables y Encargados del Tratamiento de datos personales, el artículo 26 y 27 del Decreto 1377 de 2013 vigentes para la época de los hechos y recopilados por el Decreto Único Reglamentario 1074 de 2015, ha establecido los parámetros con base en los cuales los Responsables deben implementar las medidas apropiadas y efectivas en cumplimiento de lo dispuesto por la Ley 1581 de 2012.

En efecto, las normas en cuestión señalan: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 5 Cfr. Artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 6 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. 7 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 9 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2.

La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. Por su parte, el artículo 27 estableció: “Artículo 27. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

De conformidad con lo anterior, es claro entonces que el Responsable de Tratamiento de Datos personales cuenta con unos lineamientos mínimos para implementar las medidas de seguridad que considerara aptas y suficientes con el fin de garantizar la protección de los datos personales de los Titulares registrados en sus bases de datos. En el caso concreto, esta Dirección encontró al momento de la Resolución N° 70093 de 29 de octubre 2021 que: “De esta manera, es posible determinar de manera preliminar que cuando la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con NIT. 800.153.993-7, compartió información del señor XXXXXX XXXXXXx XXXXX XXXXXXX al correo electrónico de un tercero, este expuso sus datos personales de carácter privado, contraviniendo así, presuntamente, el deber contenido en el literal d) del artículo 17 de la Ley 1581 de 2012 y los literales d), f) y g) del artículo 4 de la misma ley y los principios que regulan la administración de datos personales, en relación con la circulación de la información de los titulares y la seguridad que debe garantizarse en el uso y disposición de la misma en su calidad de Responsable del Tratamiento.” 8 En cuanto al acervo probatorio este Despacho observa lo siguiente: 8 Resolución N° 70093 de 29 de octubre 2021.

Folio 5. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 10 1. En la denuncia presentada el 25 de noviembre de 2020 el Titular XXXXXX XXXXXXx XXXXX XXXXXXX, a través de su apoderada especial, indicó: “(…) 4. El día 17 de Abril recibí una llamada a mi celular, del número móvil XX-XXXXXX. de un tercero; para mí desconocido, reclamándome, el porqué le están llegando a su correo electrónico, facturas de pago a mi nombre. 5.

Pude corroborar en la App Mi Claro que mi correo electrónico está bien registrado, por ello se evidencia un error de la compañía CLARO al estar enviando mi factura de cobro a un tercero NO AUTORIZADO y quien no conozco. 6. Han vulnerado el tratamiento de mis datos personales, toda vez que están violando mi privacidad, al revelar mis datos sensibles contenidos en la facturación a un tercero.” 9 Además, junto con la denuncia se aportaron, entre otros, los siguientes documentos10:  Imagen de la llamada recibida desde el número XX.

XXXXXX. el día 17 de Abril del 2020.  Imágenes de la conversación llevada a cabo a través de mensajes de texto con el número “XX. XXXXXX.”: 9 Expediente digital. Consecutivo número 0. Página 1. Folio 2. 10 Expediente digital. Consecutivo número 0. Página 1. Folio 2. “Por la cual se impone una sanción y se imparten órdenes administrativas”  HOJA 11 Copia del derecho de Petición interpuesto el día 30 de Mayo del 2020 ante la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., en el cual se indicaba lo siguiente: “REFERENCIA: DERECHO DE PETICION INFORMACIÓN. XXXXXX XXXXXXx XXXXX XXXXXXX, mayor de edad, vecino de esta ciudad, identificado con la cédula de ciudadanía número XXXXXXXXX. expedida en Bucaramanga, en ejercicio del derecho de petición consagrado en el artículo 23 de la Constitución Política de Colombia y con el lleno de los requisitos de los artículos 5 y 6 del Código Contencioso Administrativo y la ley 1755 de 2.015, de manera respetuosa presento escrito contentivo de solicitud de INFORMACIÓN conforme a los siguientes: “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 12 HECHOS 1.

En el mes de marzo solicite la portabilidad de mi línea Avantel a Claro. 2. El día 20 marzo aproximadamente, me llegó la Sim-Card a la dirección indicada en el proceso de portabilidad y la activé normalmente. 3. Me llegan los mensajes para el pago de la factura a mi celular, adicionalmente realice la descarga de la App Mi Claro y desde allí consulto el pago de mi facturación, por esa razón, nunca tuve la necesidad de verificar que llegara la factura a mi correo electrónico. 4.

El día 17 de Abril recibí una llamada a mi celular de un tercero; para mí desconocido, reclamándome, el porque le están llegando a su correo electrónico, facturas de pago a mi nombre. 5. Pude corroborar en la App Mi Claro que mi correo electrónico está bien registrado, por ello se evidencia un error de la compañía CLARO al estar enviando mi factura de cobro a un tercero no AUTORIZADO. 6.

Han vulnerado el tratamiento de mis datos personales, toda vez que están violando mi privacidad, al revelar mis datos sensibles contenidos en la facturación a un tercero. 7. Es importante precisar que el derecho al hábeas data, ha sido interpretado en la “Jurisprudencia Constitucional como una garantía del derecho a la intimidad, de manera que se hablaba de la protección de datos referidos a la vida privada y familiar del individuo entendido como una esfera individual impenetrable”.

PETICIÓN Basado en los hechos antes narrados, solicito de manera inmediata me informen, ¿de qué manera van a subsanar los daños causados?, por el mal manejo de mis datos personales.”  Copia de la respuesta dada el 22 de Junio del 2020 por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. al derecho de petición interpuesto por el Titular: “Por la cual se impone una sanción y se imparten órdenes administrativas”  HOJA 13 Copia del recurso de reposición interpuesto por el titular el día 25 de Junio del 2020, en el cual indicaba: “REFERENCIA: RECURSO DE REPOSICIÓN. XXXXXX XXXXXXx XXXXX XXXXXXX, mayor de edad, vecino de esta ciudad, identificado con la cédula de ciudadanía número XXXXXXXXX.. expedida en Bucaramanga, de manera respetuosa presento RECURSO DE REPOSICIÓN EN SUBSIDO CON EL DE APELACIÓN conforme a los siguientes:

HECHOS 1- El derecho de petición debe ser claro preciso, congruente con lo solicitado por el peticionario, porque así lo dice la norma. (¨El derecho fundamental de petición propende por la interacción eficaz entre los particulares y las entidades públicas o privadas, obligando a éstas a responder de manera oportuna, suficiente, efectiva y congruente las solicitudes hechas por aquellos.

Faltar a alguna de estas características se traduce en la vulneración de esta Garantía Constitucional¨). 2- En ningún momento se manifiestan respecto a los hechos narrados. 3- La respuesta es incongruente, ¿cómo pueden mencionar dentro de sus requisitos?, que si quiere otorgue un poder a un tercero; cuando yo puedo actuar en nombre propio y hacer esta reclamación, la razón, la ley así me lo permite. 4- Al parecer, la persona a quien le correspondió dar respuesta al recurso interpuesto, no se tomó el tiempo necesario para leer el escrito, es lo que se ve reflejado en la comunicación que emiten. 5- En la ley 1755 del 2.015, está establecido: “Artículo 14.

Términos para resolver las distintas modalidades de peticiones. Salvo norma legal especial y so pena de sanción disciplinaria, toda petición deberá resolverse dentro de los quince (15) días siguientes a su recepción. Estará sometida a término especial la resolución de las siguientes peticiones: 1. Las peticiones de documentos y de información deberán resolverse dentro de los diez (10) días siguientes a su recepción. Si en ese lapso no se ha dado respuesta al peticionario, se entenderá, para todos los efectos legales, que la respectiva solicitud ha sido aceptada y, por consiguiente, la administración ya no podrá negar la entrega de dichos documentos al peticionario, y como consecuencia las copias se entregarán dentro de los tres (3) días siguientes”… Ustedes responden 15 días después, el termino son 10 días? Cuál es la razón? “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 14 6- Nunca he recibido a mi correo electrónico la factura de cobro del servicio por parte de Claro, siempre le ha llegado y le sigue llegando a un tercero desconocido para mí. PETICIÓN Basado en los hechos antes narrados, solicito de manera inmediata me informen, ¿de qué manera van a subsanar los daños causados?, por el mal manejo de mis datos personales.

Están vulnerando la ley de habeas data, no se toman el tiempo para tratar de corroborar y/o verificar lo manifestado en el derecho interpuesto.”  Copia de la respuesta dada el 17 de Julio del 2020 por la sociedad al derecho de petición interpuesto por el Titular:  Copia del derecho de Petición interpuesto el día 05 de Agosto del 2020 ante la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., en el cual se indicaba lo siguiente: “Por la cual se impone una sanción y se imparten órdenes administrativas”  HOJA 15 Copia de la respuesta dada el 28 de agosto del 2020 por la sociedad al derecho de petición interpuesto por el Titular: 2.

Mediante Oficio de radicado No. 20-448705- -3 del 23 de abril de 2021, esta Dirección le solicitó a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., lo siguiente: “4. Acredite cuáles fueron el correo electrónico y el número de celular registrados por parte del Titular XXXXXX XXXXXXx XXXXX XXXXXXX, para efecto de recibir notificaciones y/o facturación de su cuenta de telefonía celular. 5.

Explique las condiciones de tiempo, modo y lugar por las cuales la factura del Titular XXXXXX XXXXXXx XXXXX XXXXXXX, presuntamente fue enviada al número de celular XX.XXXXXX.. 6. Informe si ha reportado incidentes de seguridad en relación con la cuenta del Titular XXXXXX XXXXXXx XXXXX XXXXXXX”11 11 Expediente digital. Consecutivo número 3.

Página 2. Folio 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 16 3. Mediante escrito radicado bajo No. 20-448705- -8 el 24 de mayo de 2021 la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. dio respuesta al anterior requerimiento informando lo siguiente: 4. “De conformidad con la grabación del contrato de la línea celular XXXXXXXX. con referencia XXXXXXXX, se encuentra registrado el correo electrónico informado por el usuario: xxxxxxxxxxxxxxxxxxxxxxx” 5.

“Teniendo en cuenta la validación efectuada por el área de facturación de la compañía, se registran mensajes de texto correspondientes a la entrega de la factura de los meses de marzo, abril y mayo de 2020, los cuales fueron enviados a la línea celular XXXXXXXX., adjuntamos soporte del sistema: Es importante manifestar que no se encontraron mensajes SMS de entrega de facturas al número celular XXXXXXXX.” 6.

“De acuerdo con la validación efectuada por el área de facturación, no se han presentado inconvenientes en la entrega de las facturas, las cuales han sido entregadas a los correos electrónicos relacionados en el sistema de la línea celular XXXXXXXX.. Al respecto, es importante indicar que se encontraba registrado el correo electrónico: xxxxxxxxxxxxxxxxxxxxxxx posteriormente el día 17 de julio de 2020, registra un cambio de correo electrónico a xxxxxxxxxxxxxxxxxxxxxxx.

La compañía mediante comunicado XXXXXXXXXXXX del 17 de julio de 2020 le informó al usuario que se procedía a corregir el correo electrónico para la entrega de la factura por el xxxxxxxxxxxxxxxxxxxxxxx y adicionalmente fue efectuado un ajuste por valor de $280.052.83 impuestos incluidos, por concepto del cargo fijo mensual desde el momento en que se activó la línea celular del 10 de marzo al 11 de agosto del 2020.

Anexamos factura del mes de agosto de 2020 en la que se evidencia el ajuste efectuado en la línea XXXXXXXX. y los soportes de entrega de las facturas de los meses de agosto de 2020 a mayo de 2021 al correo electrónico: xxxxxxxxxxxxxxxx.xxxxxxx”12 Así mismo, dentro de los documentos aportados se evidencian, entre otros, los siguientes: 12 Expediente digital.

Consecutivo número 8. Página 2. Folios 2 a 3. “Por la cual se impone una sanción y se imparten órdenes administrativas” - HOJA 17 Imágenes del sistema en el que se evidencia la información registrada para la línea celular XXXXXXXX.13: - Manuales de los procedimientos establecidos para la atención de las peticiones y reclamos14. - Política de seguridad de la información15 - Factura No. XXXXXXXXX..16 con fecha de facturación del 12 de agosto de 2020: 13 Expediente digital.

Consecutivo número 8. Página 14. Folios 1 a 2. 14 Expediente digital. Consecutivo número 8. Páginas 12, 13, 15 y 21. 15 Expediente digital. Consecutivo número 8. Página 25. 16 Expediente digital. Consecutivo número 8. Página 24. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 18 7. Por su parte la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. en el escrito de descargos estableció lo siguiente: “(…) debemos manifestar lo siguiente: 1.

La línea celular XXXXXXXX. fue activada el día 10 de marzo de 2020 por solicitud de portabilidad del titular XXXXXX XXXXXX XXXXX XXXXXXX; para la activación del servicio la compañía efectuó grabación del contrato en el que consta que el usuario autorizó de manera previa y expresa el tratamiento de sus datos personales y adicionalmente fue informado en el minuto 4:20 sobre las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada, así: “Señor Xxxxx.

XXXX autoriza a CLARO para realizar el tratamiento de sus datos personales con fines de prestación de servicio relación contractual comercial y publicitarios y trasmisión de datos a terceros en los términos detallados en la política de tratamiento disponible para consulta en www.claro.com.co usted puede consultar, actualizar y rectificar sus datos solicitar o revocar esta autorización conocer el uso dado a sus datos y contactar a la Superintendencia de Industria y Comercio acepta sí o no? a lo que contesto: si” Es importante resaltar que en la grabación del contrato se le informó al titular XXXXXX XXXXXXx XXXXX XXXXXXX que tiene el derecho de consultar, actualizar y rectificar sus datos; es decir la compañía al momento de solicitar la autorización, le informó de manera clara y expresa los derechos que le asisten como titular, es decir desde el momento de la contratación del servicio, el usuario puede contactar a la línea de atención al cliente de la compañía para consultar y actualizar sus datos personales.

De conformidad con la grabación del contrato de la línea celular XXXXXXXX. con referencia XXXXXXXX., se evidencia en la misma que el titular señaló como correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxx sin embargo, el asesor comercial por un error de digitación en el formulario de venta registró el correo: xxxxxxxxxxxxxxxxxxxxxxx. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 19 El día 25 de junio de 2020 el titular presentó derecho de petición ante la compañía, por el no envío de su facturación al correo electrónico;

COMCEL mediante comunicado XXX XXXXXXXXX. del 17 de julio de 2020, le informó al usuario que se procedía a corregir el correo electrónico para la entrega de la factura la cual sería remitida al correo: xxxxxxxxxxxxxxxxxxxxxxxxxxxx; adicionalmente la compañía efectuó un ajuste por valor de $280.052.83 impuestos incluidos, por concepto del cargo fijo mensual desde el 10 de marzo fecha en la que se activó la línea celular, al 11 de agosto del 2020.

La compañía identificó de manera oportuna y corrigió de manera inmediata el correo electrónico de facturación de la línea celular XXXXXXXX., la cual sería enviada al correo electrónico: xxxxxxxxxxxxxxxxxxxxxxx. Es importante señalar que la compañía implementó como plan de mejora desde el mes de abril de 2020, un proceso de validación, digitación y seguimiento para el BackOffice del área de ventas en el que la digitación de datos personales se efectúa a través del modelo de PAP (Paso a paso) lo que obliga al asesor confirmar cada uno de los datos registrados en el formulario de venta con los registrados en la grabación, por lo tanto la compañía hace más de un año reforzó esta acción de mejora, para evitar errores de digitación en la información personal.

Por otra parte, las facturas de la línea celular XXXXXXXX. han sido enviadas al correo señalado por el titular, tal y como se evidencia en la impresión del sistema: Como se evidencia de lo anteriormente expuesto, para el caso en particular, es claro que COMCEL S.A. en su calidad de Responsable del tratamiento de los datos del señor XXXXXX XXXXXXx XXXXX XXXXXXX CUMPLIÓ con el deber establecido en el artículo 17 de la Ley 1581 de 2012 consistente en rectificar la información y adicionalmente conforme a la misma norma realizó las respectivas gestiones para enviar la facturación al correo electrónico informado por el Titular.

En este caso reiteramos que COMCEL en su calidad de Responsable del tratamiento de los datos personales del Titular, procedió a rectificar la información y adoptó las medidas necesarias para mejorar el proceso de validación, digitación y seguimiento para el BackOffice del área de ventas por medio del modelo de PAP (Paso a paso), es decir reforzó las medidas para garantizar la seguridad del dato, y de acuerdo con el principio de veracidad de la información, la información del titular XXXXXX XXXXXXx XXXXX XXXXXXX se encuentra exacta y actualizada en las bases de datos de la compañía, tal y como se evidencia en la impresión del sistema: “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 20 De acuerdo con todo lo anteriormente expuesto, atentamente nos permitimos manifestar que COMCEL cumplió con el deber como Responsable de la información de conservar la misma, bajo las condiciones de seguridad de acuerdo a lo ordenado en los literales d), y g) del artículo 17 de la Ley 1581 de 2012 y literal d) del artículo 4 de la misma Ley, y en el caso que nos ocupa al detectar un error, COMCEL procedió de inmediato a rectificar la información y reforzó las medidas adoptadas para la seguridad del dato.

En cuanto al cargo único, de manera atenta se solicita que el despacho al momento de evaluar el presente caso, de aplicación a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012 e imponga como máximo la amonestación, ya que, tal y como se desprende de los hechos antes narrados, el asesor comercial por un error de digitación en el formulario de venta registró el correo: xxxxxxxxxxxxxxxxxxxxxxx y la compañía al darse cuenta del error, procedió a rectificar la información de manera diligente, con veracidad y con el cumplimiento de las demás normas aplicables en estos casos y ha estado como siempre dispuesta a brindar la información que ese ente de control le ha requerido.”17 De conformidad con lo anterior, esta Dirección evidencia que: 1.

La línea celular XXXXXXXX. fue activada el día 10 de marzo de 2020 por solicitud de portabilidad del titular XXXXXX XXXXXXx XXXXX XXXXXXX. 2. De acuerdo a lo informado por la sociedad “el asesor comercial por un error de digitación en el formulario de venta registró el correo: “xxxxxxxxxxxxxxxxxxxxxxx” en vez de “xxxxxxxxxxxxxxxxxxxxxxx”. 3.

El 17 de abril de 2020 un tercero se comunicó con el Titular XXXXXX XXXXXXx XXXXX XXXXXXX a través de la línea de celular XX-XXXXXX., para indicarle que estaba recibiendo en su correo electrónico facturas emitidas por CLARO a nombre del Titular. 4. El 30 de mayo del 2020 y 25 de junio del 2020 el titular interpuso derechos de petición ante la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. informando que su facturación estaba llegando al correo electrónico de un tercero no autorizado. 5.

El 17 de julio de 2020, la sociedad realizó el cambio de la dirección de correo electrónico de envío de la facturación a “xxxxxxxxxxxxxxxxxxxxxxx”. Como se denota, la sociedad investigada debido a un error de digitación por parte de un asesor comercial remitió la facturación del titular XXXXXX XXXXXXx XXXXX XXXXXXX al correo electrónico de un tercero. Debido a esto, el tercero no autorizado tuvo acceso a los datos personales del Titular XXXXXX XXXXXXx XXXXX XXXXXXX.

Así, resulta claro que debido a los correos remitidos se compartió información personal del Titular como su nombre completo, su dirección, su número de línea celular, y la información de su cuenta de línea celular (el nombre de la empresa prestadora del servicio, el número de cuenta, el número de referencia de pago, los datos del consumo de la cuenta, la fecha de pago oportuno, la fecha de corte de servicios, etc).

De esta manera, se logra colegir que la investigada actuó de una manera negligente al no conservar la información personal del titular bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; puesto que divulgó los datos personales del titular con un tercero no autorizado al enviar la facturación de la línea celular XXXXXXXX. al correo “xxxxxxxxxxxxxxxxxxxxxxx”.

En consecuencia, la conducta de la investigada 17 Expediente digital. Consecutivo número 20. Página 5 Folios 4 a 6. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 21 se tipifica como un incumplimiento del literal d) del artículo 17, en concordancia con los literales d), f) y g) del artículo 4 de la misma Ley 1581 de 2012.

De manera que, se procederá a imponer la sanción correspondiente. Así mismo, si bien la sociedad afirma que “la compañía implementó como plan de mejora desde el mes de abril de 2020, un proceso de validación, digitación y seguimiento para el BackOffice del área de ventas en el que la digitación de datos personales se efectúa a través del modelo de PAP (Paso a paso) lo que obliga al asesor confirmar cada uno de los datos registrados en el formulario de venta con los registrados en la grabación”18, este Despacho no evidencia que la sociedad haya aportado pruebas de su implementación. Por tanto, con el fin de que hechos como el denunciado no vuelvan a presentarse se procederá a impartir una orden administrativa al respecto, en aras de que la sociedad acredite ante este Despacho las medidas correctivas adoptadas.

DÉCIMO TERCERO: Conclusiones El Despacho evidenció que la investigada actuó de una manera negligente al no conservar la información personal del titular bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; puesto que divulgó datos personales del titular, como su nombre completo, su dirección, su número de línea celular, y la información de su cuenta de línea celular (el nombre de la empresa prestadora del servicio, el número de cuenta, el número de referencia de pago, los datos del consumo de la cuenta, la fecha de pago oportuno, la fecha de corte de servicios, etc), con un tercero no autorizado al enviar la facturación de la línea celular XXXXXXXX. al correo “xxxxxxxxxxxxxxxxxxxxxxx”.

DÉCIMO CUARTO: Órdenes administrativas En este orden de ideas y una vez efectuado el análisis del escrito de descargos allegado por la sociedad investigada, así como el conjunto de pruebas obrantes en el expediente esta Dirección considera necesario impartir, las siguientes instrucciones: 14.1 La sociedad COMUNICACION CELULAR S.A. COMCEL S.A. deberá acreditar los procedimientos implementados al interior de la organización para evitar que hechos como el denunciado vuelvan a suceder y que se compartan datos personales con terceros no autorizados.

De lo anteriormente ordenado la Responsable de Tratamiento de Datos personales deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término y el modo señalado en la parte resolutiva del presente acto administrativo. 14.2 Respecto de la Responsabilidad de los Administradores en materia de Datos Personales El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. 18 Expediente digital. Consecutivo número 20.

Página 5 Folios 4 a 6. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 22 Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 19 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”20 (Subrayado fuera del texto original) Nótese que el artículo 2421 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”22.

En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En virtud de todo lo anterior, EXHORTAMOS al representante legal de la sociedad COMUNICACION CELULAR S.A. COMCEL S.A. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la 19 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 20 Crf.

Numeral 2 del artículo 23 de la ley 222 de 1995 21 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos. 22 Crf.

Parte inicial del artículo 24 de la ley 222 de 1995 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 23 principio de responsabilidad demostrada (accountability)”23. 2. Respetar y garantizar los derechos de los titulares de los datos. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4.

Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 5. Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1. Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. 23 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 24 En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2023 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Por una otra, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional24 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulta excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad25 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la 24 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 25 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 25 conciencia de la humanidad26”. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 27.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2328 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

La norma, pues, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por la Ley 1581 de 2012, entre otros, la protección del derecho fundamental a la protección de datos personales. Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: 26 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. 27 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 28 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 26 “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad29” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados30.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada vulneró el derecho fundamental de habeas data del titula y puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 por cuanto se encontró probado que la sociedad actuó de una manera negligente al no conservar la información personal del titular bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; en la medida en que compartió con terceros no autorizados los datos personales del denunciante.

Así las cosas, como sanción esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de NOVENTA MILLONES CUARENTA MIL SEISCIENTOS SETENTA Y SEIS PESOS M/CTE ($90.040.676) equivalente a DOS MIL CIENTO VEINTITRÉS (2.123) Unidades de Valor Tributario (UVT)31, por la vulneración del deber establecido en el literal d) del artículo 17, en concordancia con los literales d), f) y g) del artículo 4 de la misma Ley 1581 de 2012. 15.1.2 Reconocimiento o aceptación de la infracción El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la investigada se allanó al cargo mediante escrito radicado bajo número 20-448705- 1.20 de fecha de 2 de diciembre de 2021, en donde manifestó: En cuanto al cargo único, de manera atenta se solicita que el despacho al momento de evaluar el presente caso, de aplicación a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012 e imponga como máximo la amonestación, ya que, tal y como se desprende de los hechos antes narrados, el asesor comercial por un error de digitación en el formulario de venta registró el correo: xxxxxxxxxxxxxxxxxxxxxxx y la compañía al darse cuenta del error, procedió a rectificar la información de manera diligente, con veracidad y con el cumplimiento de las demás normas aplicables en estos casos y ha estado como siempre dispuesta a brindar la información que ese ente de control le ha requerido.”32 En consecuencia, esta Dirección procederá a reducir la sanción impuesta de NOVENTA MILLONES CUARENTA MIL SEISCIENTOS SETENTA Y SEIS PESOS M/CTE ($90.040.676) 29 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 30 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 31 La Dirección de Impuestos y Aduanas Nacionales –DIAN- mediante la Resolución 1264 del 18 de noviembre del 2022, fijó en $42.412 el valor de la unidad de valor tributario (UVT), que entra a regir a partir del 1º de enero del 2023. 32 Expediente digital.

Consecutivo número 20. Página 5. Folio 6. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 27 equivalente a DOS MIL CIENTO VEINTITRÉS (2.123) Unidades de Valor Tributario (UVT), a un valor de CUARENTA Y CINCO MILLONES CUARENTA Y UN MIL QUINIENTOS CUARENTA Y CUATRO PESOS M/CTE ($45.041.544) correspondientes a MIL SESENTA Y DOS (1.062) Unidades de Valor Tributario (UVT). 15.1.3 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción;

(iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio.

DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con Nit. 800.153.993-7, con el correo electrónico de notificación judicial notificacionesclaro@claro.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-448705. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7 de CUARENTA Y CINCO MILLONES CUARENTA Y UN MIL QUINIENTOS CUARENTA Y CUATRO PESOS M/CTE ($45.041.544) correspondientes a MIL SESENTA Y DOS (1.062) Unidades de Valor Tributario (UVT), por el incumplimiento a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales d), f) y g) del artículo 4 de la misma Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, para que, en su calidad de responsable del Tratamiento, cumpla con las siguientes órdenes:  La sociedad COMUNICACION CELULAR S.A. COMCEL S.A. deberá acreditar los procedimientos implementados al interior de la organización para evitar que hechos como el HOJA 28 “Por la cual se impone una sanción y se imparten órdenes administrativas” denunciado vuelvan a suceder y que se compartan datos personales con terceros no autorizados.

ARTÍCULO TERCERO: La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con el NIT 800.153.993-7 deberá cumplir lo ordenado en esta resolución dentro de los 15 días hábiles siguientes a la ejecutoria del presente acto administrativo. PARÁGRAFO PRIMERO: Para demostrar el cumplimiento, la sociedad deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad; sin perjuicio de que las misma puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, acreedora de las sanciones previstas en la ley.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, a través de su representante legal y apoderada especial, entregándoles copia de esta Resolución e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: NOTIFICAR personalmente el contenido de la presente resolución al Titular XXXXXX XXXXXXx XXXXX XXXXXXX, identificado con cédula de ciudadanía número XXXXXXXXX.., a través de su apoderada especial, entregándole copia de esta Resolución e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO SEXTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE, Y CÚMPLASE Dada en Bogotá, D.C., 08 JUNIO 2023 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2023.06.08 15:15:10 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LCAF Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 29 NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: COMUNICACIÓN CELULAR S.A. COMCEL S.A. 800.153.993-7 CARLOS HERNÁN ZENTENO DE LOS SANTOS C.E. 590.584 notificacionesclaro@claro.com.co Carrera 68A No. 24B - 10 Bogotá D.C. Apoderada: Identificación: Correo electrónico: PATRICIA OLIVEROS LAVERDE C.C. 41.581.346 oliverpa@gmail.com NOTIFICACIÓN: Titular: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXX XXXXXXx XXXXX XXXXXXX C.C. XXXXXXXXX.. xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxx Apoderada: Identificación: Dirección: Ciudad: Correo electrónico: EDILSA RAMÍREZ BAUTISTA C.C. 63.334.875 Carrera 4 A #39-45 Piso I Barrio La Joya Bucaramanga – Santander ramirezedilsa@hotmail.com