Resolución sancionatoria N° 78034 de 2021

(30 NOVIEMBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparte una orden” Radicación 20-66400 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, mediante escrito con radicado 20-66400-00000 del 18 de marzo de 2020, la señora XXXXXXXXXXXXXXXXXXXXX (en adelante, “la Titular”), identificada con cédula de ciudadanía No. XX.XXX.XXX, presentó denuncia ante esta Dirección en contra de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, por las presuntas infracciones al Régimen General de Protección de Datos Personales que se causaron en virtud de los hechos narrados por la Titular: 1.1.

Manifestó que: “(…) entre diciembre de 2018 y febrero de 2019, fui víctima de suplantación en la compañía Claro (Telmex) en tres ocasiones con los siguientes números de cuenta: xxxxxxxxx, xxxxxxxxx y xxxxxxxxx; generándose tres procesos de cobro y reportes a centrales de riesgo”. 1.2. Aseguró que, “[f]rente a esta situación, tuve que hacer diversos trámites (de los cuales adjunto pruebas) para conseguir ser exonerada de dichos cobros y sacada de las centrales de riesgo”. 1.3.

Afirmó que: “(…) adicionalmente, solicité de manera expresa la eliminación de mis datos de su sistema desde el 8 de marzo del año 2019, a lo cual obtuve respuesta favorable con radicado consecutivo No. RVA 10000-2779152 del 12 marzo del mismo año, firmada por xxxxxxxx xxxxxxxxxxxxxxxxxx, Gerente de PQRs. No obstante el día 26 de febrero de 2020 me fue enviado un correo con el siguiente contenido: CLAR 210 informa que su factura presente una mora superior a 210días (sic) con reporte negativo en centrales de riesgo”. 1.4.

Agregó lo siguiente: “[p]or la página de Facebook de Claro me informa un asesor que se trata de una cuenta instalada en la dirección xxxxxxxxxxxxxxxxxxxxxxxx que tiene un saldo en mora desde abril del 2019, el número de cuenta es xxxxxxxxx. Por ese motivo escribí nuevamente una queja a la compañía Claro (Telmex ) para aclarar que no tengo ningún tipo de contratos de servicios con la compañía y que es la cuarta vez que soy objeto de suplantación para este tipo de contratos, razón por la cual solicité que se me diera una explicación al incumplimiento del compromiso adquirido por la compañía Claro respecto al uso de mis datos personales con fines comerciales y publicitarios; que se me informara acerca de las medidas internas adoptadas para evitar el uso de mis datos con dichos fines; que se diera por cancelado cualquier tipo de contrato de servicios de Claro que se encontrara a mi nombre y que se suspendiera cualquier gestión de cobro vigente y se retiraran mis datos de las centrales de riesgo por concepto de cobros de cualquier tipo de servicios de la compañía Claro.Frente (sic) a esta solicitud solo obtuve la siguiente respuesta, mediante consecutivo No. RVA 10000- 3364452: ‘Es oportuno indicarle que luego de realizado un análisis del proceso de venta por parte de nuestra área de prevención fraude, hemos procedido a exonerarlo de la obligación pendiente de pago y por ello se ha descontado la totalidad de los saldos facturados hasta la fecha.En (sic) consecuencia hemos suspendido cualquier gestión de cobro vigente, así como realizamos la cancelación de los servicios registrados a su nombre, HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” desconectados mediante ticket No. 265930283 con el fin de no generar cobros adicionales.Consideramos (sic) necesario informarle, que se procedió con la eliminación del reporte en centrales de riesgo’”. 1.5.

Finalmente, solicitó lo siguiente: “(…) debido a que no se han respetado mis derechos y garantías constitucionales y legales, solicito la supresión de mis datos y la garantía de no volver a ser usados para contrataciones futuras y que se otorgue algún tipo de reparación si es el caso”.

SEGUNDO: Que, junto con su reclamación, la Titular aportó los siguientes documentos: 2.1. Oficio No. 58028 del 15 de marzo de 2019 dirigido a la Autoridad Nacional de Televisión por parte de la Gerente de Reclamaciones del Cliente de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. 2.2. Respuesta con consecutivo RVA 10000 – 2783441 de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. dirigida a la Titular. 2.3.

Comunicación de la Agencia Nacional de Televisión con radicado 2019120007306 dirigido a la Titular. 2.4. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.5. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.6. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.7.

Correo electrónico dirigido a la dirección ‘xxxxxxxxxxxxxxxxxxxxxxxx’ el 26 de febrero de 2020 mediante el cual se realiza el cobro de la cuenta xxxxxxxxx. 2.8. Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la PQR con No. de cuenta xxxxxxxxx. 2.9. PQR interpuesta por la Titular ante la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., con causa de requerimiento: “[e]rror factura/ Cobro o descuento injustificado”. 2.10.

Respuesta emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. con radicado RVA 10000-060075.

TERCERO: Que en desarrollo de la etapa preliminar adelantada por el Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Protección de Datos Personales, se solicitaron y recaudaron los siguientes documentos y elementos de prueba: 3.1. Oficio con radicado No. 20-66400-00004 del 17 de junio de 2020 se requirió a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. con el fin de que informara lo siguiente: “1.

Informe a esta Dirección cuál información de la reclamante (nombre, número de celular, e-mail, etc.) tiene en sus bases de datos. 2. ¿De qué manera recolectó la información de la reclamante que reposa en sus bases de datos? 3. Indique si la reclamante ha interpuesto otras reclamaciones al respecto ante esa sociedad. De ser afirmativa su respuesta, allegue copia de la contestación junto con el comprobante de entrega. 4.

Informe las políticas que esa sociedad ha implementado con el fin de evitar casos de suplantación. Especifique las medidas tomadas frente al caso de la reclamante. 5. Allegue copia de la autorización previa, expresa e informada de la reclamante para el Tratamiento de sus datos personales. Acredite su respuesta. HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” 6.

Indique cuál(es) servicio(s) se encuentra(n) activo(s) actualmente a nombre de la reclamante. Adjunte contrato de lo(s) mismo(s). 7. Informe las políticas internas de seguridad bajo los cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 8. Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012”. 3.2.

Comunicación con radicado 20-66400-00005 del 06 de julio de 2020 la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. informó lo siguiente: “1. Informe a esta Dirección cuál información de la reclamante (nombre, número de celular, e-mail, etc.) tiene en sus bases de datos. De acuerdo a la verificación efectuada por la compañía, se registra la siguiente información de la reclamante xxxxxxxxxxxxxxxxxxxxxxxxxxxx: a.) Comcel Soluciones Móviles: b.) Comcel Soluciones Fijas 2.

De qué manera recolectó la información de la reclamante que reposa en sus bases de datos La información de la reclamante que reposa en las base de datos se recolectó a través de la suscripción de los contratos de las cuentas hogar No. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx, por parte de señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxx; adjuntamos las grabaciones de los contratos.

Es importante señalar que en el momento de la grabación del contrato se suministran por parte de la Titular datos personales como son: nombre, cédula, dirección, teléfono de contacto, correo electrónico. 3. Indique si la reclamante ha interpuesto otras reclamaciones al respecto ante esa sociedad. De ser afirmativa su respuesta, allegue copia de la contestación junto con el comprobante de entrega.

Se adjuntan los siguientes comunicados con los soportes de envío: Cuenta Hogar Xxxxxxxxx: - Comunicado RVA 10000-2774632 del 08 de marzo de 2019 - Comunicado RVA 10000-2779152 del 12 de marzo de 2019 - Comunicado RVA 10000-2783441 del 15 de marzo de 2019 Cuenta Hogar Xxxxxxxxx: - Comunicado RVA 10000-2781491 del 14 de marzo de 2019 - Comunicado RVA 10000-2773053 del 07 de marzo de 2019 HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Cuenta Hogar Xxxxxxxxx: - Comunicado RVA 10000-3364452 del 17 de marzo de 2019 - Comunicado RVA 10000-2781384 del 14 de marzo de 2019 - Comunicado RVA 10000-2776943 del 11 de marzo de 2019 - Comunicado RVA 10000-2773065 del 07 de marzo de 2019 Al respecto es importante manifestar que debido a la presentación del formato para negación de línea de las cuentas Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx por parte de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxx, la compañía le informó a la usuaria mediante comunicado RVA 10000-2781384 del 14 de marzo de 2019 lo siguiente: ‘(…) (i) Atendiendo su requerimiento, en el que manifiesta no haber solicitado la instalación de los servicios registrados en las cuentas No. Xxxxxxxxx, No. Xxxxxxxxx y No. Xxxxxxxxx; le informamos que a su nombre se encuentran registrados los servicios de Televisión, Telefonía e Internet instalados en la ciudad de Bello.

(ii) Es oportuno indicarle que luego de realizado un análisis del proceso de venta por parte de nuestra área de prevención fraude, hemos procedido a exonerarlo de la obligación pendiente de pago y por ello se ha descontado la totalidad de los saldos facturados hasta la fecha. (iii) En consecuencia hemos suspendido cualquier gestión de cobro vigente, así como realizamos la cancelación de los servicios registrados a su nombre, desconectados, con el fin de no generar cobros adicionales.

(iv) Consideramos necesario informarle, que se procedió con la eliminación del reporte en centrales de riesgo. (…)’ De conformidad a lo anterior, COMCEL SOLUCIONES FIJAS procedió a realizar ajustes por concepto del cobro de las cuentas Hogar No. Xxxxxxxxx, Xxxxxxx y Xxxxxxxx y al validar el reporte ante las centrales de riesgos no registra ningún reporte, tal y como se evidencia en la impresión de novedad de Datacrédito y Cifin que se adjunta a este comunicado.

Adjuntamos impresiones del sistema en el que se evidencia que las cuentas Hogar No. Xxxxxxxxx, Xxxxxxxx y Xxxxxxxx no presentan saldo pendiente por cancelar: HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” 4. Informe las políticas que esa sociedad ha implementado con el fin de evitar casos de suplantación. Especifique las medidas tomadas frente al caso de la reclamante.

Entre las políticas que se han gestionado por parte de la empresa para prevenir y mitigar los casos de suplantación se encuentran las siguientes: a.) Los asesores/consultores reciben capacitación permanente y refuerzos respecto a tips de verificación de documentos, toma de huella y diligenciamiento del contrato. b.) El área de prevención de fraude realiza un proceso continuo de verificación de políticas para disminuir la suplantación de identidad. c.) Se implementó la herramienta IDVISION para verificar la identidad de suscriptores en canales NO presenciales. d.) En las ventas de calle (agentes comerciales y asesores directos) se ha implementado de manera gradual biometría dactilar en dispositivos móviles. e.) En las ventas realizadas en CAV´s habilitados para Biometría desde marzo de 2017, se implementó para el proceso de verificación de identidad, el método de Biometría Dactilar contra la base de la Registraduria (sic) Nacional del Estado Civil. f.) Se implementó en los canales de TMK una herramienta de validación de fraude llamada ROC- FMS del proveedor SUBEX que determina si la información de contacto del cliente potencial está relacionada con clientes con riesgo de fraude detectados anteriormente.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Adicionalmente a las herramientas de validación de identidad que se tienen con el buró de crédito, se han implementado o se encuentran en proceso de implementación las siguientes acciones: - Biometría móvil u OTP (SMS de buró de crédito) obligatorio en ventas de hogares ciudades riesgosas.

Estado: Implementado. - Validación offline con biometría de voz las ventas que tuvieron autenticación de identidad con preguntas en canales telefónicos. - Confirmación mediante SMS en las ventas de servicios fijos en clientes antiguos en canales no presenciales. - Validación de identidad por preguntas internas en clientes antiguos que no sean autenticados con Biometría o SMS.

En cuanto a las medidas tomadas frente al caso de la reclamante, es importante señalar que el área de protección de la compañía realizó una validación exhaustiva verificando los datos de dirección de instalación y contacto registrados en el contrato y/o en el sistema con los registrados en las centrales de riesgo, en los aplicativos Reconoce y Ubica, en los que se validó la dirección de residencia de la usuaria y el número de veces que se ha reportado la dirección por diferentes entidades.

De igual forma, el número de cédula de la reclamante quedó en el área de protección de la compañía y sólo por medio biométrico se podrá realizar activación de los servicios hogar. 5. Allegue copia de la autorización previa, expresa e informada de la reclamante para el Tratamiento de sus datos personales. Acredite su respuesta. La compañía cuenta con la autorización de manera previa, expresa e informada de parte de quien en su momento se identificó y validó como la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxx para la recolección y tratamiento de sus datos personales.

Anexamos grabaciones de los contratos de las cuentas No. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx en el que se puede evidenciar la autorización en el tratamiento de los datos personales y adicionalmente fue informada las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada: ‘autoriza a CLARO para realizar el tratamiento de sus datos personales con fines de prestación del servicio relación contractual comercial publicitaria y trasmisión de datos a terceros de acuerdo con la política de tratamiento disponible en www.claro.com.co usted puede consultar actualizar y rectificar sus datos, solicitar o revocar esta autorización conocer el uso que se le ha dado a sus datos, y contactar a la Superintendencia de Industria y Comercio, acepta sí o no? a lo que contesto: si señora’ 6.

Indique cuál(es) servicio(s) se encuentra(n) activo(s) actualmente a nombre de la reclamante. Adjunte contrato de lo(s) mismo(s). A nombre de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx con número identificación No. xx.xxx.xxx, a la fecha no existen obligaciones activas a su nombre ni en COMCEL SOLUCIONES MOVILES y tampoco en COMCEL SOLUCIONES FIJAS. 7.

Informe las políticas internas de seguridad bajo los cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La compañía tiene establecidos controles e implementadas políticas de seguridad de la información que incluyen lineamientos y controles de seguridad encaminados a proteger la confidencialidad, integralidad y disponibilidad de la información, construidos bajo los mejores estándares y prácticas de seguridad existentes en la materia.

Dichas políticas son regularmente revisadas y actualizadas y son de estricto cumplimiento por los funcionarios directos e indirectos que desempeñan alguna labor o actividad al interior de la compañía. Puntualmente con ocasión de la expedición de la ley 1581 de 2012 y el decreto reglamentario 1377 de 2013 se revisaron y actualizaron las políticas internas de seguridad de la información y se publicó en la página web de la compañía el documento de Políticas de Tratamiento de la información, que puede ser consultado en www.claro.com.co.

COMCEL ha tomado todas las precauciones razonables y medidas de índole técnico administrativo y organizacional conducentes a garantizar la seguridad de los datos de carácter personal de los titulares, principalmente aquellos destinados a impedir su alteración, HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” perdida y tratamiento o acceso no autorizado.

Las medidas de seguridad se aplican tanto a los ficheros como a los tratamientos. La aplicación de las medidas de seguridad, tiene como fin procurar la conservación, confidencialidad, integridad y disponibilidad de los datos. Los lineamientos de seguridad se encuentran respaldados por las políticas de seguridad de la información, construidas bajo las mejores prácticas y estándares de seguridad existentes y dando cumplimiento a las regulaciones vigentes.

Dichas políticas son de estricto cumplimiento por los funcionarios directos o indirectos que desempeñan alguna labor o actividad al interior de CLARO S.A. 8. Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012.

Respecto de las medidas de seguridad establecidas por la compañía, la compañía cuenta con el documento POLITICAS DE SEGURIDAD DE LA INFORMACIÓN, en el que se establecen los controles de seguridad de la información necesarios para proteger la confidencialidad, integridad y disponibilidad de la información apoyados en estándares y seguridad de la información. Dentro de las políticas internas de seguridad implementadas por la compañía para conservar la información de los titulares a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento se encuentran, entre otras, las siguientes: a.) Los recursos de cómputo, dispositivos móviles, programas/ software, de almacenamiento y red asignados son propiedad de la organización y constituyen una herramienta de trabajo exclusiva para el desempeño de las funciones.

Por lo tanto la compañía se reserva el derecho de conocer, revisar, monitorear y examinar entre otros, la totalidad de la información que se encuentra en dichos recursos. b.) Está prohibido instalar, modificar, copiar o utilizar software en los recursos de cómputo o red diferente al suministrado. c.) Está prohibido usar, enviar o almacenar en los diferentes recursos tecnológicos a través de cualquier medio (físico o digital) contenido que pueda generar sentimientos de acoso u hostigamiento, o que por su naturaleza sea incomodo, sexualmente explicito, religioso, racial, difamatorio, ilegal o que impida, estorbe o retarde información valiosa e importante. d.) Las áreas responsables de la información de los equipos y medios de almacenamiento deben cumplir los lineamientos, estándares y procesos de seguridad para proteger la información. e.) Los colaboradores no deben revelar o intercambiar información confidencial de la compañía por ningún medio, sin contar con la autorización por parte de la Gerencia de Seguridad. f.) Las cuentas de usuarios (usuario y contraseña) son personales e intransferibles y deben cumplir con los estándares y controles de seguridad definidos; en ninguna circunstancia se deben compartir.

Todas las acciones realizadas con la cuenta del usuario asignada son responsabilidad del propietario. g.) Todos los contratos o acuerdos definidos deben de contar el anexo de seguridad de terceros de partes interesadas y acuerdos de confidencialidad. Adjuntamos, documento POLITICAS DE TRATAMIENTO DE LA INFORMACIÓN publicado en la página web de la compañía mediante el cual se informa sobre las disposiciones normativas contenidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013.

Adicionalmente nos permitimos adjuntar al presente el documento de Políticas de Seguridad de la Información, el cual agradecemos sea tratado como un documento confidencial toda vez que el mismo tiene información con tal carácter. En los anteriores términos damos respuesta al requerimiento, reiterando que la compañía ha implementado nuevos procedimientos y herramientas para evitar y contrarrestar los riesgos asociados al fraude y a la suplantación personal; manifestamos igualmente que la compañía trabaja con herramientas de última tecnología de seguridad y de control de identificación de las personas, que incluyen captores biométricos, validación de identidad con centrales de riesgos y bases de datos de la Registraduria (sic) Nacional.

Con base en lo antes expuesto y según se evidencia en los documentos que se anexan, de manera atenta se solicita el ARCHIVO de la presente actuación toda vez que la compañía HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” realizó las gestiones pertinentes para la exoneración de la deuda de las obligaciones No. Xxxxxxxxxx, Xxxxxxxxxx y Xxxxxxxxxx y bajo el número de cédula de la reclamante no se registra ningún reporte ante centrales de riesgo por parte de COMCEL”.

CUARTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 59135 del 24 de septiembre de 20201, por medio de la cual se formularon DOS (2) cargos a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

QUINTO: Que, la apoderada especial de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. dio respuesta a la formulación de cargos de la Resolución No. 59135 del 24 de septiembre de 2020, a través de la comunicación con radicado 20-66400-00015 del 27 de octubre de 20202 en la que señaló: 5.1. La información personal de la Titular “(…) se recolectó a través de la suscripción de los contratos verbales de la cuenta hogar No. Xxxxxxxxx, Xxxxxxxx y Xxxxxxxx”.

Estos contratos fueron suscritos en los meses de diciembre de 2018 y enero de 2019, realizando la respectiva confirmación de identidad de la Titular “(…) a través de la validación de los datos personales, a saber: nombres, apellidos, número de cédula, fecha de expedición de la cédula y la aprobación de las preguntas realizadas por seguridad”.

Agregó que “[a]l momento de la grabación de los contratos se realizaron por parte del asesor preguntas de seguridad; es decir que por parte de la compañía se realizaron filtros de seguridad para la contratación de los servicios”. 5.2. En las grabaciones de los contratos de las cuentas hogar No. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx se evidencia que se cuenta con la autorización previa, expresa e informada de la persona que se identificó como xxxxxxxxxxxxxxxxxxxxxxxxx.

Añade que en las grabaciones se encuentra lo siguiente: “autoriza a CLARO para realizar el tratamiento de sus datos personales con fines de prestación del servicio relación contractual comercial publicitaria y trasmisión de datos a terceros de acuerdo con la política de tratamiento disponible en www.claro.com.co usted puede consultar actualizar y rectificar sus datos, solicitar o revocar esta autorización conocer el uso que se le ha dado a sus datos, y contactar a la Superintendencia de Industria y Comercio, acepta sí o no? a lo que contesto: si señora”. 5.3.

En la comunicación RVA 10000-2781384 del 14 de marzo de 2019 emitida por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. a la Titular, se le informó lo siguiente: “(…) (i) (ii) Atendiendo su requerimiento, en el que manifiesta no haber solicitado la instalación de los servicios registrados en las cuentas No. Xxxxxxxx, No. Xxxxxxx y No. xxxxxxxx; le informamos que a su nombre se encuentran registrados los servicios de Televisión, Telefonía e Internet instalados en la ciudad de Bello.

Es oportuno indicarle que luego de realizado un análisis del proceso de venta por parte de nuestra área de prevención fraude, hemos procedido a exonerarlo de la obligación pendiente de pago y por ello se ha descontado la totalidad de los saldos facturados hasta la fecha. la Resolución No. 19194 del 9 de abril de 2021, “[p]or la cual se incorporan pruebas dentro de una investigación, se decretan otras y se corrige un acto administrativo”, se corrigió un error de digitación y de omisión de palabras en el artículo primero de la parte resolutiva de la Resolución No. 59135 de 2020, en aplicación del artículo 40 de la Ley 1437 de 2011. 2 La investigada remitió el escrito de descargos también mediante las comunicaciones con radicados 20-66400-00016 del 27 de octubre de 2020 y 20-66400-00017 del 28 de octubre de 2020. 1 Mediante HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” (iii) (iv) 5.4.

En consecuencia hemos suspendido cualquier gestión de cobro vigente, así como realizamos la cancelación de los servicios registrados a su nombre, desconectados, con el fin de no generar cobros adicionales. Consideramos necesario informarle, que se procedió con la eliminación del reporte en centrales de riesgo. (…)”. Aunado con la anterior referencia a la respuesta dada a la Titular, precisó: “Es decir, que de acuerdo a la manifestación por parte de la usuaria bajo la gravedad de juramento que ha sido víctima del delito de falsedad personal consagrado en el artículo 296 del código penal ya que manifestó que no solicitó la instalación de los servicios de las cuentas No. Xxxxxxx, Xxxxxxxx y Xxxxxxxx, la compañía luego de realizar un análisis del proceso de venta procedió a exonerar a la usuaria de las obligaciones pendientes de pago.

(…) Por lo anterior a lo señalado por parte de la SIC: “(…) acepta que en la expedición de las cuentas No. Xxxxxxxxx, Xxxxxxxx y xxxxxxxx se incurrió en suplantación personal (…)” manifestamos que la compañía no es la autoridad encargada para establecer si se presentó o no suplantación personal ya que reiteramos que la Fiscalía General de la Nación es la entidad encargada de realizar las investigaciones y determinar si se configura el delito de falsedad personal.

En este caso, debido a la manifestación de la señora xxxxxxxxxxxxxxxxxx de negación de las cuentas Hogar, la compañía procedió a exonerarla de los cobros de las cuentas No. Xxxxxxxx, Xxxxxxx y Xxxxxxxx”. 5.5. En cuanto a la comunicación del 26 de febrero de 2020 remitida al correo electrónico xxxxxxxxxxxxxxxxxxxxxx, con la cual se efectuó el cobro de la cuenta hogar No. xxxxxxxxxx, indicó: “(…) que ese es el mail informado por la usuaria desde la petición presentada ante la compañía: No obstante lo anterior, es importante señalar que COMCEL mediante comunicado RVA 10000-3364452 del 17 de marzo de 2020 le reiteró a la usuaria que respecto a la cuenta Hogar No. xxxxxxxxx se procedió a exonerarla de la obligación y se ha descontado la totalidad de los saldos facturados”. 5.6.

En relación al segundo cargo, manifestó: “(…) la obligación xxxxxxxxx fue enviada a la casa de cobranzas por el área de cartera; para el caso en particular, de manera atenta nos permitimos manifestar que COMCEL S.A. en su deber de fuente y como Responsable del tratamiento de los datos de la señora xxxxxxxx xxxxxxxxxxxxxxxxxxxx, cumplió con el deber establecido y realizó las respectivas rectificaciones ante el encargado de las mismas, evitando así que se realicen gestiones de cobranza por obligaciones que no le corresponden a la titular.

En este caso, reiteramos que COMCEL en su calidad de Responsable del tratamiento de los datos personales de la Titular, procedió a rectificar la información en el momento en que la titular advirtió a la compañía que fue víctima del delito de suplantación personal ya que no adquirió las cuentas No. Xxxxxxxx, Xxxxxxx y Xxxxxxx. Respecto a lo anterior, conforme se establece en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015, la actualización debe efectuarse, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos de tal manera que satisfagan los propósitos del tratamiento, así: ‘(…) Articulo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…)’ (subrayado fuera de texto) Finalmente, se señala que en el presente caso, la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxx solicitó la rectificación de la base de datos de COMCEL por no ser titular de la cuentas Hogar No. Xxxxxxxx, Xxxxxxxx y Xxxxxxxx; de acuerdo a lo anterior, COMCEL en el escrito de explicaciones presentado el día 03 de julio de 2020 manifestó que debido a la reclamación presentada por la titular se había procedido a la exoneración de las obligaciones pendientes de pago y a la eliminación del reporte ante las centrales de riesgos, lo cual había sido comunicado a la usuaria desde el 14 de marzo de 2019”.

SEXTO: Que este Despacho profirió la Resolución No. 19194 del 9 de abril de 2021, mediante la cual se incorporaron las pruebas obrantes en el expediente 20-66400 del 20-66400-00000 al 2066400-00017, con el valor probatorio que les corresponda, y las demás que sean allegadas debida y oportunamente al expediente, así como se corrigió un acto administrativo y se ordenó a la investigada lo siguiente: “(…)  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, deberá informar la razón social y el NIT de la casa de cobranza que funge o fungió como Encargado del Tratamiento de los datos personales de la señora xxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con C.C. xx.xxx.xxx.  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT 800.153.993-7, deberá acreditar a través de una prueba técnica, respecto de la señora xxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con C.C. xxx.xxx.xxx, i) la fecha en la que suministró sus datos personales al Encargado del Tratamiento (casa de cobranzas), ii) los datos personales que fueron suministrados al Encargado del Tratamiento y; iii) la fecha en la que cesó el Tratamiento por parte del Encargado del Tratamiento”.

La Resolución No. 19194 de 2021 fue comunicada el 17 de junio de 2021 a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a través de su apoderada especial, como consta en la certificación con radicado 20-66400-00022 del 3 de mayo de 2021 de la Secretaria Ad-Hoc de esta Superintendencia.

SÉPTIMO: Que la investigada a través de la comunicación con radicado 20-66400-00021 del 23 de abril de 2021, en cumplimiento de lo ordenado en la Resolución No. 19194 de 2021 informó: “Con base en la información suministrada por la compañía, el encargado de la gestión efectuada al cliente fue el aliado COGUASIMALES identificado con NIT 9004697045.

(…) De conformidad a lo manifestado por la compañía, al aliado COGUASIMALES se le suministraron los datos de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxx el 5 de noviembre de 2019 y la gestión de cobranza fue efectuada en dicho mes, según consta en la siguiente imagen en la cual igualmente se observan los datos que se le suministraron, a saber: Se evidencia un último mensaje el día 28 de noviembre de 2019”.

OCTAVO: Que, esta entidad mediante la comunicación con radicado 20-66400-00023 del 27 de julio de 2021 corrió traslado para alegatos de conclusión a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A.

NOVENO: Que la investigada, por conducto de su apoderada especial, presentó alegatos de conclusión con la comunicación con radicado 20-66400-00024 del 10 de agosto de 2021, reiterando los argumentos expuestos en escrito de descargos3. 3 Obrantes en las comunicaciones con radicados 20-66400-00015 del 28 de octubre de 2020, 20-66400-00016 del 27 de octubre de 2020 y 20-66400-00017 del 28 de octubre de 2020.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ”

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y alegatos de conclusión, así como en el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como del acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 11.2.1 Respecto del deber solicitar y conservar la autorización previa, expresa e informada Conforme con el principio de libertad consagrado en el literal c) del artículo 4 de la Ley 1581 de 2012, según el cual “[e]l Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento (…)”, es claro que el Tratamiento de los datos personales solo puede ser autorizado por el Titular de estos para la finalidad específica. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. 4 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.

También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad.

En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”. (Se subraya fuera de texto) Este principio es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. Por su parte, el literal e) del artículo 3 de la Ley 1581 de 2012 definió al Responsable del Tratamiento de los datos personales en los siguientes términos: “e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

( )”. Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato ( )”. Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.1.

Recolección de los datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular.

(…). Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

(…). Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”. (Se subraya fuera de texto) Preliminarmente esta Dirección encontró que de las grabaciones de las llamadas es imposible concluir inequívocamente que la Titular dio su autorización previa, expresa e informada para el Tratamiento de sus datos personales.

Adicionalmente, preliminarmente se evidenció que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. sometió a Tratamiento los datos de la Titular para realizar las gestiones de cobro. Por su parte, la investigada en descargos5 expresó que cuenta con la autorización previa, expresa e informada de la Titular para el Tratamiento de sus datos que fueron recolectados con la suscripción en los meses de diciembre de 2018 y enero de 2019 de los contratos verbales de las cuentas hogar Nos. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx.

Al respecto señaló que: “Al escuchar las grabaciones de los contratos se evidencia que se realizó confirmación de la identidad de la reclamante a través de la validación de los datos personales, a saber: nombres, apellidos, número de cédula, fecha de nacimiento, fecha de expedición de la cédula y la aprobación de las preguntas realizadas por seguridad”.

Ahora bien, este Despacho procederá a analizar si la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. contaba con la autorización previa, expresa e informada para el Tratamiento de los datos personales de la Titular en la suscripción de los contratos de las líneas hogar Nos. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx. En primer lugar, la investigada en descargos aportó grabaciones6 de las llamadas sostenidas con la Titular en las que se evidencia que, en aras de contratar los servicios de hogar con la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., suministró datos personales, como lo son nombre, cédula, dirección y teléfono. Por su parte, en las grabaciones se acredita que la investigada solicitó la autorización expresa e informada de la Titular al momento de solicitar y contratar los servicios de hogar, como se evidencia en las siguientes transcripciones de las llamadas:  Grabación 17 “(…) Agente de ventas: autoriza a CLARO para realizar el Tratamiento de sus datos personales con fines de prestación del servicio, relación contractual, comercial, publicitaria y transmisión de datos a terceros de acuerdo con la política de tratamiento disponible en www.claro.com.co.

Usted puede solicitar, actualizar y rectificar sus datos. Solicitar o revocar su autorización, el uso que se le dan a sus datos y con y con, perdón, y contactar a la Superintendencia de Industria y Comercio. Acepta, ¿sí o no? Titular: sí señora. (…)”.  Grabación 28 “(…) Agente de ventas: ¿Autoriza a CLARO para realizar el Tratamiento de sus datos personales con fines de prestación del servicio, relación contractual, comercial, publicitaria y transmisión de datos a terceros de acuerdo con la política de tratamiento disponible en www.claro.com.co?.

Usted puede consultar, actualizar y rectificar sus datos. Solicitar o revocar su autorización, conocer el el uso que se le dan a sus datos y 5 Obrantes en las comunicaciones con radicados 20-66400-00015, 20-66400-00016 y 20-66400-00017. 6 Obrantes en el radicado 20-66400-00015, páginas 7, 8 y 11. 7 Obrante en el radicado 20-66400-00015, páginas 7 y 11. 8 Obrante en el radicado 20-66400-00015, página 8.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” con y con, perdón, y contactar a la Superintendencia de Industria y Comercio. ¿Acepta?, ¿sí o no? Titular: Sí señora. (…)”. De acuerdo con las grabaciones 9 aportadas por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., se evidencia que al momento de la recolección de los datos personales de la Titular, la investigada le solicitó su autorización informada para el Tratamiento de sus datos dentro del marco de los contratos de cuentas hogar Nos. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx.

Adicionalmente, la investigada con las grabaciones aportadas demuestra que conservó prueba de la autorización otorgada por la Titular para el Tratamiento de sus datos personales, en lo relativo a los contratos de cuentas hogar Nos. Xxxxxxxxx, Xxxxxxxxx y Xxxxxxxxx. Así las cosas, este Despacho encuentra que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. solicitó al momento de la recolección de los datos de la Titular, su autorización expresa e informada, así como conservó en audios de las llamadas telefónicas soporte de las autorizaciones dadas por la Titular, por lo cual este Despacho archiva este primer cargo al encontrar que la investigada no desconoció el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. 11.2.2 Respecto del deber de garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible Dentro de los principios que rigen la administración de datos, el literal d) del artículo 4 de la Ley 1581 de 2012 dispone: “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error; (…)”. La Corte Constitucional en sentencia C-748/11, de control de constitucionalidad de la Ley 1581 de 2012 respecto del principio de veracidad o calidad, manifestó: “Según el principio de veracidad[212], los datos personales deben obedecer a situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos.

En la sentencia SU-082 de 1995, esta Corporación fijó el principio de integridad en el manejo de los datos. Bajo su amparo, se prohibió que el manejo de los datos fuese incompleto, en razón a que esta situación puede distorsionar la veracidad de la información. En dicha oportunidad, la Corte decidió tutelar los derechos de un usuario del sistema financiero que había sido afectado con una información incompleta.

Por lo tanto, se ordenó a la entidad administradora de datos, completar la información acerca del comportamiento comercial del actor. En consecuencia, en virtud de aquél principio ‘la información que se registre o se divulgue a partir del suministro de datos personales debe ser completa, de tal forma que se encuentra prohibido el registro y divulgación de datos parciales, incompletos o fraccionados.

Con todo, salvo casos excepcionales, la integridad no significa que una única base de datos pueda compilar datos que, sin valerse de otras bases de datos, permitan realizar un perfil completo de las personas.’[213] (…) Principio de veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error. 9 Obrantes en el radicado 20-66400-00015, páginas 7, 8 y 11. HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” La ley recoge dos de los principios desarrollados por la jurisprudencia: (i) el de veracidad y (ii) el principio de integridad de los datos.

Según el primero, los datos personales deben obedecer a situaciones reales, actualizadas y comprobables. Bajo el segundo, se prohíbe que el manejo de los datos sea incompleto y pueda inducir a error”. Este principio es desarrollado, entre otros, por el deber a cargo de los Responsables del Tratamiento previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;

(…)”. Por su parte, efectuadas las anteriores precisiones normativas y jurisprudenciales sobre el deber objeto de análisis, es menester señalar que preliminarmente este Despacho evidenció que el mensaje de correo electrónico del 26 de febrero de 2020 de cobro recibido por la Titular, procedía del correo electrónico cobranzasclaro@correosfinlecobpo.com.

El dominio de este posiblemente indica que no pertenece a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., por lo cual la investigada “(…) transfirió los datos de la Titular a un tercero con el fin de que este realice cobro de cartera. Razón por la que, este tercero al hacer Tratamiento de los datos por cuenta de la investigada es entendido como Encargado del Tratamiento (…)”.

Aunado a lo anterior, preliminarmente se encontró que la información suministrada por la investigada al Encargado del Tratamiento no fue comprobable, veraz y exacta, ya que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. no contaba con la autorización previa, expresa e informada de la Titular. Frente a este cargo, la investigada en descargos10 señaló: “(…) es del caso manifestar, que según la información suministrada por la compañía, la obligación xxxxxxxxx fue enviada a la casa de cobranzas por el área de cartera; para el caso en particular, de manera atenta nos permitimos manifestar que COMCEL S.A. en su deber de fuente y como Responsable del tratamiento de los datos de la señora xxxxxxxxxxxxxxxxx xxxxxxxxxx, cumplió con el deber establecido y realizó las respectivas rectificaciones ante el encargado de las mismas, evitando así que se realicen gestiones de cobranza por obligaciones que no le corresponden a la titular.

En este caso, reiteramos que COMCEL en su calidad de Responsable del tratamiento de los datos personales de la Titular, procedió a rectificar la información en el momento en que la titular advirtió a la compañía que fue víctima del delito de suplantación personal ya que no adquirió las cuentas No. Xxxxxxx, Xxxxxxx y Xxxxxxx. (…) Finalmente, se señala que en el presente caso, la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxx solicitó la rectificación de la base de datos de COMCEL por no ser titular de la cuentas Hogar No. Xxxxxxxx, xxxxxxxx y Xxxxxxxx; de acuerdo a lo anterior, COMCEL en el escrito de explicaciones presentado el día 03 de julio de 2020 manifestó que debido a la reclamación presentada por la titular se había procedido a la exoneración de las obligaciones pendientes de pago y a la eliminación del reporte ante las centrales de riesgos, lo cual había sido comunicado a la usuaria desde el 14 de marzo de 2019”.

Ahora bien, dentro del acervo probatorio se encuentra que la Titular fue contactada en noviembre de 2019 y febrero de 2020 por Encargados del Tratamiento por cartera vencida de la obligación No. xxxxxxxx con la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. Las evidencias de ello, son las siguientes: 10 Obrantes en las comunicaciones con radicados 20-66400-00015, 20-66400-00016 y 20-66400-00017.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ”  En noviembre de 2019, recibiendo la Titular el último mensaje el 28 de noviembre de 2019, por parte del Encargado del Tratamiento COGUASIMALES respecto de la mora registrada en la cuenta No. xxxxxxxxx. Esto de acuerdo con la respuesta dada por la investigada en la comunicación con radicado 20-66400-00021, página 3, en el siguiente sentido: “Con base en la información suministrada por la compañía, el encargado de la gestión efectuada al cliente fue el aliado COGUASIMALES identificado con NIT 9004697045.

(…) De conformidad a lo manifestado por la compañía, al aliado COGUASIMALES se le suministraron los datos de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxx el 5 de noviembre de 2019 y la gestión de cobranza fue efectuada en dicho mes, según consta en la siguiente imagen en la cual igualmente se observan los datos que se le suministraron, a saber: Se evidencia un último mensaje el día 28 de noviembre de 2019”.

(Subrayado fuera de texto)  El 26 de febrero de 2020 la Titular de la información recibió un mensaje de correo electrónico de cobranzasclaro@correosfinlecobpo.com, en el cual le informaron que se encontraba en mora de más de 210 días respecto de la cuenta No. xxxxxxxx, como se visualiza en la siguiente imagen: Imagen 1. Tomada del radicado 20-66400-00000, página 7.

De acuerdo con las anteriores evidencias, de una parte se encuentra que respecto de la respuesta de la investigada en comunicación con radicado 20-66400-00021, página 3, se tiene lo siguiente:  El Encargado del Tratamiento para noviembre de 2018 fue COGUASIMALES respecto de la mora registrada en la cuenta No. xxxxxxxx.  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. suministró al Encargado del Tratamiento la información personal de la Titular para las gestiones de cobranza, el 5 de noviembre de 2019.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ”  COGUASIMALES contactó a la Titular en el mes de noviembre de 2019, en desarrollo de sus actividades de gestión de cobro de la obligación No. xxxxxxxxx. La contactó por última vez el 28 de noviembre de 2019. De otra parte, de acuerdo con la imagen 1 que corresponde al mensaje de correo electrónico del 26 de febrero de 2020, se encuentra que:  El 26 de febrero de 2020 la Titular recibió a su correo electrónico, xxxxxxxxx xxxxxxxxx, un mensaje de cobro de cartera de la cuenta hogar No. xxxxxxxxx procedente de cobranzasclaro@correosfinlecobpo.com.  El mensaje fue remitido por una casa de cobranzas, de acuerdo con lo expuesto por la investigada en descargos 11 así: “(…) es del caso manifestar, que según la información suministrada por la compañía, la obligación xxxxxxxxx fue enviada a la casa de cobranzas por el área de cartera (…)”.

Sin embargo, la investigada no informó dentro de la investigación cuál fue la casa de cobranzas que envió el mensaje del 26 de febrero de 2020. Por su parte, en relación con la cuenta hogar No. xxxxxxxxx, la Titular de la información presentó una serie de peticiones a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. A continuación se relacionan, las peticiones con las correspondientes respuestas de la investigada que están relacionadas con dicha cuenta, a saber:  Petición del 15 de febrero de 2019 presentada en formulario diligenciado en oficina de la investigada: Imagen 2.

Tomada del radicado 20-66400-00006, página 4. Respuesta de la investigada del 7 de marzo de 2019: 11 Obrantes en las comunicaciones con radicados 20-66400-00015, 20-66400-00016 y 20-66400-00017. “Por la cual se impone una sanción y se imparte una orden ” Imagen 3. Tomada del radicado 20-66400-00000, página 6.  Petición telefónica del 8 de marzo de 2019: Imagen 4.

Tomada del radicado 20-66400-00006, página 4. Respuesta de la investigada del 14 de marzo de 2019: HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Imagen 5. Tomada del radicado 20-66400-00006, página 4.  Petición vía telefónica del 8 de marzo de 2019: Imagen 6. Tomada del radicado 20-66400-00006, página 4. Respuesta de la investigada del 12 de marzo de 2019: HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Imagen 7.

Tomada del radicado 20-66400-00006, página 4.  Petición por oficina virtual del 27 de febrero de 2020: Imagen 8. Tomada del radicado 20-66400-00000, página 9. Respuesta de la investigada del 17 de marzo de 2020: Imagen 9. Tomada del radicado 20-66400-00000, página 8. HOJA Nº HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” De acuerdo con las evidencias de las peticiones presentadas por la Titular, así como de las correspondientes respuestas brindadas por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., este Despacho encuentra lo siguiente:  El 15 de febrero de 2019 la Titular a través del diligenciamiento y radicación del FORMATO PARA PRESENTACIÓN DE NEGACIÓN DE LÍNEA O CONTRATO, informó a la investigada que presuntamente fue suplantada en su identidad respecto de las cuentas Nos. xxxxxxxx, xxxxxxxxx y xxxxxxxxx.

Sobre el tema de suplantación en la identidad, es preciso señalar por este Despacho que la denunciante no aportó copia de denuncia presentada ante la Fiscalía General de la Nación, quien es la entidad competente para determinar si se configuró o no el delito de suplantación en la identidad.  El 7 de marzo de 2019 la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. comunicó a la Titular que respecto de las cuentas hogar Nos. xxxxxxxxx y xxxxxxxxx, la compañía procedió a: i) exonerarla de la obligación pendiente de pago, ii) descontar todos los saldos facturados a la fecha (7 de marzo de 2019), iii) suspender cualquier gestión de cobro, iv) desconectar todos los servicios registrados a nombre de la Titular y; v) eliminar el reporte ante los Operadores de la información. La antedicha respuesta del 7 de marzo de 2019 fue reiterada a la Titular por la investigada, en respuesta del 14 de marzo de 2019 al referirse a las cuentas hogar Nos. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx.  El 12 de marzo de 2019 la investigada informó a la Titular que sus datos fueron excluidos para fines publicitarios y comerciales.  El 17 de marzo de 2020, tras petición de la Titular del 27 de febrero de 2020 en la que se refiere a que fue suplantada en su identidad y que el 26 de febrero de 2020 fue contactada por mora en cuenta con CLARO, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. le informó que respecto de la cuenta No. xxxxxxxxx se ha procedido a: (i) exonerarla de la obligación, ii) descontar los saldos facturados, iii) suspender la gestión de cobro, iv) desconectar el servicio y; v) eliminar el reporte ante los Operadores de información. Conforme con lo expuesto hasta aquí, se evidencia que los Encargados del Tratamiento contactaron a la Titular en noviembre de 2019 y en febrero de 2020 para cobrarle la obligación en mora de la cuenta hogar No. xxxxxxxx y, en particular, se encuentra demostrado que para el 5 de noviembre de 2020 la investigada suministró al Encargado del Tratamiento COGUASIMALES información de la Titular que no se encontraba actualizada y tampoco era veraz, exacta y comprobable, por cuanto, de acuerdo con las respuestas de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a las peticiones de la Titular, relacionadas en las anteriores imágenes 3, 5 y 7, desde marzo de 2019 la investigada procedió a: i) exonerar a la Titular de la obligación pendiente de pago, ii) descontar todos los saldos facturados, iii) suspender cualquier gestión de cobro y; iv) eliminar el reporte ante los Operadores de la información. Así las cosas, frente a los mensajes de gestión de cobranza de noviembre de 2019 y del 26 de febrero de 2020 de los Encargados del Tratamiento, este Despacho encuentra que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. les suministró datos de la Titular erróneos, inexactos, no comprobables y desactualizados, ya que desde marzo de 2019 se había exonerado a la Titular de la mora en la deuda y descontado todos los saldos facturados de la cuenta hogar No. xxxxxxxx frente a la manifestación de la Titular bajo la gravedad del juramento en el sentido de que fue suplantada en su identidad.

En conclusión, este Despacho evidencia el actuar negligente de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. en el cumplimiento del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la antedicha Ley, por cuanto no garantizó el suministro de información veraz, exacta, comprobable y actualizada a los Encargados del Tratamiento, por ello se impondrá una sanción pecuniaria de acuerdo con lo previsto en el literal a) del artículo 23 de la Ley 1581 de 2012.

A su turno, conforme con las facultades previstas a esta este Despacho en el literal e) del artículo 21 de la Ley 1581 de 2012, se procederá a impartir una orden administrativa tendiente a evitar que este deber se vuelva desconocer por la investigada. HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” 11.2.3 Seguridad de la información en grabación de la llamada sostenida entre la Titular y agente de la investigada Dentro de una de las grabaciones aportadas por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. se encuentra el contenido de la solicitud de servicios para cuenta hogar y su correspondiente contrato.

Esta grabación corresponde a la de duración de 00:13:5012, en la cual se escucha lo siguiente: “ (…) Titular: necesito unos servicios para mi casa: Agente de ventas: ¿Para el hogar? Titular: Sí, señora. El más económico porfa. Agente de ventas: ¿A qué dirección? Titular: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. Agente de ventas: xxxxxxxxx Titular: xxxxxxxxxx Agente de ventas: xxxxxx (…) Titular: xxxxx.

Agente de ventas: ¿Eso que barrios es? (…) Titular: es, mmm, xxxxxxxxxxxxxxxxxxxxxxxxx. Agente de ventas: eso es xxxxx, ¿no? Titular: sí, señora. Agente de ventas: ¿En qué apartamento? Titular: xxx Agente de ventas: x, xxx. ¿Para cuántos televisores señora xxxxxxx? Titular: pues para uno. Agente de ventas: pero en ese xxx ya hay una orden a nombre del señor xxxxxxxx xxxxxxx.

(Inaudible) Agente de ventas: ¿Usted lo conoce? Titular: no señora. Agente de ventas: ¿no? Titular: no. O sea hay dos apartamentos. Agente de ventas: entonces el suyo es el xxx porque el xxx ya tiene una orden. Entonces hagámosle el xxx. xxx. Listo. 2 televisores. ¿Algún canal en especial, alguna programación en específico? (…) Agente de ventas: efectivamente a su nombre se puede tomar el servicio. 12 Obrantes en el radicado 20-66400-00015, páginas 7 y 11.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” (…) Agente de ventas: bueno señora xxxxxxxx, le voy a leer entonces el contrato. Lo que usted no me entienda solo aclaro con mucho gusto. ¿Listo? Titula: listo. Agente de ventas: señora xxxxxxxxxxxxxx. Vamos a proceder con el guion contrato venta servicios fijos. Realizaremos a continuación unas preguntas de validación para identificar su identidad.

Esto es con el fin de evitar suplantación. ¿Está de acuerdo, sí o no? Titular: sí señora. Agente de ventas: señora xxxxxxx, recuerde que cuando me vaya a confirmar la dirección me dice xxx, listo, porque la xxx ya tiene una orden. ¿Bueno? Titular: sí. ¿La dirección si la miro bien? Agente de ventas: sí. La dirección es xxxxxxxxxxxxxxxxxxx.

(…) Agente de ventas: a continuación le solicitaré unos datos. Indíqueme por favor la dirección de instalación. Titular: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. (…)”. (Resaltado propio) De acuerdo con la anterior transcripción de la grabación, la agente de ventas de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. ante la existencia de una cuenta hogar en el apartamento xxx, unilateralmente señaló que entonces se trata del apartamento xxx y le indicó a la interlocutora que dijera dicho apartamento cuando le realizara las preguntas de seguridad, lo cual podría constituir una conducta que no evite la suplantación en la identidad personal.

Adicionalmente, la agente de ventas expuso a la interlocutora el nombre del Titular del servicio instalado en el apartamento xxx y que el mismo ya contaba con un servicio con la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., dando acceso no autorizado de la información de este Titular a la interlocutora. Por lo anterior, es de resaltar que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. debe mejorar sus protocolos y procedimientos en materia de seguridad en el Tratamiento de la información. Frente a esto si bien en virtud del literal e) del artículo 21 de la Ley 1581 de 2012 este Despacho puede impartir unas órdenes administrativas para evitar el desconocimiento del principio de seguridad del literal g) del artículo 4 de la Ley 1581 de 2012, en la medida en que recientemente esta Dirección impartió a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. unas órdenes administrativas en materia de seguridad de la información mediante la Resolución No. 38512 de 2021, dentro del expediente 20-103460, se considera que no es necesario impartir unas órdenes administrativas adicionales al abarcar estas la intención de prevenir que se generen casos de suplantación de identidad y de garantizar el principio de seguridad en el Tratamiento de los datos personales.

DÉCIMO SEGUNDO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguientes instrucción:  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá adoptar un procedimiento tendiente a garantizar que la información que suministre a los Encargados del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible, acorde con el literal e) del artículo 17 de la Ley 1581 de 2012 y el literal d) del artículo 4 de la misma ley.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” De lo anteriormente ordenado la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO TERCERO: Imposición y graduación de la sanción 13.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 13. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. 13 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y perjuicio, a la participación que éstas tienen en la elaboración del PND. ss., de la Ley 152 de 1994.

Sin HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional14 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros16. 14 “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) 15 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 16 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”17.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia18. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2319 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 17 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 18 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 19Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 13.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”20. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados21.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. suministró información desactualizada, errónea, inexacta y no comprobable al Encargado del Tratamiento, toda vez que el 5 de noviembre de 2019 le suministró información personal de la Titular para la gestión de cobranza de la obligación correspondiente a la cuenta hogar No. xxxxxxxxx cuando desde marzo de 2019 había exonerado a la Titular de la obligación pendiente de pago, descontado todos los saldos facturados e informado a la Titular sobre la suspensión de cualquier gestión de cobro.

Por ello, se impondrá una sanción pecuniaria equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO - UVT22 por la vulneración del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley. 20 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 21 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 22 Mediante Resolución 111 del 11 de diciembre de 2020 se fijó en $36.308 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2021.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” 13.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y: (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO CUARTO: CONCLUSIÓN Se procederá a imponer una sanción e impartir una orden administrativa con fundamento en: (i) Se comprobó que la investigada infringió abiertamente el deber contemplado en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley. (ii) Se evidenció que a través de las grabaciones correspondientes a las llamadas entre la Titular y personal de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. que, al momento de la recolección de los datos personales de la Titular, la investigada solicitó a la Titular su autorización informada para el Tratamiento de sus datos dentro del marco de los contratos de cuentas hogar Nos. xxxxxxxxx, xxxxxxxxx y xxxxxxxxx.

Así mismo, con las grabaciones acreditó que conservó la autorización expresa e informada otorgada por la Titular para el Tratamiento de sus datos. (iii) Se evidenció que respecto de los mensajes de gestión de cobranza de noviembre de 2019 y del 26 de febrero de 2020 de los Encargados del Tratamiento, la investigada les suministró datos de la Titular desactualizados, erróneos, inexactos y no comprobables de la cuenta hogar No. xxxxxxxxx, por cuanto desde marzo de 2019 se había exonerado a la Titular de la obligación pendiente de pago, descontado todos los saldos facturados e informado a la Titular sobre la suspensión de cualquier gestión de cobro.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000), equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del deber contemplado en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7.

DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, esta Dirección ha concedido el acceso al presente expediente digital a esta 23, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, notificacionesclaro@claro.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y 23 El acceso al expediente digital se informó mediante la comunicación con radicado 19-250479-00029 del 7 de julio de 2021.

HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000), equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, que dentro del término de DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a la siguiente instrucción:  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá adoptar un procedimiento tendiente a garantizar que la información que suministre a los Encargados del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible, acorde con el literal e) del artículo 17 de la Ley 1581 de 2012 y el literal d) del artículo 4 de la misma ley.

PARÁGRAFO PRIMERO: La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la entidad sin ánimo de lucro.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, a través de su apoderada especial, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: Comunicar a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xxxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co HOJA Nº “Por la cual se impone una sanción y se imparte una orden ” - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 NOVIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2021.11.30 13:51:52 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Entidad: COMUNICACIÓN CELULAR S.A. COMCEL S.A. Identificación: NIT 800.153.993-7 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxx Dirección: Carrera 68A No. 24B - 10 Ciudad: Bogotá Correo electrónico: notificacionesclaro@claro.com.co Apoderada especial: xxxxxxxxxxxxxxxxxxxxx xxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxx Dirección: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Ciudad: xxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxx COMUNICACIÓN: Señora: xxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxx