Reposición 29069 de 2025 — SIC

(02 de enero de 2025) “Por la cual se resuelve recurso de reposición” VERSIÓN ÚNICA Radicación 22-470269 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 29069 del 5 de junio del 2024, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3 de DOSCIENTOS CINCUENTA Y NUEVE (259) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TREINTA MIL CUARENTA Y CUATRO (30.044) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRESCIENTOS VEINTINUEVE MILLONES ONCE MIL OCHOCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($329.011.844), por la vulneración de las disposiciones establecidas en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley.

(…)

ARTÍCULO 2: ORDENAR a la sociedad CREDIVALORES CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, cumplir con las siguientes instrucciones: • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial. • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para dar respuesta a los requerimientos y eventuales ordenes que profiera este Despacho.

Parágrafo Primero: La sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión, una certificación suscrita por el representante legal de la sociedad, junto con las pruebas suficientes que demuestren dicha implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la (…)”.

SEGUNDO: Que la Resolución N°. 29069 del 5 de junio del 2024 se notificó por aviso N° 10387 el 17 de junio del 2024 a la sociedad CREDIVALORES CREDISERVICIOS S.A., identificada con NIT. 805.025.964-3, según consta en “Por la cual se resuelve recurso de reposición” la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-470269-21 del 21 de junio del 2024.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito del 28 de junio del 2024 radicado bajo el número 22-470269-22 y 22-47026923 la sociedad CREDIVALORES - CREDISERVICIOS S.A., a través de su apoderado general, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N°. 29069 del 5 de junio del 2024, con fundamento en los siguientes motivos: “(…) 1.

EXISTENCIA, IMPLEMENTACIÓN Y APLICACIÓN DE HERRAMIENTAS PERTINENTES DE PROTECCIÓN DE DATOS PERSONALES. En esta oportunidad, haciendo honor a la transparencia predicada como uno de los valores de Credivalores y desde el mismo momento de la presentación de descargos en virtud a dar cumplimiento a lo dispuesto en la Resolución No. 88424 de 14 de diciembre de 2022 que abrió investigación y formuló cargos contra la sociedad CREDIVALORES, mi representada se acogió a lo normado en el literal f del artículo 19 de la Ley 1266 de 2008 respecto a un cargo, revelando respeto por la actuación de la Superintendencia de Industria y Comercio, aclarando que la omisión por la cual se requirió corresponde a un hecho aislado, frente al cual nos comprometemos a tomar medidas a fin de evitar su repetición. Es por ello que Credivalores, se encuentra en un proceso permanente de mejora, no solo con el fin de acatar componentes propios de control interno, sino de incidir en la satisfacción del cliente externo de Credivalores y de sus grupos de interés, entre ellos las entidades de control y vigilancia, es decir la Superintendencia de Industria y Comercio.

Así las cosas, el compromiso de Credivalores es observar de manera estricta el principio de responsabilidad demostrada, para lo cual cuenta con un programa integral de protección de datos enfocado en la implementación de procedimientos internos y medidas apropiadas, efectivas y verificables para el adecuado tratamiento de los datos personales.

De este modo y teniendo en cuenta que la investigación administrativa que nos atañe es liderada por la Dirección de investigación de protección de datos personales, Credivalores expone a su entidad la existencia, verificación constante y aplicación de la Política para el tratamiento y protección de datos personales que puede ser consultada en el Manual denominado: “Políticas y procedimientos para el tratamiento Y protección de datos personales”, de acceso público y de conocimiento de los colaboradores de Credivalores.

Manual en el que entre otros se describen todas aquellas actividades que constituyen tratamiento de datos personales, buscando garantizar los derechos de la privacidad y habeas data de los titulares de información personal, lo anterior y de manera literal, con el fin de “proteger la finalidad, confidencialidad, transparencia, veracidad, integridad y seguridad de la información personal de sus clientes, proveedores, colaboradores, accionistas y demás partes interesadas se han establecido los criterios para su recolección, tratamiento, uso, transmisión, actualización y/o supresión.” Esta acción es una muestra tangible de la responsabilidad que Credivalores predica, en relación al principio mencionado la Sentencia C-032 de 2021 de la honorable Corte Constitucional, realiza un estudio del mismo, en la que se explica: “El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013.

El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y “Por la cual se resuelve recurso de reposición” Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.

Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;

(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.

Este principio, cuyo origen se remonta a estándares internacionales sobre la protección de datos personales y, en particular, su circulación transfronteriza, logra reconocimiento jurídico en el derecho interno y, en la medida en que está dirigido a la satisfacción de las garantías que componen el derecho al habeas data y que están consagradas a favor del titular del dato personal, es por entero compatible con la Constitución.” Ahora bien, la Ley Estatutaria 2157 de 2021, que modificó y adicionó la Ley 1266 de 2008, introdujo el principio de responsabilidad demostrada en la administración de las bases de datos de carácter financiero o crediticio.

De acuerdo con esta normativa, los operadores, las fuentes y los usuarios deben demostrar que han implementado “medidas apropiadas, efectivas y verificables para cumplir con las disposiciones de la Ley 1266 de 2008”. Estas medidas deben ser proporcionales frente a: (i) la naturaleza jurídica del operador, la fuente o el usuario; (ii) el tamaño de la empresa;

(iii) la naturaleza de los datos personales; (iv) el tipo de tratamiento; (v) los riesgos potenciales que se pueda causar a los derechos de los titulares. En líneas generales, las medidas organizacionales y técnicas implementadas para cumplir con el referido principio habrán de determinarse con base en una evaluación de las actividades de procesamiento y de los riesgos inherentes a estas.

De ahí que para garantizar el principio de responsabilidad demostrada, en los precisos términos previstos en la Ley 2157 de 2021, los operadores, las fuentes y los usuarios tienen la obligación de: (i) crear una organización administrativa para la adopción de políticas acordes con el marco normativo de protección de datos personales; (ii) adoptar mecanismos internos para poner en práctica esas políticas; y, (iii) establecer procesos para la atención de consultas, peticiones y reclamos de los titulares, relacionados con el tratamiento de los datos.

Lo anterior, no solo con especial énfasis en la calidad, confidencialidad y seguridad de la información, sino también en acatamiento de la comunicación previa del reporte negativo y de la atención oportuna de consultas y reclamos de los titulares de los datos. En síntesis, bajo el principio de responsabilidad demostrada, a los encargados del tratamiento de datos personales les asiste la obligación general de adoptar medidas apropiadas, efectivas y verificables para proteger el derecho fundamental de habeas data.

Estas medidas deberán garantizar, como mínimo y en cualquier operación de procesamiento de datos personales: (i) una organización “Por la cual se resuelve recurso de reposición” administrativa para cumplir con estas políticas; (ii) un mecanismo interno para hacerlas efectivas; y, (iii) un proceso adecuado de consultas, peticiones y reclamos que garantice la confidencialidad y seguridad de la información. Es por lo anterior que Credivalores acatando la disposición normativa, cuenta con el Manual denominado: “Políticas y procedimientos para el tratamiento Y protección de datos personales” y el “Aviso de privacidad”, los cuales se encuentran publicados en la página web: “Por la cual se resuelve recurso de reposición” Publicaciones que encuentran relación directa con la norma y la jurisprudencia expuesta y que encuentran plena correspondencia con lo expuesto por la Superintendencia de Industria y Comercio en la Resolución que se recurre, es por ello que, si bien han podido existir algunas falencias en casos específicos y aislados, Credivalores ha adoptado las medidas expuestas para cumplir con el referido derecho, medidas que son útiles, pertinentes y eficientes. 2.

OBSERVANCIA Y CUMPLIMIENTO A REQUERIMIENTOS DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. 2.1 DEL CASO ESPECIFICO INVESTIGADO. En cumplimiento de lo ordenado mediante Resolución No. 35555 de 2021 la Superintendencia de Industria y Comercio dentro de la investigación administrativa de la referencia, Credivalores procedió de manera inmediata a realizar la corrección del reporte de los vectores negativos en las Centrales de Riesgo, atendiendo la orden impartida por la autoridad.

Actitud que implica el “cumplimiento efectivo de lo decidido en el fallo”, tal y como lo establece la sentencia C- 980 de 2010 de la honorable Corte Constitucional, como uno de los componentes del debido proceso: “a) El derecho a la jurisdicción, que a su vez implica los derechos al libre e igualitario acceso ante los jueces y autoridades administrativas, a obtener decisiones motivadas, a impugnar las decisiones ante autoridades de jerarquía superior, y al cumplimiento de lo decidido en el fallo.” El argumento no es otro más que tener en cuenta que Credivalores, no es impoluto frente a posibles errores, como bien lo entiende la entidad de control, todas las personas jurídicas se conforman de recurso humano que por naturaleza somos sujetos falibles, no obsta esta situación, para reconocer y hacer todo lo posible por crear herramientas que eviten justamente omisiones como las que se investigaron en el curso de la investigación que nos ocupa.

El requerimiento realizado a Credivalores, de fecha 18 de enero de 2021 por parte de la Superintendencia, se generó en un momento en el que aún nos encontrábamos en proceso de normalización de un gran volumen de requerimientos derivados de nuestros clientes como consecuencia de la pandemia por el Covid – 19, situación que implicó de manera innegable a una serie de ajustes en la forma de vida y en la forma de trabajo, por ello existieron algunos requerimientos que, no fueron atendidos oportunamente, sin que ello implique un desconocimiento de la autoridad de la SIC.

Ante la afirmación que Credivalores no ha acreditado el cumplimiento a las órdenes impartidas por la Dirección de Investigación de Protección de Datos Personales, como consecuencia de las actuaciones administrativas adelantadas para garantizar el derecho fundamental de hábeas data de los titulares de la información. Me permito solicitar se considere que las situaciones en mención sucedieron por hechos imprevistos que derivaron en la falta por parte de Credivalores, sin embargo, es posible afirmar que, lo ocurrido fue un error que no se encuentra alineado con las políticas internas de la compañía, ya que se ha demostrado en todo momento la disposición de colaborar y cumplir con su deber de atender a la autoridad.

Por lo tanto, rogamos que esta situación no sea tomada como reincidencia, sino que se constaten los actos de cumplimiento y buena fe de Credivalores. Así las cosas, a manera de ejemplo, me permito relacionar diferentes casos en los que su Despacho puede constatar que sí se ha dado estricto cumplimiento a las ordenes impartidas: “Por la cual se resuelve recurso de reposición” “Por la cual se resuelve recurso de reposición” En este cuadro se puede evidenciar que se dio cumplimiento con lo impartido en cada una de las órdenes de la Superintendencia de Industria y Comercio.

Así pues, es claro que Credivalores procedió a acatar cada uno de los requerimientos u órdenes, en el sentido de solicitar la eliminación de los reportes negativos en todos los casos ordenados por su Dirección. Se reitera que la situación en particular, hace parte de un hecho excepcional y como falencia detectada, se procedió a corregir a fin de evitar su reiteración.

3. DEL PRINCIPIO DE PROPORCIONALIDAD IMPOSICIÓN DE SANCIONES ADMINISTRATIVAS. EN LA Credivalores en algunas de las intervenciones ante la Superintendencia, siempre ha expresado la aceptación en la omisión de la respuesta oportuna y en otros casos acepto su responsabilidad frente a los requerimientos de la dirección de Investigación de Protección de Datos Personales.

Por ello, me permito insistir en que la falencia, estuvo en la falta de respuesta a los requerimientos de la SIC por la desafortunada cantidad de requerimientos y la desatención involuntaria a la solicitud, no obstante, ya se ha implementado los mecanismos necesarios para dar respuesta a los requerimientos de Dirección de Investigación de Protección de Datos Personales.

Entendiendo que se trató de un caso aislado, no se encuentra acreditado un daño a la comunidad en general, ni existe prueba de que se haya puesto en peligro un interés tutelado. Con lo anterior Credivalores, no sólo cuenta con los soportes correspondientes para que los consumidores o público en general, sino que brinda todos los medios para que estos puedan comunicarle las inquietudes o quejas que presenten.

Adicionalmente, estas inquietudes o quejas son atendidas y resueltas, siendo este uno de los fines de la protección de datos personales. Respecto a la dimensión del daño para determinar la sanción, la entidad sancionatoria presume la violación a cargo de Credivalores, pero estas faltas, como ya se indicó, ya se corrigieron, y carece del alcance que se le da en la Resolución atacada, jamás puede entenderse de una magnitud tan alta como para imponer una sanción como la que se predica por parte de esta Superintendencia. Al verificar si, con el caso expuesto en la Resolución que nos ocupa, pudo existir un daño al demandante, debe concluirse que tal presupuesto no existió, pues se trató de una afectación puntual y alejada del verdadero actuar de mi representada se acepta la omisión de informar a la central de riesgo que la información reportada estaba en discusión, téngase en cuenta que a la denunciante se le dio respuesta de las dos reclamaciones realizadas en las que se aclaran los motivos, por los cuales para mi representada sí cumplió con lo normado en la Ley 1266 de 2008.

Ahora bien, conforme a lo normado en el literal f del artículo 19 de la ley 1266, se aceptó la omisión realizada, empero se está en curso de establecer ajustes a los procedimientos internos para dar respuestas a los requerimientos de la SIC de manera oportuna, evitando errores humanos que redunden en algún caso excepcional como el que nos atañe. Se solicita respetuosamente, a modo de atenuación que la graduación que por ley corresponde hacer a la administración al imponer una sanción, entendiendo que: “Por la cual se resuelve recurso de reposición” Credivalores no obtuvo beneficio alguno con las conductas que se le imputan. - Credivalores no obstruyó la investigación. Credivalores no se rehusó al cumplimiento de las instrucciones de la entidad.

Así mismo, es preciso recordar que el derecho administrativo sancionador, debe estar regido por criterios de objetividad e imparcialidad, para asegurar el respeto a la Constitución y la ley y no debe obedecer a una desbordada potestad de la administración, que lesione el patrimonio de particulares como es el caso que nos ocupa. Lo anterior, por cuanto en la Resolución impugnada se impone a mi representada una sanción, con lo cual, se entendería que la Administración debió probar una conducta grave que afectara a un grupo considerable de consumidores.

No obstante, como se ha manifestado a lo largo de este escrito, es claro que, dentro de la investigación administrativa, no existió actuar descarado, irrespetuoso, inconsciente o desconocedor de la facultad de la entidad de control, es por ello que se solicita moderar la sanción administrativa y tener en cuenta lo establecido en la Sentencia C-125 de 2003 de la honorable Corte Constitucional, la cual determina: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” Si bien en el presente caso la Superintendencia impone sanción encontrándose en el margen de ley, encontramos necesario se estudie los argumentos expuestos y en especifico a criterios que se configuran en el caso de la referencia, en especifico los determinados en el artículo 19 de la Ley 1266 de 2008: a) “La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e)La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Es así como se establece, que Credivalores: a) No obtuvo un beneficio económico como consecuencia de la posible infracción. b) No se encuentra demostrada una resistencia u obstrucción a la investigación iniciada por la Superintendencia, por el contrario, y conforme a lo expuesto, se puede asegurar que Credivalores reconoce “Por la cual se resuelve recurso de reposición” y respeta la facultad de su Entidad, sin que algún error excepcional implique un posible desconocimiento de su autoridad. c) No existe renuencia o desacato a las órdenes administrativas impartidas por la entidad de control, se insiste en que la situación presentada no corresponde a un patrón y no se alinea con las políticas de Credivalores.

Es por ello que se acatan las instrucciones impartidas en la misma resolución que se recurre, respecto a las cuales Credivalores se encuentra implementando: Procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial., y Procedimiento para dar respuesta a los requerimientos y eventuales ordenes que profiera este Despacho. d) Credivalores acepto, previo a la imposición de la sanción, la infracción de la que se evitará su repetición. Concluyendo el argumento, se insiste en que, si bien la sanción se encuentra en el margen estipulado en la norma, se tenga en cuenta que el rango puede adaptarse a uno inferior al que se aplicó para imponer la sanción. Lo anterior, sin perjuicio del compromiso constante de Credivalores de tomar las medidas y realizar los ajustes necesarios para evitar que se vuelvan a presentar los hechos que dieron lugar a la misma IV.

SOLICITUD Con fundamento en los argumentos expuestos, solicito que se REVOQUE el artículo primero de la parte resolutiva de la Resolución No. 29069 de 05 de junio de 2024, mediante el cual se impuso sanción pecuniaria a la sociedad CREDIVALORES - CREDISERVICIOS S.A, por un valor de 259 SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a 30.044 Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRESCIENTOS VEINTINUEVE MILLONES ONCE MIL OCHOCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($329.011.844), por la vulneración de las disposiciones establecidas en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en lo relativo con la imposición de la multa a Credivalores y la declaratoria de responsabilidad y en subsidio, solicito se reduzca la sanción en virtud a los argumentos expuestos.

En caso de que no prospere ninguna de las solicitudes anteriores, solicito que se conceda y se dé tramite al recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales.” CUARTO Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición y el de apelación contra actos administrativos de carácter sancionatorio se encuentran contemplados en la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) de la siguiente manera: “Artículo 74.

Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.

“Por la cual se resuelve recurso de reposición” Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. (…) Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.

Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez (…) Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.

Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)” 1.

QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso recibido para el caso en concreto, por cuanto: 5.1. El recurso fue interpuesto por la sociedad CREDIVALORES CREDISERVICIOS S.A., dentro del término previsto en el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a que la Resolución N°. 29069 del 5 de junio del 2024 se le notificó mediante Aviso N°. 10387 el 17 de junio del 2024 y posteriormente se interpuso recurso de reposición y en subsidio el de apelación con radicado 22-470269-22 y 22-470269-23del 28 de junio del 2024. 5.2. En dicho escrito, se señalan con precisión las razones de disentimiento en contra de la Resolución N° 29069 del 5 de junio del 2024 “Por la cual se imparten órdenes administrativas”, las cuales se resumieron en el numeral TERCERO de este escrito. 5.3.

Si bien la investigada tenía la facultad de aportar o solicitar pruebas con la impugnación, esta no lo hizo. No obstante, este requisito previsto por la Ley es facultativo, y no aportarlo, no impide que dicho recurso no sea estudiado de fondo. 5.4. Finalmente, en el recurso se señalan con claridad los datos de identificación de la recurrente y sus direcciones de notificación con el objeto dar cumplimiento al principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión. Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la recurrente en lo siguiente términos:

SEXTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1266 de 2008 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” “Por la cual se resuelve recurso de reposición” se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

SÉPTIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por la recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, el cual se concreta en los siguientes aspectos, a saber: (i) Frente a la Política de Tratamiento de información y (ii) Frente a las Pretensiones. 7.1 De la aplicación del principio de responsabilidad demostrada por parte de la investigada.

Sostiene, a este respecto, la representante de la sociedad que su poderdante cuenta con “Políticas y procedimientos para el tratamiento Y protección de datos personales”. Sin embargo, una vez revisada la referida pieza probatoria, se observa que esta simplemente contiene los presupuestos de la política de tratamiento de la información, la cual se relaciona con el cumplimiento de la normativa de protección de datos, a cargo de los Responsables del tratamiento, desarrollada por la Ley Estatutaria 1581 de 2012, específicamente por el artículo 25, y, el Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, las aseveraciones de la recurrente no se encuentran soportadas, sino que, por el contrario, ratifican lo señalado por esta instancia en la resolución 29069 de 2024, en cuanto a la ausencia de procedimientos reales y efectivos tendientes a garantizar la plena observancia por parte de la sociedad CREDIVALORES CREDISERVICIOS S.A., de los deberes que en su calidad de Fuente de información le han sido impuestos por el Régimen de Hábeas Data Financiero.

Resulta imperioso, además, destacar que este principio fue acogido por el artículo 19 A de la Ley 2157 de 2021, estableciendo el deber de los intervinientes en la administración de datos de carácter comercial y crediticio, de contar con medidas útiles dirigidas a cumplir los postulados de la Ley 1266 de 2008, de acuerdo con las particularidades previstas en el artículo 19 B del mismo cuerpo normativo.

De ahí que, en el evento en que se acredite la plena efectividad en la implementación de las medidas de Responsabilidad Demostrada por los operadores, fuentes y usuarios, el legislador facultó a esta autoridad para prescindir de la imposición de una sanción. Sobre el particular, es claro, de una parte, que los hechos materia de investigación tuvieron lugar, previo a la expedición de la norma en referencia y, de otra que, ni en el curso de la presente actuación administrativa ni con el recurso interpuesto se acreditaron dichas medidas. 7.2 De la observancia y cumplimiento a requerimientos de la La sociedad recurrente considera que, ha dado estricto cumplimiento frente a las órdenes impartidas por este Despacho, indicando que: “(…) En cumplimiento de lo ordenado mediante Resolución No. 35555 de 2021 la Superintendencia de Industria y Comercio dentro de la investigación administrativa de la referencia, Credivalores procedió de manera inmediata a realizar la corrección del reporte de los vectores negativos en las Centrales de Riesgo, atendiendo la orden impartida por la autoridad.

Actitud que implica el “cumplimiento efectivo de lo decidido en el fallo”, tal y como lo establece la sentencia C- 980 de 2010 de la honorable Corte Constitucional, como uno de los componentes del debido proceso: “Por la cual se resuelve recurso de reposición” “a) El derecho a la jurisdicción, que a su vez implica los derechos al libre e igualitario acceso ante los jueces y autoridades administrativas, a obtener decisiones motivadas, a impugnar las decisiones ante autoridades de jerarquía superior, y al cumplimiento de lo decidido en el fallo.” El argumento no es otro más que tener en cuenta que Credivalores, no es impoluto frente a posibles errores, como bien lo entiende la entidad de control, todas las personas jurídicas se conforman de recurso humano que por naturaleza somos sujetos falibles, no obsta esta situación, para reconocer y hacer todo lo posible por crear herramientas que eviten justamente omisiones como las que se investigaron en el curso de la investigación que nos ocupa.

Desde el mismo momento de creación e la sociedad, Credivalores ha dado cabal cumplimiento a las obligaciones y responsabilidades adquiridas como responsable de la información recibida de sus clientes. En este sentido, ha tomado todas las medidas necesarias para cumplir con las obligaciones y responsabilidades que adquirió, incluyendo, evidentemente, las ordenes impartidas por las autoridades jurisdiccionales.” De igual modo, la sociedad CREDIVALORES CREDISERVICIOS S.A relacionó 81 Resoluciones las cuales impartieron ordenes administrativas, indicando que, estas fueron acatadas y cumplidas, Así: (…) Expuesto lo anterior, la sociedad CREDIVALORES CREDISERVICIOS S.A, solicitó a este Despacho que teniendo en cuenta los cumplimientos a las órdenes impartidas, no se tengan en cuenta las reincidencias por parte de la recurrente.

Posteriormente afirma que, “la situación en particular, hace parte de un hecho excepcional y como falencia detectada, se procedió a corregir a fin de evitar su reiteración.” Al respecto, es importante precisar que la sanción impuesta mediante la resolución N.º 29069 del 5 de junio del 2024, fue en virtud del incumplimiento al deber de comunicar previamente al reporte negativo al titular, y que respecto al cargo relacionado con el deber de cumplir con las instrucciones de la autoridad “Por la cual se resuelve recurso de reposición” de control, esta Dirección no impuso ninguna sanción de las dispuestas en el artículo 18 de la Ley 1266 de 2008, se impuso una orden administrativa.

Ahora bien, superada la discusión anterior, y retomando los argumentos de la recurrente, se reitera que el cargo por el presunto incumplimiento a atender las instrucciones impartidas por esta autoridad, se inició en virtud de que la sociedad CREDIVALORES CREDISERVICIOS S.A. no atendió específicamente, a los requerimientos realizados el 18 de enero y 14 de septiembre de 2021, mediante los cuales se le solicitó la información respecto del reporte ante las centrales de riesgo realizado en la historia de crédito del titular.

Es decir, que dentro del objeto del presente cargo nunca se puso en duda el cumplimiento a las órdenes impartidas dentro de otras actuaciones o investigaciones administrativas. De otra parte, la investigada afirma que el requerimiento del 18 de enero de 2021, no fue atendido, toda vez que señaló que “(…) se generó en un momento en el que aún nos encontrábamos en proceso de normalización de un gran volumen de requerimientos derivados de nuestros clientes como consecuencia de la pandemia por el Covid – 19, situación que implicó de manera innegable a una serie de ajustes en la forma de vida y en la forma de trabajo, por ello existieron algunos requerimientos que, no fueron atendidos oportunamente, sin que ello implique un desconocimiento de la autoridad de la SIC (…)”.

Al respecto nos permitimos indicar nuevamente, que, frente a estos hechos, la entidad no considero pertinente imponer sanción alguna. Ahora bien, frente a la orden administrativa es necesario señalar que esta fue dispuesta en virtud de la facultad de impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la Ley 1266 de 2008 y la potestad de fijar los criterios y procedimientos que faciliten su cumplimiento y cabal aplicación. Por ende, este Despacho dentro del desarrollo de la presente investigación, evidenció las falencias en los procedimientos internos de la sociedad CREDIVALORES CREDISERVICIOS S.A., para atender las solicitudes de información requeridas por la autoridad, requerimientos que se hacen en virtud de los intereses jurídicos tutelados por la ley y para garantizar el ejercicio del derecho fundamental de los titulares, cuando estos acuden a esta Superintendencia solicitando la protección de sus datos personales.

Así las cosas, se encuentra que la orden impartida mediante la resolución N.º 29069 del 5 de junio del 2024, será confirmada y no se procederá a su eliminación. 7.3 Del principio de proporcionalidad en la imposición de sanciones administrativas La sociedad recurrente considera que la sanción impuesta por medio de la Resolución N.° 29069 del 5 de junio del 2024 no es proporcional, en la medida en que los hechos sucedidos se trataron de un caso aislado y que no representa un riesgo para los demás titulares.

Teniendo en cuenta que por medio de la Resolución N.° 88424 del 14 de diciembre de 2022 se inició una investigación administrativa por la vulneración de dos deberes, en su calidad de usuario de la información, en contra de la sociedad CREDIVALORES – CREDISERVICIOS S.A., este Despacho considera pertinente reiterar que la sanción pecuniaria fue impuesta únicamente por el incumplimiento del deber contenido en el Numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley, esto es, no remitir al titular la comunicación previa al reporte negativo.

En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción “Por la cual se resuelve recurso de reposición” correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 19 de la Ley 1266 de 2008 para tasar el monto de la sanción, así: (…) IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN (…) 11.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por el investigado haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

En el caso sub-examine, con base en el literal a) del artículo 19 de la Ley 1266 de 2008, esta Dirección evidencia que el cargo comprobado en contra de la sociedad CREDIVALORES – CREDISERVICIOS S.A. afectó de forma real y concreta los derechos fundamentales del señor (…). A partir del análisis del material probatorio, quedó demostradala vulneración del numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3 de la misma Ley al demostrarse que cuando la comunicación previa no se surtió de acuerdo con los requisitos legales, ya que dentro de las pruebas obrantes en el expediente es claro que la entidad CREDIVALORES CREDISERVICIOS S.A. no cumplió el deber de comunicación previa respecto al reporte de información negativa ante los operadores de información de la obligación N° 576400.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de CIENTO SETENTA Y TRES (173) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a VEINTE MIL SESENTA Y OCHO (20.068) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOSCIENTOS DIECINUEVE MILLONES SETECIENTOS SESENTA Y CUATRO MIL SEISCIENTOS SESENTA Y OCHO PESOS M/CTE ($219.764.668), por la vulneración a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de la infracción a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley., en la medida en que la sociedad CREDIVALORES – CREDISERVICIOS S.A. actuó negligentemente al no comunicar previamente al reporte de la información negativa al titular por lo cual, no garantizó que este pudiera hacer valer sus derechos para actualizar o rectificar la información crediticia ante la “Por la cual se resuelve recurso de reposición” Fuente de información, ya sea para pagar la suma adeudada o discutir la información objeto de reporte.

Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo 19 de la Ley 1266 de 2008 se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales a), b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción. Al respecto, la Corte Constitucional en la sentencia C—1011 de 2008 precisó, que: “(…) Criterios de graduación de las sanciones (Art. 19).

En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;

(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.

(…) En conclusión, encuentra la Corte que el régimen sancionatorio previsto en los artículos 18 y 19 de la Ley de hábeas data respeta, de manera general, los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador. Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación;

(ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción; (iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria.

(…)”. (Negrillas y subrayas fuera del texto original) Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 19 de la Ley 1266 de 2008 no fueron tenidos en cuenta debido a que no resultaban aplicables al momento de imposición de la sanción; en tanto: (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Ahora bien, se tuvo en cuenta el criterio contenido en el literal c) del artículo 19 de la Ley 1266 de 2008 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por el incumplimiento al deber especial consagrado en el artículo 12 de la ley, esto es, que se ha generado reincidencia en el incumplimiento del deber de las fuentes de remitir la comunicación previa.

En efecto, enseguida se destacan las siguientes sanciones: “• Radicado 10-157311 En el que mediante la Resolución N°. 98888 del 24 de febrero de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al “Por la cual se resuelve recurso de reposición” haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa a la denunciante.

Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 98888 del 24 de febrero de 2011 sancionó por dos cargos a la citada sociedad en DIEZ (10) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 10-139739 En el que mediante la Resolución N°. 11910 del 28 de febrero de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa a la denunciante: • Radicado 10-139739 En el que mediante la Resolución N°. 11910 del 28 de febrero de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa a la denunciante: Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 11910 del 28 de febrero de 2011 sancionó por dos cargos a la citada sociedad en DIEZ (10) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 10-152571 En el que mediante la Resolución N°. 46346 del 31 de agosto de 2011 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa a la denunciante Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 46346 del 31 de agosto de 2011 sancionó por dos cargos a la citada sociedad en DIEZ (10) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 14-062789 En el que mediante la Resolución N°. 60191 del 30 de septiembre de 2014 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa.

Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 60191 del 30 de septiembre de 2014 sancionó por dos cargos a la citada sociedad en CUARENTA (40) SALARIOS MÍNIMOS MENSUALES LEGALES VIGENTES, encontrándose dentro de estos cargos el deber previsto en el artículo 12 de la Ley 1266 de 2008. • Radicado 20-327111 En el que mediante la Resolución N°. 78065 del 30 de noviembre de 2021 se sancionó a la sociedad CREDIVALORES - CREDISERVICIOS S.A. por la violación del deber previsto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la Ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015 al haberse demostrado que la sociedad no remitió dentro del plazo legal establecido para el efecto la comunicación previa al Titular de la información. Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por DOS MIL CIEN (2100) UNIDADES DE VALOR “Por la cual se resuelve recurso de reposición” TRIBITARIO - UVT, por el incumplimiento del deber contemplado en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la Ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.” En relación con el único criterio de atenuación de la sanción señalado en el literal f) del artículo citado, el mismo se aplicó, toda vez que la sociedad CREDIVALORES – CREDISERVICIOS S.A. aceptó la comisión de la infracción de los deberes de (i) cumplir con las instrucciones que imparta la Régimen de Protección de Datos personales, y (ii) deber de informar al operador que determinada información se encuentra en discusión por parte de su Titular.

En esta medida, se emitieron las ordenes administrativas como consecuencia del reconocimiento de las infracciones. Es importante resaltar que la sociedad CREDIVALORES - CREDISERVICIOS S.A únicamente realizó el reconocimiento de los deberes anteriormente mencionados, y no realizó el reconocimiento del deber sancionado, es decir, el deber de comunicar al titular previamente a efectuar el reporte.

Así, en el caso particular de la sociedad investigada, se pudo determinar una sanción que se encuentra ajustada a derecho, donde se tuvo en cuenta la infracción al deber contemplado en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley. En relación con lo anterior, la Corte Constitucional en sentencia C-699 de 2008, precisó: “(…) Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso.

(…) Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 19 de la Ley 1266 de 2008.

Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 19 de la Ley 1266 de 2008.

Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios mínimos legales mensuales vigentes, impuso la suma de TRESCIENTOS VEINTINUEVE MILLONES ONCE MIL OCHOCIENTOS CUARENTA Y CUATRO PESOS “Por la cual se resuelve recurso de reposición” M/CTE ($329.011.844), de conformidad con lo dispuesto en el artículo 18 de la Ley Estatutaria en comento, el cual establece, que: “ARTÍCULO 18.

SANCIONES. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: <Inciso modificado por el artículo 14 de la Ley 2157 de 2021.

El nuevo texto es el siguiente:> Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad2 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.

Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. 2 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se resuelve recurso de reposición” Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia N°. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”. 4 Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008, como sucedió en este caso donde la sociedad investigada no comunicó previamente al reporte de la información negativa al titular por lo cual no garantizó que este pudiera hacer valer sus derechos para actualizar o rectificar la información crediticia ante la Fuente de información, ya sea para pagar la suma adeudada o discutir la información objeto de reporte, como quedó establecido anteriormente.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley.

Así las cosas, este Despacho confirmará la sanción pecuniaria impuesta.

SÉPTIMO: CONCLUSIONES Con fundamento en lo expuesto, se encuentra suficientemente acreditado que la sociedad CREDIVALORES - CREDISERVICIOS S.A.: - La graduación de la sanción no obedece a una decisión caprichosa de esta Dirección, sino que se realiza con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto. - Incumplió con el deber de comunicar previamente al reporte de la información negativa al titular. - Frente a la aplicación del principio de responsabilidad demostrada, una vez revisado el material probatorio, se observa que esta simplemente contiene los presupuestos de la política de tratamiento de la información, la cual se relaciona con el cumplimiento de la normativa de protección de datos, a cargo de los Responsables del tratamiento, desarrollada por la Ley Estatutaria 1581 de 2012, específicamente por el artículo 25, y, el Decreto Único Reglamentario 1074 de 2015 y no de la Ley 1266 del 2008. - Con dichas conductas, la investigada violó el derecho de habeas data del Titular, puesto que reportó información negativa sin comunicación previa; razón por la cual, tuvo que mediar la intervención de esta Superintendencia, para ordenar la eliminación de dicha información vía acto administrativo.

OCTAVO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección confirmara la decisión material adoptada mediante la Resolución N°. 29069 del 5 de junio del 2024. “Por la cual se resuelve recurso de reposición”

NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CREDIVALORES - CREDISERVICIOS S.A., identificada con NIT. 805.025.964-3, con el correo electrónico de notificación judicial impuestos@credivalores.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-470269 La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO 1: CONFIRMAR en todas sus partes la Resolución N°. 29069 del 5 de junio del 2024, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO 2: CONCEDER el recurso de apelación solicitado por la recurrente.

ARTÍCULO 3: NOTIFICAR el presente acto administrativo a la sociedad CREDIVALORES - CREDISERVICIOS S.A., identificada con NIT. 805.025.9643, a través de su representante legal y apoderado, entregándole copia de esta.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede Alterna: Avenida Carrera 7 # 31ª - 36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 02 de enero de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.01.02 10:14:30 -05'00' CAROLINA GARCÍA MOLINA Proyectó: JB Revisó: MC/AC Aprobó: CG “Por la cual se resuelve recurso de reposición” NOTIFICACIÓN: Recurrente: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CREDIVALORES - CREDISERVICIOS S.A. Nit. 805.025.964-3 JAIME FRANCISCO BURITICA LEAL C.C. 11322917 Carrera 7 # 76-35 Piso 7 Bogotá D.C., Colombia impuestos@credivalores.com

Resolución sancionatoria N° 29069 de 2025

CONSIDERANDO

RESUELVE