(19 de julio de 2024) “Por la cual se impone una sanción” Radicación 20-432055 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que el día 17 de noviembre de 2020, mediante comunicación con radicado número 20-432055-0, el Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX, identificado con cédula de ciudadanía número XX.XXX.XX., a través de su apoderada VICTORIA ELVIRA NEUTA SÁNCHEZ, presentó ante esta Superintendencia solicitud de protección del derecho fundamental de habeas data, por la presunta vulneración por parte de la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, identificada con NIT 860.048.152-9 y su gerente el señor XXXXX XXXXXX XXXX XXXXXXXX, por compartir con terceros y sin autorización sus datos personales, tales como, el tráfico de sus llamadas telefónicas e información relacionada con su ubicación. De la solicitud del reclamante se extraen los siguientes hechos: 1.1.
Que, el Titular se encontraba vinculado contractualmente con CredibanCo S.A. y tenía la opción de vincularse al FONDO DE EMPLEADOS DE CREDIBANCO, para gozar de los beneficios que otorgaba. 1.2. Que, durante el tiempo de vinculación al FONDO DE EMPLEADOS DE CREDIBANCO, en uso de los beneficios, el titular solicitó una línea celular para su uso personal y privado, cuyo pago se realizaba a través de un descuento mensual por nómina como asociado del Fondo.
No obstante, la relación contractual con el operador la tenía directamente con el FONDO DE EMPLEADOS DE CREDIBANCO. 1.3. Que, en el mes de febrero de 2018 se termina la vinculación contractual del Titular con CredibanCo S.A. y, en consecuencia, su vinculación con el FONDO DE EMPLEADOS DE CREDIBANCO, por lo que realiza la cancelación a los saldos pendientes: no obstante, indica que no hay una notificación formal acerca del estado de los productos y/o beneficios adquiridos. 1.4.
Que, seis meses después de su retiro, el Titular es informado por parte del Coordinador Administrativo y Financiero del FONDO DE EMPLEADOS DE CREDIBANCO que tiene un saldo a favor, por lo que el Titular realiza un acuerdo verbal con él para que con cargo a este saldo se cancele el costo mensual de los productos y/o beneficios a su nombre hasta llegar a consumir el valor total.
“Por la cual se impone una sanción” 1.5. Que, en noviembre de 2019 a través de contacto telefónico se le indicó al Titular que le harían llegar una comunicación en donde le informarían los valores a favor o a cargo, compromiso que no se cumplió. 1.6. Que, en el mes de julio de 2020 el Titular recibe llamada del señor XXXXX XXXXXX XXXX XXXXXXXX Gerente del FONDO DE EMPLEADOS DE CREDIBANCO, indicándole que debía ponerse al día con las obligaciones pendientes, de acuerdo con una cuenta de cobro que le había sido enviada previamente; documento que, el Titular manifiesta no haber recibido. 1.7.
Que, el 18 de julio de 2020 el señor XXXXX XXXXXX XXXX XXXXXXXX, obrando en su condición de Gerente de Riesgos y Cumplimiento de CredibanCo S.A., remite correo al Titular manifestando que se presentó un error en el trámite surtido para realizar el abono de los saldos a favor. 1.8. Que, el 22 de julio de 2020 el Titular remite correo al señor XXXXX XXXXXX XXXX XXXXXXXX, con copia a la Junta Directiva del FONDO DE EMPLEADOS DE CREDIBANCO, donde reitera el acuerdo verbal precisando que según dicho acuerdo una vez quedara en ceros, se le debería informar de manera inmediata de la suspensión del servicio. 1.9.
Que, el 23 de julio de 2020, el señor XXXXX XXXXXX XXXX XXXXXXXX informa al Titular la necesidad de presentar el caso al Comité de Ética y a la Junta Directiva del FONDO DE EMPLEADOS DE CREDIBANCO. 1.10. Que, el 24 de julio de 2020, el señor XXXXX XXXXXX XXXX XXXXXXXX remite correo al Titular con copia la Junta Directiva del FONDO DE EMPLEADOS DE CREDIBANCO, compartiendo los consumos de la línea telefónica asignada al Titular. 1.11.
Que, en su denuncia el Titular manifiesta que el señor XXXXX XXXXXX XXXX XXXXXXXX compartió información personal, sensible y de uso privado, sin la autorización del Titular y, hace pública información acerca del desplazamiento fuera del país del Titular, lo que no tiene nada que ver con el asunto de las comunicaciones, manifestando una presunta vulneración a su derecho de habeas data y derecho a la intimidad. 1.12.
Que, en agosto de 2020 el Titular procede al pago de la cuenta de cobro del FONDO DE EMPLEADOS DE CREDIBANCO. 1.13. El Titular adjunta como material probatorio, copia de: (i) Correos electrónicos: a) Recibido del día 8 de julio de 2020 b) Enviado el día 15 de julio de 2020 c) Recibido el día 16 de julio de 2020 d) Enviado el 17 de julio de 2020 e) Recibido el 18 de julio de 2020E f) Enviado el 22 de julio de 2020 g) Recibido el 2 de julio de 2020 h) Enviado el 23 de julio de 2020 i) Recibido el 24 de julio de 2020, con sus respectivos adjuntos. j) Enviado el 27 de julio de 2020 k) Recibido el 27 de julio de 2020 l) Enviado el 30 de julio de 2020 m) Recibido el 30 de julio de 2020 n) Enviado el 31 de julio de 2020 o) Recibido el 31 de julio de 2020 p) Enviado el de 2020 de agosto de 2020 q) Recibido el 6 de agosto de 2020 “Por la cual se impone una sanción” (ii) Cuenta de cobro del 30 de julio de 2020 (iii) Evidencia de pago efectuado Cuenta de cobro del 30 de julio de 2020 (iv) Paz y Salvo (v) Recibo de Caja (vi) Adjuntos de correo electrónico recibido el 24 de julio de 2020 SEGUNDO. Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar de los hechos narrados en la denuncia presentada por el Titular XXXX.
XXXXXXXX XXXXXXXXX. XXXXXXXX, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas adelantó una averiguación preliminar, a través de la que llevo a cabo y recolectó los elementos materiales probatorios que se relacionan a continuación: 2.1 Mediante oficio con número de radicado 20-432055-7 del 10 de noviembre de 2021 se requirió a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO para que se pronunciara sobre los hechos del reclamo, aportara las pruebas que pretendiera hacer valer y suministrara respuesta a los siguientes interrogantes: “1.
Sírvase manifestarse sobre los siguientes hechos: (…) a. Sírvase indicar y soportar las funciones que desempeñan dentro de la sociedad las personas a las cuales se le compartió el correo anteriormente mencionado. b. Sírvase indicar y acreditar el motivo del envío del correo anteriormente mencionado. 2. Enuncien puntualmente qué información y/o datos personales (V.gr.
Nombre, número de identificación, direcciones físicas y/o electrónicas, números de tarjetas de crédito entre otros) del Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX identificado con cédula de ciudadanía XX.XXX.XX. reposan en sus bases de datos. 3. Manifiesten y acrediten, cuál fue el mecanismo implementado por la sociedad para la recolección de los datos personales del Titular XXXX.
XXXXXXXX XXXXXXXXX. XXXXXXXX identificado con cédula de ciudadanía XX.XXX.XX.. 4. En los términos del artículo 9 de la Ley 1581 de 2012, manifiéstenle al Despacho si cuentan con la autorización previa, expresa e informada por parte del Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX para realizar el Tratamiento de sus datos personales. En caso afirmativo, remitan copia del formulario y/o formato mediante el cual, se realiza este procedimiento y se le informa al Titular la finalidad del tratamiento y los derechos que le asisten en virtud de la autorización otorgada. 5.
Informe cuales son las finalidades para el Tratamiento de la información personal del señor XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX y si fueron debidamente comunicadas al Titular de la información. 6. Indíquenle a esta Dirección si el Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX ha presentado reclamo o consulta ante ustedes en relación con el Tratamiento realizado sobre sus datos personales.
En caso afirmativo, alleguen copia del reclamo y de la respuesta suministrada por la Titular. Esos documentos deberán tener, de forma legible, la fecha y hora de presentación, radicación o envío de la respuesta. (…).” El requerimiento antes mencionado, fue enviado a la dirección de correo electrónico ‘jorge.lara@credibanco.com’ registrada como dirección electrónica de notificación judicial dentro del Certificado de Existencia y Representación Legal del FONDO DE EMPLEADOS DE CREDIBANCO, “Por la cual se impone una sanción” expedido por la Cámara de Comercio de Bogotá, donde se evidencia que el FONDO DE EMPLEADOS DE CREDIBANCO, autoriza recibir notificaciones personales a través del correo electrónico, de conformidad con lo establecido en los artículos 291 del Código General del Proceso y 67 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, tal como se evidencia en la siguiente imagen: Imagen No. 1.
Captura de pantalla tomada del Registro Único Empresarial y Social de la Cámara de Comercio de Bogotá. Imagen No. 2. Captura de pantalla tomada del Sistema de Trámites. Expediente virtual 20-432055. Consecutivo 7. Página 1. No obstante, la Superintendencia de Industria y Comercio no obtuvo respuesta alguna por parte del FONDO DE EMPLEADOS DE CREDIBANCO, ni siquiera de forma extemporánea. 2.2 A través de comunicación radicada con el número 20-432055-9 del 16 de noviembre de 2021, el FONDO DE EMPLEADOS DE CREDIBANCO presenta solicitud de acceso al expediente 20-432055.
“Por la cual se impone una sanción” 2.3 Posteriormente, mediante comunicaciones recibidas bajo radicados números 20-432055-10 del 25 de noviembre de 2021, 20-432055-11 del 26 de noviembre de 2021, 20-432055-13 del 10 de diciembre de 2021, 20432055-15 del 23 de diciembre de 2021, el FONDO DE EMPLEADOS DE CREDIBANCO en relación con el requerimiento remitido por esta Superintendencia el 10 de noviembre de 2021 bajo radicado número 20432055-7, presenta “SOLICITUD PRORROGA PROCESO 20-432055-7 Y CARGUE EXPEDIENTE EN APLICATIVO SIC”. 2.4 Mediante oficio con número de radicado 20-432055-18 del 31 de marzo de 2022, esta Superintendencia autoriza el acceso al expediente a través de la plataforma “servicios en línea”. 2.5 Al no obtener respuesta al requerimiento mencionado en el numeral 3.1., mediante oficio con radicado número 20-432055-19 del 8 de abril de 2022, esta Dirección requirió por segunda vez al FONDO DE EMPLEADOS DE CREDIBANCO con el fin de que se pronunciara sobre los hechos objeto de la queja y aportara las pruebas que pretendiera hacer valer, en especial con lo relacionado a la autorización entregada por el Titular para el tratamiento de sus datos personal, respuestas a reclamos hechos por Titular, políticas y manuales para el tratamiento.
Este requerimiento fue remitido a la dirección de correo electrónico ‘jorge.lara@credibanco.com’ registrado como dirección electrónica de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad expedido por la Cámara de Comercio de Bogotá. Imagen No. 3. Captura de Pantalla tomada del Sistema de Trámites.
Expediente virtual 20-432055. Consecutivo 19. Página 1. No obstante, la Superintendencia de Industria y Comercio no obtuvo respuesta alguna por parte de la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, ni siquiera de forma extemporánea.
TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 19 de septiembre de 2023 se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 55566 por medio de la cual se formuló cargos en contra de la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, identificada con el NIT. 860.048.152-9, por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley.
CUARTO: Que, la Resolución N.º 55566 de 19 de septiembre de 2023 le fue notificada mediante notificación electrónica el día 22 de septiembre de 2023, y comunicada al quejoso, a través de su apoderada especial el día 20 de “Por la cual se impone una sanción” septiembre de 2023; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado Nº. 20-432055- -35 de fecha de 12 de octubre de 2023.
QUINTO: Que transcurrido el término de quince (15) días hábiles concedido en la Resolución Nº. 55566 de 19 de septiembre de 2023, la sociedad FONDO DE EMPLEADOS DE CREDIBANCO presentó escritos de descargos bajo radicados números 20-432055- -36, 20-432055- -37, Y 20-432055- -38. En su escrito de descargos la sociedad FONDO DE EMPLEADOS DE CREDIBANCO se pronunció respecto de los hechos descritos por el denunciante y explicó que “El señor XXX.
XXXXXXX. XXXXXX., durante su afiliación al fondo de empleados, en forma voluntaria solicita el acceso al convenio de telefonía celular, para su pago a través de descuento de nómina, contrato en el cual, la entidad solidaria es el Titular del servicio, por lo tanto, con la capacidad legal de acceder a los datos, consumos e información de las líneas móviles contratadas”1.
Así mismo, la sociedad indicó que en febrero de 2028 el vínculo laboral del Titular con la empresa CredibanCO término, motivo por el cual el Titular perdió la calidad de asociado del fondo de empleados y el Coordinador de la entidad procedió a remitir el estado de su cuenta al Titular y le indicó que existía un saldo a su favor2. Al respecto, la sociedad indica que pactó cruzar el saldo a favor con los servicios con los que contaba el Titular, y por lo tanto el servicio de telefonía celular se siguió prestando de forma ininterrumpida3.
Además, la sociedad explica que en el año 2020 con el cambio de gerente del fondo de empleados, se revisó la cuenta del Titular y se le informó al mismo la deuda pendiente, toda vez que el saldo a favor había sido superado4. Por lo anterior, entre las partes comenzaron una serie de intercambio de correos electrónicos y se dieron los hechos narrados en la denuncia del Titular5.
Al final, la sociedad concluye que no se violó el derecho de habeas data del Titular por cuanto: “La información compartida corresponde a un dato semiprivado, toda vez que no tiene la naturaleza Dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento interesa al titular y a cierto sector o grupo de personas o a la sociedad en general (Ej. datos financieros y crediticios, dirección, teléfono, correo electrónico,).
Esta información como se ha señalado es de acceso permanente de FEM PAS al ser el titular del contrato de telefonía celular, como grupo de interés para darle el respectivo tratamiento de administración y gestión del servicio. En cuanto a la Junta Directiva, en su rol de órgano permanente de administración corresponde a un grupo de personas que tenía como objetivo definir si el peticionario hizo o no uso del servicio durante los períodos 2018 y 2020, lo cual se pudo comprobar, sin que se le diera otro uso al mismo.
Finalmente, el señor XXXX XXXXXX XXX XXXXXXXX indica que el señor XXX. XXXXXX XXXXXXX. XXXXXX. se encuentra en “XXX”, sin especificar en qué parte de este país y con el único objetivo de acreditar que raíz de este cambio de dirección (que es un dato semiprivado) se evidencia que la línea celular no fue utilizada sino hasta enero de 2020, no era otro el objetivo de la afirmación” 6.
Por otra parte, frente al cargo único la sociedad sostuvo que “el fondo de empleados de CredibanCO – Fempas en este segundo requerimiento acepta que no cumplió con su deber de suministrar la información solicitada por el ente regulador”7. Así, señaló que “esta situación no se había presentado anteriormente, lo cual lamentamos y nos comprometemos a que no se volverá a presentar, ya que como administradores nos asiste el deber y la convicción de trabajar en pro de nuestra base de asociados y sus intereses” 8. 1 Expediente digital 20-432055.
Consecutivo número 38. Página 1. Folio 2. 2 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 3. 3 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 4. 4 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folios 4 a 5. 5 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 3 a 8. 6 Expediente digital 20-432055.
Consecutivo número 38. Página 1. Folio 9. 7 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 12. 8 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folios 12 a 13. “Por la cual se impone una sanción” Finalmente la sociedad indicó “que se comprometen a dar respuesta clara, de fondo y completa a la solicitud de información del 8 de abril de 2022, a más tardar el 20 de octubre de 2023” 9, y aportó la respuesta a los requerimientos realizados mediante escritos radicados bajo números 20-432055- -37 y 20432055- -38 de fechas de 23 y 31 de octubre de 2023.
SEXTO: Que mediante Resolución N.º 21337 de 30 de abril de 2024, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: • Documentos recaudados en las averiguaciones preliminares: 6.1.
Denuncia interpuesta ante esta Superintendencia por la presunta vulneración al derecho de habeas data con radicación 20-432055- 00000 del 17 de noviembre de 2020 junto con los siguientes anexos: 6.1.1. Cadena de intercambio de correos electrónicos entre JALQ – Jorge.lara@credibanco.com y PMPV; IP; CNN; FSC; YCRA; RGS. 6.1.2. Cuenta de cobro No. 01 del 30 de julio de 2020. 6.1.3.
Transacción bancaria del 06 de agosto de 2020. 6.1.4. Paz y salvo del 17 de agosto de 2020. 6.1.5. Recibo de caja del 06 de agosto de 2020. 6.1.6. Relación de llamadas telefónicas. 6.1.7. Poder especial. 6.1.8. Certificado de existencia y representación legal de la sociedad FONDO DE EMPLEADOS DE CREDIBANCO. 6.2. Requerimiento de información con radicación 20-432055- -7 10 de noviembre de 2021. 6.3.
Segundo requerimiento de información con radicación 20-432055- 19 del 08 de abril de 2022. • Documentos recaudados con los descargos 6.4. Escrito de descargos con radicación 20-432055-00036 del 12 de octubre de 2023, junto con los siguientes anexos: 6.4.1. Certificado de existencia y representación legal de FONDO DE EMPLEADOS DE CREDIBANCO. 6.4.2.
Copia de factura y detalle de la línea claro. 6.4.3. Copia factura claro con corte a octubre de 2023. 6.4.4. Estados financieros de FONDO DE EMPLEADOS DE CREDIBANCO correspondientes a los periodos 2020, 2021 y 2022. 6.5. Escrito de descargos con radicación 20-432055-00037 del 23 de octubre de 2023. 6.6. Escrito de descargos con radicación 20-432055-00038 del 31 de octubre de 2023 junto con los siguientes anexos: 6.6.1.
Formato de autorización para el tratamiento de datos personales. 6.6.2. Manual de Políticas y Procedimientos de tratamiento de Datos. 6.6.3. Manual de Políticas de Seguridad del Registro Nacional de Bases de Datos. 6.6.4. Protocolo de atención al titular de los datos personales.
SÉPTIMO: Que, la Resolución N.º 21337 de 30 de abril de 2024 le fue comunicada el día 30 de abril de 2024 al Representante Legal de la sociedad investigada; de acuerdo con la certificación expedida por la Secretaría General 9 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 13. “Por la cual se impone una sanción” AD-HOC de esta Superintendencia bajo radicado Nº.: 20-432055- -42 de fecha de 3 de mayo del 2024.
OCTAVO: Que, la sociedad FONDO DE EMPLEADOS DE CREDIBANCO presentó alegatos de conclusión bajo radicado números 20-432055- 43, de fecha de 17 de mayo de 2024 reiterando lo manifestado en el escrito de descargos respecto a los hechos narrados en la denuncia, e indicando: “Respecto del cargo único (…) pudo demostrar que: 1. Se dio oportuna respuesta a la resolución 55566 del 19 de septiembre de 2023 de la Superintendencia de Industria y Comercio, con una contestación clara, precisa y fondo, tomando en cuenta los aspectos fácticos, jurídicos y probatorios sobre la solicitud presentada por el ciudadano XXX.
XXXXXX XXXXXXX. XXXXXX., con el fin que el ente de regulación pudiese llevar en forma adecuada su gestión respecto de este caso. 2. Con base en el principio de lealtad procesal se aceptó que por el proceso de reorganización operativa que se estaba presentando al interior del fondo de empleados de CredibanCo – FEMPAS, no se dio respuesta oportuna a la solicitud de información inicial del radicado 20- 432055, siendo claros en precisar la importancia que estos procesos tienen, a su vez que es la primera vez que esto se había presentado en la entidad y principalmente el compromiso que este tipo de omisiones no se volverán a presentar. 3.
Con base en la ley 1581 de 2012 y demás normas complementarias, a su vez, las instrucciones de la Superintendencia de Industria y Comercio, el fondo de Empleados de CredibanCo – FEMPAS, adoptó su política de tratamiento de datos personales con sus respectivos anexos y documentos complementarios.” 10 NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. 10 Expediente digital 20-432055.
Consecutivo número 43. Página 3. Folios 4 a 5. 11 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción” (ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante así el escrito de descargos, los alegatos de conclusión y el conjunto de pruebas obrantes en el expediente. 10.2 Valoración probatoria y conclusiones 10.2.1.
Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente: “Artículo 21.
Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (ordenes y/o requerimientos) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.
En el presente caso, el Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX, identificado con cédula de ciudadanía No. XX.XXX.XX., presentó ante esta Superintendencia una denuncia, por la presunta vulneración de su derecho de Habeas Data por parte de la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, identificada con NIT 860.048.152-9 y su gerente el señor XXXXX XXXXXX XXXX XXXXXXXX, por compartir con terceros y sin autorización sus datos personales, tales como, el tráfico de sus llamadas telefónicas e información relacionada con su ubicación12.
Por lo anterior, debido a la denuncia interpuesta por el Titular esta Superintendencia requirió el 10 de noviembre de 2021 al FONDO DE EMPLEADOS DE CREDIBANCO mediante oficio de radicado 20-432055-7 y enviado a la dirección electrónica de notificación judicial “jorge.lara@credibanco.com”, para que informara: 1. “Sírvase manifestarse sobre los siguientes hechos: 12 Expediente digital 20-432055.
Consecutivo número 0. Página 1. Folio 1. “Por la cual se impone una sanción” “(…) El veintitrés (23) de julio de dos mil veinte (2020), mi poderdante manifiesta al señor XXXXX XXXXXX XXXX XXXXXXXX la necesidad de presentar el caso completo al comité de ética del fondo, a lo cual el señor XXXX XXXXXXXX, obrando en su condición de Gerente de FEMPAS, respondió “hoy revisamos el caso completo en la JD y con los entes de control abordo, quedando claras las responsabilidades.
Efectivamente se evidencia que usted sabía que tenía un servicio y deliberadamente decidido no pagar (a eso no lo llamamos peyorativo sino realidad) y también se identificaron falencias en el proceso que se ejecutó y que para su caso concreto permitieron que con su actuar de mala fe, no pagase por el servicio que tenía y no podamos ir más allá.” (SIC)
DÉCIMO QUINTO: El veinticuatro (24) de julio de dos mil veinte (2020), el señor XXXXX XXXXXX XXXX XXXXXXX, obrando en su condición de Gerente de FEMPAS, le remite correo a mi poderdante, con copia a las siguientes personas que incluyen miembros de la Junta Directiva del FONDO DE EMPLEADOS DE CREDIBANCO – FEMPAS: XXXXX XXXXXXX. XXXXX XXXXX, XXXXX.
XXXXX., XXXXXXX XXXXXX XXXX, XXXXXX XXXXXXXXX XXXXXXXXXXX, XXXX. XXXXXXXX XXXXXXXXX XXXXXX y XXXXXXX XXXXXXXX XXXXXXX.; en el correo se comparte lo siguiente: “Le compartimos los consumos de la línea (tanto en voz y datos) que usted dice que no usa hace más de dos años (ver abajo en los mail resultado en amarillo), para su conocimiento porque la verdad siempre está ahí, así no la quiera ver: La última llamada fue el 20 de enero de 2020 y puedo comprender porque no se da uso de la misma en estos últimos meses, teniendo en cuenta que usted se encuentra en XXX.
Con esto reiteramos que usted si sabe del servicio que tiene y si usaba la línea en mención, y porta razón le confirmo que dice mentiras y actúa de mala fe.” (SIC). Al correo anterior se anexan dos (2) archivos en formato Excel.” a. Sírvase indicar y soportar las funciones que desempeñan dentro de la sociedad las personas a las cuales se le compartió el correo anteriormente mencionado. b. Sírvase indicar y acreditar el motivo del envío del correo anteriormente mencionado. 2.
Enuncien puntualmente qué información y/o datos personales (V.gr. Nombre, número de identificación, direcciones físicas y/o electrónicas, números de tarjetas de crédito entre otros) del Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX identificado con cédula de ciudadanía XX.XXX.XX. reposan en sus bases de datos. 3. Manifiesten y acrediten, cuál fue el mecanismo implementado por la sociedad para la recolección de los datos personales del Titular XXXX.
XXXXXXXX XXXXXXXXX. XXXXXXXX identificado con cédula de ciudadanía XX.XXX.XX.. 4. En los términos del artículo 9 de la Ley 1581 de 2012, manifiéstenle al Despacho si cuentan con la autorización previa, expresa e informada por parte del Titular XXXX XXXXXXXX XXXXXXXXX. XXXXXXXX para realizar el Tratamiento de sus datos personales. En caso afirmativo, remitan copia del formulario y/o formato mediante el cual, se realiza este procedimiento y se le informa al Titular la finalidad del tratamiento y los derechos que le asisten en virtud de la autorización otorgada. 5.
Informe cuales son las finalidades para el Tratamiento de la información personal del señor XXXX. XXXXXXXX XXXXXXXXX. XXXXXXX y si fueron debidamente comunicadas al Titular de la información. 6. Indíquenle a esta Dirección si el Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX ha presentado reclamo o consulta ante ustedes en relación con el Tratamiento realizado sobre sus datos personales.
En caso afirmativo, alleguen copia del reclamo y de la respuesta suministrada por la Titular. Esos documentos deberán tener, de forma legible, la fecha y hora de presentación, radicación o envío de la respuesta. 7. Informe y acredite cuáles son los procedimientos adoptados por ustedes para obtener la autorización de los Titulares para el Tratamiento de sus datos personales.
Al respecto, sírvase remitir copia de los modelos o formatos que emplea para dicho propósito. “Por la cual se impone una sanción” 8. Informe y acredite cuáles son los mecanismos empleados por ustedes para dar a conocer a los Titulares su Política de Tratamiento de Datos Personales. 9. Sírvase remitir con destino a esta Dirección copia de la Política de Tratamiento de Datos Personales. 10.
Sírvase remitir con destino a esta Dirección copia del manual de Políticas de Seguridad. 11.Sírvase remitir con destino a esta Dirección copia del manual de procedimientos implementados por la organización para la atención de consultas, peticiones y reclamos. 12.Sírvase remitir con destino a esta Dirección copia del manual de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información. 13.Remita copia del manual de seguridad adoptado por ustedes para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales almacenados en sus bases de datos. 14.De conformidad con el artículo 2.2.2.25.4.4 del Decreto Único Reglamentario 1074 de 2015: ¿quién es la persona o área designada por el Responsable y/o Encargo para cumplir la función de protección de datos personales y de tramitar las solicitudes de los Titulares, con el fin de garantizar el ejercicio de los derechos a que se refiere la Ley 1581 de 2012 y el decreto antes citado? 15.¿Cuenta con avisos de privacidad, según los artículos 2?2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015? Remita copia de los avisos mencionados o el link en donde puede ser consultado.” 13 Al respecto, la sociedad FONDO DE EMPLEADOS DE CREDIBANCO mediante escrito radicado el 16 de noviembre de 2021 bajo número 20-432055- -9 solicitó el acceso al expediente.
Así mismo, la sociedad FONDO DE EMPLEADOS DE CREDIBANCO solicitó un plazo adicional de 15 días hábiles para dar respuesta al requerimiento realizado mediante escritos radicados bajo números 20-432055- -10 de fecha de 25 de noviembre de 2021. De igual forma, la sociedad FONDO DE EMPLEADOS DE CREDIBANCO solicitó otra vez el acceso al expediente y reiteró nuevamente la solicitud del plazo adicional de 15 días hábiles para dar respuesta al requerimiento realizado mediante escritos radicados bajo números 20-432055- -11, 20-432055- -13, y 20-432055- -15 de fechas de 26 noviembre de 2021, y 10 y 23 de diciembre 2021.
Debido a lo anterior, esta Dirección procedió a informarle a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO mediante oficio de radicado 20-432055- 18 que se le había concedido el acceso al expediente digital 20-432055. Ante la falta de respuesta de la sociedad investigada frente al requerimiento realizado por esta Dirección, se procedió a requerir nuevamente a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO mediante oficio de radicado 20432055- -18 de fecha de 8 de abril de 2022, y enviado a la dirección electrónica de notificación judicial “jorge.lara@credibanco.com” para que suministrara respuesta a los interrogantes planteados.
Como se evidencia, esta Dirección requirió en dos oportunidades a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO a la dirección de correo electrónico ‘jorge.lara@credibanco.com’, dirección registrada como dirección electrónica de notificación judicial dentro del Certificado de Existencia y Representación Legal 13 Expediente digital 20-432055.
Consecutivo número 7. Página 2. Folios 1 a 3. “Por la cual se impone una sanción” del FONDO DE EMPLEADOS DE CREDIBANCO, como se videncia a continuación: (ESPACIO EN BLANCO) Imagen No. 4. Captura de Pantalla tomada del Registro Único Empresarial y Social de la Cámara de Comercio En este punto es preciso resaltar que la sociedad respecto del primer requerimiento de radicado 20-432055-7 solicitó en varias oportunidades un plazo adicional de 15 días hábiles para dar respuesta al mismo, pero nunca allegó la respuesta al requerimiento.
Así mismo, en relación con el segundo requerimiento de radicado 20-432055- -18 la sociedad no tuvo pronunciamiento alguno. Por lo tanto, dado que la sociedad FONDO DE EMPLEADOS DE CREDIBANCO no se pronunció frente a los requerimientos realizados por este Despacho, y los mismo fueron entregados en debida forma a la dirección de correo electrónico ‘jorge.lara@credibanco.com’ registrada como dirección electrónica de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad, la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia mediante Resolución N°. 55566 de 19 de septiembre de 2023, decidió formular pliego de cargos en contra de la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley, toda vez que la sociedad “no atendió los requerimientos efectuados por esta Entidad”14. 14Resolución N°. 55566 de 19 de septiembre de 2023.
Folio 9. “Por la cual se impone una sanción” Al respecto, la sociedad en su escrito de descargos se pronunció en relación con los hechos descritos por el Titular en la denuncia. No obstante, tomando en consideración que estos pronunciamientos no guardan relación con el cargo formulado, el cual está relacionado con la falta de respuesta por parte de la sociedad a los requerimientos realizados por esta Despacho, los mismos no serán analizados.
Ahora bien, la sociedad frente al cargo único formulado indicó que “acepta que no cumplió con su deber de suministrar la información solicitada por el ente regulador”15, y señaló que “esta situación no se había presentado anteriormente, lo cual lamentamos y nos comprometemos a que no se volverá a presentar”16. Además la sociedad indicó “que se comprometen a dar respuesta clara, de fondo y completa a la solicitud de información del 8 de abril de 2022, a más tardar el 20 de octubre de 2023” 17, y aportó la respuesta a los requerimientos realizados mediante escritos radicados bajo números 20-432055- -37 y 20-432055- -38 de fechas de 23 y 31 de octubre de 2023.
Así las cosas, este Despacho encuentra probado que la sociedad fue requerida en dos oportunidades por la Superintendencia de Industria y Comercio a la dirección de correo electrónico obrante en el Certificado de Existencia y Representación Legal de la sociedad, y la sociedad no brindó respuesta dentro del término legal concedido como fue aceptado por la misma.
En efecto, se evidencia que la sociedad únicamente dio respuesta a los requerimientos realizados debido a la formulación de cargos en su contra, pero lo anterior no la exime del incumplimiento. En conclusión, se evidencia que la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, de manera negligente, incumplió el deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio, deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la misma norma, y por lo tanto, este Despacho procederá a imponer la sanción correspondiente.
No obstante, se tendrá en cuenta que la sociedad investigada reconoció expresamente la comisión de la infracción, y dicho reconocimiento se valorará al momento de imponer la sanción como criterio de atenuación de conformidad con el literal f del artículo 24 de la Ley 1581 de 2012.
DÉCIMO PRIMERO: CONCLUSIÓN Por lo expuesto, es claro que esta Dirección requirió en dos oportunidades distintas a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO para que, entre otras cosas, se pronunciara sobre los hechos narrados en la denuncia del Titular XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX, y de igual forma y para que, acreditara el cumplimiento del Régimen General de Protección de Datos Personales.
No obstante, transcurrido el término establecido para dar respuesta, la sociedad no se pronunció frente a los requerimientos, aun cuando se le brindó la oportunidad para hacerlo, incumpliendo así su deber legar de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. Sin embargo, toda vez que la sociedad reconoció expresamente la comisión de la infracción se tendrá en cuenta el criterio de atenuación descrito en el literal f del artículo 24 de la ley 1581 de 2012.
DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria 15 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 12. 16 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folios 12 a 13. 17 Expediente digital 20-432055. Consecutivo número 38. Página 1. Folio 13. “Por la cual se impone una sanción” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2318.
Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 219, 420 y 621 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo22. La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”23 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional24.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman 18“Artículo 23.
Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” 19 Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 20 Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 21 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) 22 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);
Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 23 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. 24 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:
ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, “Por la cual se impone una sanción” estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional25 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”26 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros27. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991. 25 Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 26 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 27 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción” Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”28.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia29. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2330 de la misma.
Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.
Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 28 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 29 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción” Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)31 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, quedó probado, frente al cargo único sobre por el presunto incumplimiento contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley, que la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, no dio respuesta a los requerimientos realizados por la Superintendencia de Industria y Comercio dentro del término legal concedido.
Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de SETENTA (70) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a OCHO MIL CIENTO VEINTE (8.120) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a OCHENTA Y OCHO MILLONES NOVECIENTOS VEINTIDÓS MIL CIENTO VEINTE PESOS M/CTE ($88.922.120)32, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la misma ley.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.2 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada aceptó que “no cumplió con su deber de suministrar la información solicitada por el ente regulador”33, este Despacho tendrá en cuenta la aceptación como criterio atenuante de la sanción. 31Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. 32 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 33 Expediente digital 20-432055.
Consecutivo número 38. Página 1. Folio 12. “Por la cual se impone una sanción” Por ello, el monto de la sanción impuesta será reducido a CUARENTA Y DOS (42) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL OCHOCIENTOS SETENTA Y DOS (4872) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a CINCUENTA Y TRES MILLONES TRESCIENTOS CINCUENTA Y TRES MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($53.353.272), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la misma ley.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.3. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO identificada con NIT. 860.048.152-9, con el correo electrónico de notificación judicial: jorge.lara@credibanco.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-432055. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO identificada con NIT 860.048.152-9 de CUARENTA Y DOS (42) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden CUATRO MIL OCHOCIENTOS SETENTA Y DOS (4872) Unidades de Valor Básico – UVB, equivalentes a CINCUENTA Y TRES MILLONES TRESCIENTOS CINCUENTA Y TRES MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($53.353.272), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la misma ley.
“Por la cual se impone una sanción” Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad FONDO DE EMPLEADOS DE CREDIBANCO, identificada con NIT 860.048.152-9, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 3. COMUNICAR el contenido de la presente resolución al señor XXXX. XXXXXXXX XXXXXXXXX. XXXXXXXX, identificado con cédula de ciudadanía número XX.XXX.XX. a través de su apoderada especial.
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Alterna: Carrera 7 No. 31A - 36 pisos 3 y 3A en la ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 19 de julio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2024.07.19 11:19:26 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: FONDO DE EMPLEADOS DE CREDIBANCO NIT. 860.048.152-9 JORGE ARTURO LARA QUINTERO C.C. N.º 79.736.421 jorge.lara@credibanco.com Avenida Carrera 68 No. 75A -50 Bogotá D.C. “Por la cual se impone una sanción” COMUNICACIÓN: Señor: Identificación: Correo electrónico: Dirección: Ciudad: XXXX.
XXXXXXXX XXXXXXXXX. XXXXXXXX C.C. No.XX.XXX.XX. XXXXXXXXXXXXXXXXXXXX XXXXX. XX XX. XXXX. XXXXX. XXX APODERADO: Nombre: Identificación: Tarjeta profesional: Dirección: Ciudad: Correo electrónico: VICTORIA ELVIRA NEUTA SÁNCHEZ C.C. N.º 52.175.297 de Bogotá 294.223 del C.S. de la Judicatura. Avenida Caracas # 34 -86 oficina 307 Bogotá D.C. info@glabogados.com.co