Resolución sancionatoria N° 46328 de 2020

(29 OCTUBRE 2020) “Por la cual se resuelve un recurso de reposición” Radicación 18-26450 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO: Que mediante Resolución 46328 del 11 de agosto de 20201, la Dirección de Investigación de Protección de Datos Personales resolvió:

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CREDIVALORESCREDISERVICIOS S.A., identificada con NIT 805.025.964-3 de CUATROCIENTOS VEINTIÚN MILLONES TRESCIENTOS TREINTA Y SIETE MIL SEISCIENTOS TREINTA Y UN PESOS M/CTE ($421.337.631), equivalente a 11833 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en: i. El literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; ii.

El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iii. El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iv.

El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; v. El literal j) del artículo 17, en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012; vi. El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012; y, vii. El literal o) del artículo 17 de la Ley 1581 de 2012.

(…).

SEGUNDO: Que, la Resolución 46328 del 11 de agosto de 2020 le fue notificada mediante Aviso 19222 a la señora ELIANA ANDREA ERAZO RESTREPO, en representación de la sociedad CREDIVALORES-CREDISERVICIOS S.A. el 25 de agosto de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 1826450- -35 del 15 de septiembre de 2020.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-26450- -00034-0001 del 07 de septiembre de 2020, la sociedad CREDIVALORESCREDISERVICIOS S.A. a través de apoderado general CARLOS FREDY BELTRÁN RODRÍGUEZ, interpuso recurso de reposición y en subsidio apelación contra la Resolución 46328 del 11 de agosto de 2020, con fundamento en los siguientes argumentos: Resolución 46328 del 11 de agosto de 2020 radicada bajo el número 18-26450-25-1.

HOJA N, “Por la cual se resuelve un recurso de reposición” 3.1. Afirmó que la sociedad cumplió con el deber de conservar copia de la autorización otorgada por la Titular, para lo cual, adjuntó el documento y solicitó se revoque el numeral 8.2.2., así: “La Superintendencia de Industria y comercio (sic) por medio de Resolución 46328 DE 2020 del 11 AGOSTO 2020, sanciona a mí (sic) representada por varios motivos, entre otros por faltar al “deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

La superintendencia determina que mi representada vulnero (sic) el: “ARTÍCULO 8o. DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley.

(…)”. Respecto a esta valoración le informo al despacho que mi representada si (sic) cumple con la obligación enmarcada en la ley transcrita ya que conserva la autorización otorgada por el consumidor, autorización que me permito allegar con la presente y en captura de pantalla. Por lo anteriormente expuesto le solicitó (sic) muy respetuosamente se reponga y revoque el numeral 8.2.2 de la resolución 46328 DE 2020 del 11 AGOSTO 2020, toda vez que como se demuestra mi representada no vulnera la normatividad, toda vez que conserva la autorización dada por la denunciante.” 3.2.

Seguidamente, afirmó que la sociedad cumplió con el deber de informar a la Titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada y solicitó se revoque el numeral 8.2.3., de la siguiente manera: Así mismo, el despacho determino (sic) que mi representada violo (sic) el “deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”.

Se le indica al despacho que al momento de la recolección de los datos demográficos de la denunciante se cumplió con esta obligación normativa, y se le informo (sic) a la misma, la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, como se evidencia en la presente captura de pantalla y documento que allego con la presente: HOJA N, “Por la cual se resuelve un recurso de reposición” 3.3.

Finaliza su escrito, indicando que la sociedad que representa sí tramitó los reclamos de la denunciante, por lo tanto, solicitó se revoque el numeral 8.2.5. como se cita a continuación: “Por ultimo (sic) el despacho arguye que mi representada vulnero (sic) “deber de tramitar las consultas formuladas en los términos señalados en la presente ley.”.

Al respecto me permito contradecir lo indicado por el despacho toda vez que mi representada si le dio tramite (sic) a los reclamos de la denunciante, como se indica en la misma investigación; el 27 de octubre de 2017 con oficio XXXXXXXX y el 11 de diciembre de 2017 con oficio XXXXXX CREDIVALORES S.A, les dio respuesta a los requerimientos de la denunciante incluso aceptando el error cometido.

Por tanto, su señoría solicito se reponga y revoque el numeral 8.2.5 de la resolución 46328 DE 2020 del 11 AGOSTO 2020”.

CUARTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad CREDIVALORES-CREDISERVICIOS S.A., este Despacho procede a realizar las siguientes consideraciones: 4.1. Respecto del deber de solicitar y conservar, en las condiciones previstas en la Ley, copia de la respectiva autorización otorgada por el Titular.

Respecto al señalado cargo, la sociedad investigada manifestó que sí cumplió con el deber de conservar la autorización otorgada por la señora XXXXXXX XXXXXXX XXXXXXX, para lo cual, aportó el documento “Solicitud de Crédito XXXXXXXXX”2 en el cual, se encuentra el acápite de autorización de consulta y remisión de información, así: El material probatorio allegado, registra lo siguiente: AUTORIZACIÓN DE CONSULTA Y REMISIÓN DE INFORMACIÓN El cliente autoriza a CVCS, a sus entidades vinculadas, a las Compañías Aseguradoras y/o intermediarios de Seguros que participen en desarrollo del presente contrato, y a quienes representen los derechos de cualquiera de ellas o sean cesionarios de los derechos derivados del presente contrato (todas ellas en adelante las “Entidades Autorizadas”) para que, con fines estadísticos, de procesamiento de datos, administración de riesgos de lavado de activos y de financiacion del terrorismo, comerciales y de información entre compañias, y entre estas y las autoridades competentes, a: a) Consultar en cualquier tiempo en los bancos de datos toda la información relevante para su vinculación como usuaria o cliente de los productos ofrecidos por las Entidades Autorizadas, conocer su desempeño como deudor, su capacidad de pago o para valorar el riesgo futuro de concederle un crédito o un seguro, así como para verificar el cumplimiento de sus deberes; b) Reportar en los bancos de datos, directamente o por intermedio de las autoridades de vigilancia y control, datos tratados o sin tratar, referidos a: (i) cumplimiento o incumplimiento de sus obligaciones crediticias o deberes de contenido patrimonial;

(ii) sus solicitudes de crédito, datos personales, así como información de sus relaciones comerciales, financieras y en general socioeconómicas que haya entregado a Entidades Autorizadas o que consten en registros públicos, bases de datos públicos o documentos públicos; c) Conservar y divulgar a través de bases de datos u otros medios la información indicada en el literal b) con su debidas actualizaciones; d) Destruir los documentos entregados en caso de que la solicitud sea negada o en caso de que sea aprobada y no aceptada, así como suprimir la información relativa a sus datos personales por orden de las autorizadades competentes; e) Contactarlo a través de llamadas telefónicas, visitas o comunicaciones escritas enviadas por cualquier medio, relacionados con los productos adquiridos, información promocional, servicios inherentes a la actividad de las Entidades Autorizadas y comunicaciones que deban ser enviadas de conformidad con la normatividad vigente y aplicable a la Aportado con el Recurso de Reposición y en Subsidio de Apelación radicado con numero 18-26450-34 del 08 de septiembre de 2020.

HOJA N, “Por la cual se resuelve un recurso de reposición” actividad de las Entidades autorizadas y; f) Guardar los registros, comunicaciones y llamadas telefónicas que intercambie con las Entidades Autorizadas y, en general, dejar constancia de los mensajes que se envien y reciban en desarrollo del presente contrato. SE DEJA CONSTANCIA QUE AL MOMENTO DEL DILIGENCIAMIENTO DE LAS PRESENTE SOLICITUD DE CRÉDITO, SE HA HECHO ENTREGA DE UN DOCUMENTO EXPLICATIVO DEL TRATAMIENTO QUE SE PODRÁ EFECTUAR RESPECTO DE LOS DATOS PERSONALES, LOS FINES DE DICHO TRATAMIENTO, LOS DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES, LA IDENTIFIACIÓN Y DATOS DE CONTACTO DEL RESPONSABLE DEL TRATAMIENTO DE LA INFORMACIÓN. (…) Ahora bien, el artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus deberes a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluída en una base de datos.

Es así que, la Ley 1581 de 2012 en el artículo 4 literal c) estableció el “principio de libertad”3 con el cual, el Tratamiento de Datos Personales solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular, no pueden ser obtenidos ni divugados sin previa autorización. Por ello, en el artículo 9º dispuso la “Autorización del Titular”4 como uno de los derechos y condiciones de legalidad para el tratamiendo de datos; a su vez, en el artículo 17 literal b) instauró como uno de “Deberes de los Responsables del Tratamiento”5, el solicitar y conservar copia de la respectiva autorización otorgada por el Titular.

Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realizó el análisis constitucional de la Ley Estatutaria 1581 de 2012, manifestó lo siguiente: “2.6.5.2.3. Principio de libertad: El tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la Información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.”6 (…) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado.

(…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca (…), el legislador estutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso. Así, que desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”.

Este mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior.” (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino tambien tiene que estar plenamente consciente de los efectos de su autorización. Ley 1581 de 2012 ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

Ley 1581 de 2012 ARTÍCULO

9. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Ley 1581 de 2012 ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub. Numeral 2.6.5.2.3. HOJA N, “Por la cual se resuelve un recurso de reposición” Al caso en concreto, es pertinente analizar la autorización aportada por la sociedad CREDIVALORESCREDISERVICIOS S.A. con la cual afirma cumplir su deber como Responsable del Tratamiento de datos personales, frente a los requisitos legales, así: 1.

Consentimiento previo: La investigada aportó un formato “Solicitud de Crédito XXXXXXXXXXX”7 con fecha 6 de junio de 2016, en firma del asegurado principal registra XXXXXXX XXXXXXX XXXXXXX C.C. XXXXXXXXXX; continuo a este, se encuentra el documento “CONDICIONES PARTICULARES DEL CUPO DE CRÉDITO”8 donde registra la autorización de consulta y remisión de información suscrita por la denunciante.

Por su parte, la señora XXXXXXX XXXXXXX manifestó en los hechos relevantes de la denuncia9 que: “PRIMERO: El día Veintiséis (26) de Junio de Dos Mil Dieciséis (2.016) adquirí una tarjeta de crédito “CREDIUNO en las instalaciones del Centro Comercial Único de la ciudad de Cali, suministrando la dirección de mi residencia, mi correo electrónico y teléfono celular con el fin de que fueran enviados los exractos de la misma, o en su defecto ser contactada para cualquier novedad relacionada con lo mismo.

SEGUNDO: El día Diecisiete (17) de Octubre de Dos Mil Diecisiete (2.017) con extraneza me fue informado que el extracto de la tarjeta había sido enviado correo XXXXXXXXXXXXXXXXXXX, el cual NUNCA suministre (sic) a la entidad, (…)”. (Negrita adicionada) De acuerdo con lo manifestado por la Corte Constitucional “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.”10, se encuentra que la autorización aportada por la investigada fue firmada el 6 de junio de 2016 por la señora XXXXXXX XXXXX XXXXXXX, mientras que los hechos objeto de investigación ocurrieron desde el 17 de octubre de 2017.

Por lo tanto, la autorización fue otorgada por la Titular previamente a la ocurrencia de los hechos denunciados. 2. Consentimiento expreso: La investigada aportó el formato “Solicitud de Crédito XXXXXXXXXX”11 junto con el documento “CONDICIONES PARTICULARES DEL CUPO DE CRÉDITO”12 donde registra el acápite “AUTORIZACIÓN DE CONSULTA Y REMISIÓN DE INFORMACIÓN”, el cual, se encuentra suscrito por la señora XXXXXXX XXXXXXX.

Respecto al consentimiento expreso, la Ley 1581 de 2012 estableció para los Responsable del Tratamiento, el deber de solicitar y conservar copia de la autorización otorgada por el Titular, la cual pueda ser objeto de consulta posterior. Por lo tanto, mediante el documento aportado se evidencia el consentimiento expreso de la autorización otorgada por la Titular.

No obstante, es pertinente indicar que la investigada aunque teniendo la prueba para demostrar el cumplimiento de este deber, no la aportó durante la investigación a pesar de que esta Dirección le garantizó el derecho de defensa y contradicción en todas las etapas procesales. Por lo tanto, la sociedad CREDIVALORES-CREDISERVICIOS S.A. no fue diligente en presentar oportunamente las pruebas pertinentes para que fuesen consideradas antes de proferir la resolución recurrida.

Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. Denuncia radicada bajo el número 18-26450- -00000-000 del 19 de enero de 2018 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. Numeral 2.6.5.2.3. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. HOJA N, “Por la cual se resuelve un recurso de reposición” 3.

Consentimiento informado: La autorización debe ser informada por cuanto se busca que la persona tome una decisión con conocimiento de para qué y cómo se utilizará dicha información suministrada. De tal manera, la Corte Constitucional manifestó “En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino tambien tiene que estar plenamente consciente de los efectos de su autorización.” Verificados los documentos aportados como prueba por la investigada, se encuentra el formato “Acta de Entrega Acta Nº: XXXXX13” con fecha 26 de junio de 2016 firmada por la señora XXXXXXX XXXXXXX XXXXXXX, el cual, registra la información que se destaca en la siguiente imagen: El anterior contenido destacado por este Despacho, se cita a continuación: TRATAMIENTO DE LA INFORMACIÓN En la presente solicitud de crédito usted ha entregado a CREDIVALORES-CREDISERVICIOS S.A.S. (en adelante “Credivalores”) sus datos personales.

En cumplimiento de la ley 1581 le informamos que estos datos personales serán almacenados por Credivalores y podrán ser usados para lo siguiente: + Procesos internos de Credivalores tales como facturación, cartera, análisis de mercado, + + + + estadísticos, etc. Administración de riesgos de lavado de activos y financiación del terrorismo.

Envío de información comercial de Credivalores y sus aliados de negocio. Circulación entre las compañías que participen en la operación de crédito celebrada con Credivalores. Envío de datos personales a las autoridades competentes que lo soliciten. Con la anterior prueba, se evidencia que la investigada le informó a la Titular para qué podrían ser usados los datos personales suministrados, por consiguiente los efectos de la autorización otorgada.

Así las cosas, luego de examinadas las pruebas aportadas por la investigada con el recurso de reposición para desvirtuar el incumplimiento del “Deber de solicitar y conservar en las condiciones previstas en la Ley, copia de la respectiva autorización otorgada por el Titular”, esta Dirección concluye lo siguiente: 1. La sociedad CREDIVALORES-CREDISERVICIOS S.A. tenía la prueba para demostrar el cumplimiento de este deber, pero no la aportó durante la investigación a pesar de que en todas las etapas procesales esta Dirección le garantizó el derecho de defensa y contradicción. Por lo tanto, la investigada no fue diligente en presentar oportunamente las pruebas pertinentes para que fuesen consideradas antes de proferir la resolución recurrida.

Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. HOJA N, “Por la cual se resuelve un recurso de reposición” 2. Luego de transcurridos los términos procesales en los cuales la investigada guardó silencio, esta Dirección profirió su decisión con base en el acervo probatorio obrante en el expediente, teniendo como consecuencia la imposición de una sanción pecuniaria de SETENTA MILLONES DOSCIENTOS DIECISIETE MIL CUATRO PESOS M/CTE ($70.217.004), equivalente a 1972 (UVT) Unidad de Valor Tributario, por incumplir con el deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4, y el artículo 9 de la Ley 1581 de 2012, así como el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que no acreditó prueba de la autorización previa, expresa e informada de la señora XXXXXX XXXXXXX. 3.

Verificadas las pruebas aportadas frente con los requisitos legales, se encuentra que la autorización suscrita por la Titular XXXXXXX XXXXXXX XXXXXXX fue otorgada con el consentimiento previo, expreso e informado. Por lo tanto, esta Dirección encuentra que la sociedad CREDIVALORES-CREDISERVICIOS S.A., cumplió con el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se revoca la sanción impuesta y en su lugar, se ordena el archivo de la actuación respecto del cargo. 4.2. Respecto del deber de informar debidamente al Titular acerca de la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. En relación con el precitado deber, la sociedad investigada manifestó que al momento de la recolección de datos demográficos cumplió con informarle a la Titular la finalidad y los derechos que le asistían en virtud de la autorización otorgada, para lo cual, aportó el documento “Solicitud de Crédito XXXXXXXXXX”14 firmado por la señora XXXXXXX XXXXXXX XXXXXXX; continuo a este, se encuentra el documento “CONDICIONES PARTICULARES DEL CUPO DE CRÉDITO”15 donde registra el acápite de autorización de consulta y remisión de información, en el cual, está resaltado en la imagen la siguiente información: SE DEJA CONSTANCIA QUE AL MOMENTO DEL DILIGENCIAMIENTO DE LA PRESENTE SOLICITUD DE CRÉDITO, SE HA HECHO ENTREGA DE UN DOCUMENTO EXPLICATIVO DEL TRATAMIENTO QUE SE PODRÁ EFECTUAR RESPECTO DE LOS DATOS PERSONALES, LOS FINES DE DICHO TRATAMIENTO, LOS DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES, LA IDENTIFICACIÓN Y DATOS DE CONTACTO DEL RESPONSABLE DEL TRATAMIENTO DE LA INFORMACIÓN. Igualmente, aportó el documento “Acta de Entrega Acta Nº.

XXXXXX”16 con fecha 26 de junio de 2016 firmado por la denunciante, en el cual, se encuentra el siguiente registro: Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020.

Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. HOJA N, “Por la cual se resuelve un recurso de reposición” De la prueba aportada se cita a continuación: TRATAMIENTO DE LA INFORMACIÓN En la presente solicitud de crédito usted ha entregado a CREDIVALORES-CREDISERVICIOS S.A.S. (en adelante “Credivalores”) sus datos personales.

En cumplimiento de la ley 1581 le informamos que estos datos personales serán almacenados por Credivalores y podrán ser usados para lo siguiente: + + + + + Procesos internos de Credivalores tales como facturación, cartera, análisis de mercado, estadísticos, etc. Administración de riesgos de lavado de activos y financiación del terrorismo.

Envío de información comercial de Credivalores y sus aliados de negocio. Circulación entre las compañías que participen en la operación de crédito celebrada con Credivalores. Envío de datos personales a las autoridades competentes que lo soliciten. (…) Como titular de los datos personales usted tiene los siguientes derechos: + Conocer en cualquier momento y de forma gratuita, así como actualizar y rectificar los datos personales que Credivalores tenga almacenados. + Solicitar copia de la autorización otorgada a Credivalores para tratar su información. + Ser informado respecto del uso que se le ha dado a sus datos personales. + Presentar ante la Superintendencia de Industria y Comercio (en adelant “SIC”) quejas por infracciones en el tratamiento de sus datos personales. + Revocar la autorización otorgada cuando la SIC determine que el tratamiento dado a sus datos personales no ha sido el adecuado.

(…) Respecto con este deber, la Ley 1581 de 2012 estableció entre otros, el “Principio de finalidad”17 para el Tratamiento de los datos personales y el deber de “Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” 18 para los Responsables del Tratamiento, quien además, “al momento de solicitar la autorización, deberá informarle de manera clara y epresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.”19 El principio de finalidad se hace efectivo al momento en que el Responsable solicita autorización al Titular, pues es allí en que esta se cumple el término máximo para informarle al Titular los fines de la recolección, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 201520 "el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".

Respecto al principio de finalidad, la Corte Constitucional en sentencia C-748 de 2011, manifestó lo siguiente: Ley 1581 de 2012 ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;

(…) Ley 1581 de 2012 ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…) Ley 1581 de 2012 ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas (sic) versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite entregarle copra de esta.” Norma que compiló el Decreto 1377 de 2013 “Por el cual se reglamenta parcialmente la Lev 1581 de 2012" HOJA N, “Por la cual se resuelve un recurso de reposición” (…) los datos personales deben ser procesados con un propósito específico y explicito.

En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular, por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular.21 Ahora bien, de las pruebas aportadas por la investigada, se encuentra en el formato “Acta de Entrega Acta Nº: XXXXX”22, que contiene la siguiente información destacada, así: a a b c d En el anterior contenido se evidencia en su orden, la información exigida en el artículo 12 de la Ley 1581 de 2012, la cual, el Responsable debe informar al momento de solicitar al Titular la autorización, tal como: el tratamiento al cual será sometido sus datos personales y la finalidad; el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles; los derechos que le asisten como Titular; la identificación, dirección electrónica y teléfono del Responsable del Tratamiento.

Luego de examinadas las pruebas aportadas por la investigada con el recurso de reposición para desvirtuar el incumplimiento del “Deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”, esta Dirección concluye lo siguiente: 1. Luego de transcurridos los términos procesales en los cuales la investigada guardó silencio, esta Dirección profirió su decisión con base en el acervo probatorio obrante en el expediente, teniendo como consecuencia, la imposición de una sanción pecuniaria de “CUARENTA Y TRES MILLONES NOVECIENTOS TRES MIL CUATROCIENTOS TREINTA Y UN PESOS M/CTE ($43.903.431), equivalente a 1233 (UVT) Unidad de Valor Tributario”23, por incumplir con el deber contenido en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4 y el artículo 12 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que no acreditó haber informado a la señora XXXXXX XXXXXXX la finalidad para el tratamiento de sus datos personales y los derechos que le asistían como Titular. 2.

De las pruebas aportadas con el recurso de reposición, se encuentra en el formato “Acta de Entrega Acta Nº: XXXX”24, que la investigada informó a la Titular XXXXXXX XXXXXXX XXXXXXX la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. Así las cosas, este Despacho encuentra que la sociedad CREDIVALORES-CREDISERVICIOS S.A., informó a la Titular de la información sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, por lo cual, cumplió con el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Por lo tanto, se revoca la sanción impuesta y en su lugar, se ordena el archivo de la actuación respecto del cargo. Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub. Numeral 2.2.5.2.2. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020.

Resolución 46328 del 11 de agosto de 2020, radicada bajo el número 18-26450-25 del 13 de agosto de 2020. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. HOJA N 10, “Por la cual se resuelve un recurso de reposición” 4.3. Respecto del deber de tramitar las consultas formuladas en los términos señalados en la ley.

En cuanto al deber de tramitar las consultas formuladas en los términos señalados en la ley, la sociedad investigada manifestó “mi representada si dio tramite (sic) a los reclamos de la denunciante, como se indica en la misma investigación; el 27 de octubre de 2017 con oficio XXXXXXX y el 11 de diciembre de 2017 con oficio XXXXXXX CREDIVALORES S.A, les dio respuesta a los requerimientos de la denunciante incluso aceptando el error cometido.”.

Al respecto, la Ley 1581 de 2012 en el literal e) del artículo 4, establece el principio de transparencia, el cual consiste que “En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.”.

A su vez, en el artículo 14 señala que “Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.” Es así que, en el literal j) del artículo 17 de la precitada, el legislador dispuso como uno de los deberes de los responsables del Tratamiento el “tramitar las consultas y reclamos formulados en los términos señalados en la presente ley”.

De las normas precitadas, queda claro que el Responsable del Tratamiento debe garantizar el derecho del Titular en cualquier momento y sin restricción del suministro de informacion acerca de la existencia de datos que estén vinculados con la identificación del Titular. Por lo anterior, con el fin de verificar si las respuestas suministradas por la sociedad CREDIVALORESCREDISERVICIOS S.A., a la señora XXXXXXX XXXXXXX XXXXXXX, cumplen con lo establecido en la Ley, es pertinente realizar el análisis de las peticiones presentadas por la Titular frente a las respuestas de la investigada, veamos: Fecha Petición Radicado 18/10/2017 No. XXXXXX 5/12/2017 No. XXXXXX Petición Titular25 Respuesta Investigada26 (…) necesito que me envíen una copia de los datos y correos PERSONALES que tienen ya que le llegó un extracto a una persona que no tengo contacto hace años.

(…) De acuerdo a su petición se procedió a realizar la actualización de sus datos personales en nuestro sistema (…). (…) con respecto al tratamiento de sus datos personales nos permitimos reiterar la información enviada a su dirección de correo electrónico el pasado 26 de Octubre del presente año, en el cual se procedió a realizar la actualización de sus datos SEGUNDO: En atención a personales (…). la petición anterior, solicito que dichos datos sean Dicho lo anterior, debido a un eliminados y suprimidos cruce en nuestras bases de teniendo en cuenta que no datos se originaron envíos de corresponden a la suscrita. comunicaciones a un correo diferente al establecido por usted, no obstante, se procedió a generar la respectiva actualización para que este tipo de situaciones no se vuelvan a presentar (…).

PRIMERO: Solicito cordialmente me sea informado de que fuente adquirieron datos de otras personas para suministrarle mi información relacionada con los servicios que tengo con ustedes. Aportado con la denuncia radicado bajo número 18-26450- - 00000-000 del 19 de enero de 2018. Aportadas con la denuncia radicado bajo número 18-26450- - 00000-000 del 19 de enero de 2018.

Fecha Respuesta 26/10/2017 11/12/2017 HOJA N 11, “Por la cual se resuelve un recurso de reposición” De la relación anterior, se evidencia que las respuestas suministradas por la investigada no son acorde con las peticiones de la Titular, pues la sociedad no le informó los datos y correos personales registrados en su base de datos y tampoco suprimió el dato errado contenido en su registro individual.

Así las cosas, este Despacho encontró que las respuestas a los radicados No. XXXXXXX y XXXXXXX del 26 de octubre y 11 de diciembre de 2017, respectivamente, suministradas por la sociedad CREDIVALORES-CREDISERVICIOS S.A. a la señora XXXXXXX XXXXXXX XXXXXXX, no cumplieron lo ordenado por la Ley, respecto de garantizar el derecho de la Titular a obtener información acerca de la existencia de datos que le conciernan y a consultar su información personal que repose en la base de datos de dicha sociedad. 4.4.

Respecto de las demás sanciones impuestas mediante la Resolución recurrida. Es importante indicar que, con el presente recurso de reposición, la sociedad CREDIVALORESCREDISERVICIOS S.A. no atacó las sanciones impuestas por: 1. No garantizar a la Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. 2. No adoptar condiciones de seguridad necesarias para impedir el acceso y consulta no autorizados a la información de la Titular. 3.

No tramitar el reclamo de supresión del dato errado asociado a la Titular contenida en las bases de datos. 4. No cumplir el requerimiento de la Superintendencia de Industria y Comercio. Por lo tanto, las anteriores sanciones se mantendrán en la Resolución 46328 del 11 de agosto de 2020.

QUINTO: CONCLUSIONES Una vez analizadas las pruebas aportadas con el recurso de reposición, esta Dirección encontró lo siguiente: 1. La sociedad CREDIVALORES-CREDISERVICIOS S.A. tenía la prueba para demostrar el cumplimiento del deber de solicitar y conservar copia de la autorización otorgada por la Titular y el deber de informar al Titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Pero no la aportó durante la investigación a pesar de que en todas las etapas procesales esta Dirección le garantizó el derecho de defensa y contradicción. De esta manera, la investigada no fue diligente en presentar oportunamente las pruebas pertinentes para que fuesen consideradas antes de proferir la resolución recurrida. 2. Luego de transcurridos los términos procesales en los cuales la investigada guardó silencio, esta Dirección profirió su decisión con base en el acervo probatorio obrante en el expediente, teniendo como consecuencia imponer una sanción pecuniaria por el incumplimiento de los deberes establecidos en el literal b) y c) del artículo 17 de la Ley 1581 de 2012, toda vez que la investigada no acreditó prueba de la autorización previa e informada otorgada por la Titular, ni de haber informado la finalidad de la recolección y los derechos que le asisten. 3.

Con el recurso de reposición, la investigada aportó los documentos “Solicitud de Crédito TCXXXXXXX”27, “Acta de Entrega Acta Nº: XXXXX”28 y “CONDICIONES PARTICULARES DEL CUPO DE CRÉDITO”29 este último contiene el acápite de autorización de consulta y remisión de información, el cual, cumple los requisitos establecidos por el legislador, así: • • • Previa: 6 de junio de 2016 fecha registrada en el documento que contiene la autorización otorgada por la señora XXXXXXX XXXXXXX, mientras que, el 17 de octubre de 2017 es la fecha de ocurrencia de los hechos objeto de investigación. Expresa: la autorización se encuentra firmada por la Titular y fue aportada.

Informada: en el formato “Acta de Entrega Acta Nº: XXXXX” la investigada informó los efectos de la autorización. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020.

Aportado con el Recurso de reposición y en subsidio apelación radicado bajo número 18-26450- - 00034-0001 del 07 de septiembre de 2020. HOJA N 12, “Por la cual se resuelve un recurso de reposición” 4. Para desvirtuar el cargo por el incumplimiento del deber de informar la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; la investigada aportó el documento “CONDICIONES PARTICULARES DEL CUPO DE CRÉDITO”, en el cual, se encuentra el acápite de autorización de consulta y remisión de información, donde registra lo siguiente: SE DEJA CONSTANCIA QUE AL MOMENTO DEL DILIGENCIAMIENTO DE LA PRESENTE SOLICITUD DE CRÉDITO, SE HA HECHO ENTREGA DE UN DOCUMENTO EXPLICATIVO DEL TRATAMIENTO QUE SE PODRÁ EFECTUAR RESPECTO DE LOS DATOS PERSONALES, LOS FINES DE DICHO TRATAMIENTO, LOS DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES, LA IDENTIFICACIÓN Y DATOS DE CONTACTO DEL RESPONSABLE DEL TRATAMIENTO DE LA INFORMACIÓN. 5.

La sociedad CREDIVALORES-CREDISERVICIOS S.A. acreditó el cumplimiento de los deberes establecidos en el literal b) y c) del artículo 17 de la Ley 1581 de 2012, aportando la prueba de la autorización previa e informada otorgada por la Titular e informado la finalidad de la recolección y los derechos que le asisten. 6. Se confirmó que con las respuestas a los radicados No. xxxxxxxx y XXXXXXXX del 26 de octubre y 11 de diciembre de 2017, respectivamente, suministradas por la sociedad CREDIVALORESCREDISERVICIOS S.A. a la señora XXXXXXX XXXXXXX XXXXXXXX, no cumplieron lo ordenado por la Ley, respecto de garantizar el derecho de la Titular a obtener información acerca de la existencia de datos que le conciernan y a consultar su información personal que repose en la base de datos de dicha sociedad. 7.

Con el recurso de reposición, la sociedad CREDIVALORES-CREDISERVICIOS S.A. no atacó las demás sanciones impuestas mediante la Resolución recurrida, por lo tanto, se mantendrán por: i) No garantizar a la Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; ii) No adoptar condiciones de seguridad necesarias para impedir el acceso y consulta no autorizados a la información de la Titular; iii) No tramitar el reclamo de supresión del dato errado asociado a la Titular contenida en las bases de datos y, iv) No cumplir el requerimiento de la Superintendencia de Industria y Comercio.

SEXTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho revoca los numerales 8.2.2. y 8.2.3. de la Resolución 46328 del 11 de agosto de 2020. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: REVOCAR el ARTÍCULO PRIMERO de la Resolución 46328 del 11 de agosto de 2020 respecto de la sanción impuesta por lo dispuesto en: i. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; ii.

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

ARTÍCULO SEGUNDO: MODIFICAR el ARTÍCULO PRIMERO de la Resolución 46328 del 11 de agosto de 2020, así:

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CREDIVALORESCREDISERVICIOS S.A., identificada con NIT 805.025.964-3 de TRESCIENTOS SIETE MILLONES DOSCIENTOS DIECISIETE MIL CIENTO NOVENTA Y SEIS PESOS M/CTE ($307.217.196), equivalente a 8.628 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en: HOJA N 13, “Por la cual se resuelve un recurso de reposición” i. El literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; ii.

El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; iii. El literal j) del artículo 17, en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012; iv. El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012; y, v. El literal o) del artículo 17 de la Ley 1581 de 2012.

ARTÍCULO TERCERO: CONFIRMAR en sus demás partes la Resolución 46328 del 11 de agosto de 2020, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO CUARTO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO QUINTO: NOTIFICAR a la sociedad CREDIVALORES-CREDISERVICIOS S.A., identificada con Nit. 805.025.964-3, el contenido de la presente Resolución, a través de su representante legal y su apoderado, entregándoles copia de la misma.

ARTÍCULO SEXTO: COMUNICAR a la señora XXXXXXX XXXXXXX XXXXXXX, identificada con la C.C. XXXXXXXXXXX, el contenido de la presente Resolución.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 29 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.10.29 16:29:07 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MGR Revisó: LMRZ Aprobó: CESM “Por la cual se resuelve un recurso de reposición” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CREDIVALORES-CREDISERVICIOS S.A. 805.025.964-3 ELIANA ANDREA ERAZO RESTREPO 52.189.858 Carrera 7 #76-35 Piso 7 Bogotá D.C., Colombia impuestos@credivalores.com COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXX XXXXXXX XXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXX XXXXXXX XXXXXXXXXXXXXXXXXXXXXXX HOJA N 14,