(7 de abril 2025) “Por la cual se resuelve un recurso de apelación” Radicado 21-212498 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022)
CONSIDERANDO
PRIMERO. Que, el señor xxxx xxxxxx xxxxxxx xxxxxxxx, mediante oficio radicado con el número 21-212498-0 del 25 de mayo de 2021, presentó ante esta Superintendencia una denuncia en contra de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con Nit. 800.153.993-7, por la presunta vulneración de su derecho de hábeas data al consultar su historial crediticio ante los operadores de información sin su consentimiento y sin contar con un interés legítimo en la adquisición de productos o servicios.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la resolución No. 78087 del 30 de noviembre de 2021, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en el numeral 1, del artículo 9, de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.
TERCERO. Que la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que pese a que el denunciante no consintió la propuesta comercial realizada por el asesor de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. este procedió con la consulta a su historia de crédito. Por lo anterior, mediante resolución 21208 del 29 de abril de 2024 se resolvió lo siguiente: “ARTÍCULO 1.
IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, de SETECIENTOS NOVENTA (790) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NOVENTA Y UN MIL SEISCIENTAS CUARENTA (91.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a MIL TRES MILLONES QUINIENTOS CUARENTA Y NUEVE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($1.003.549.640) por la transgresión al deber dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.
(…)
ARTÍCULO 2. ORDENAR a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, cumplir con las siguientes instrucciones: - Desarrollar, implementar y monitorear un procedimiento que le permita conservar copia de los documentos y/o soportes que acrediten la intención “Por la cual se resuelve un recurso de apelación” de los titulares de establecer un vínculo contractual y/o comercial con ella o por intermedio de ella.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 10 de julio de 2024, COMUNICACIÓN CELULAR S.A. COMCEL S.A. (en adelante la RECURRENTE), a través de su apoderada y mediante escrito radicado con el número 21-212498-34, interpuso recurso de reposición y, en subsidio, de apelación1 en contra de la decisión contenida en la Resolución No. 21208 del 29 de abril de 2024.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Respecto de la tipificación de la sanción. La recurrente sostiene que la sanción impuesta no corresponde al cargo formulado. Señala que la imputación se basó en el presunto incumplimiento del deber de reserva de la información, previsto en el artículo 9, numeral 1, de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma ley.
No obstante, la sanción se fundamentó en la consulta de información del titular ante los operadores de bancos sin su autorización, lo que constituye un hecho distinto al señalado en la imputación. Afirma que esta falta de tipificación adecuada vulnera los principios de legalidad y tipicidad, afectando su derecho de defensa. En consecuencia, la sanción carece de legitimidad y no debe prosperar.
(ii) Sobre la consulta, su finalidad y la autorización previa. La recurrente señala que la consulta al historial crediticio del titular, realizada el 25 de mayo de 2021, se llevó a cabo con la finalidad legítima de calcular y analizar el riesgo crediticio y en cumplimiento de la autorización otorgada por el titular al suscribir el contrato de prestación de servicios con COMCEL el 28 de febrero de 2015.
Dicha autorización facultaba a la compañía para consultar, reportar y actualizar su información crediticia y financiera. Asimismo, precisó que, aunque la línea celular fue desactivada el 22 de marzo de 2017 por solicitud de portabilidad del usuario, la compañía mantenía la autorización, dado que el titular no la había revocado y, además, porque existía un deber legal de conservar sus datos en las bases de datos, conforme a lo dispuesto en el artículo 28 de la Ley 962 de 2005.
Finalmente, destaca que fue una única consulta y que no generó afectación en el score o puntaje del titular. (iii) Respecto de las reincidencias. La recurrente sostiene que la imposición de la sanción con base en reincidencias no resulta razonable ni proporcional, pues la autoridad administrativa incluyó siete antecedentes desde 2013 sin precisar los hechos generadores de la conducta infractora.
Esto desconoce que la reincidencia, como criterio de graduación de sanciones conforme al artículo 19 de la Ley 1266 de 2008, debe aplicarse dentro de los límites del debido proceso y el respeto por las normas legales. Además, afirma que varios de los casos considerados como reincidencias han prescrito conforme al artículo 52 del CPCA o fueron revocados, lo que impide su uso para agravar la sanción. En particular, se destaca que la sanción impuesta en el radicado 16-267575 fue revocada en su totalidad mediante la Resolución No. 5560 de 2019, por lo que no puede ser utilizada como antecedente.
Asimismo, la sanción en el radicado 14-029637 se originó en hechos de 2014 y la empresa cumplió con las órdenes de la autoridad, por lo que tampoco debería considerarse reincidencia. En el caso del radicado 20-332939, las consultas de historial crediticio fueron realizadas con la autorización del titular y la empresa implementó mejoras en sus procesos para evitar consultas reiteradas.
Por último, en el radicado 18-125029, la sanción impuesta fue modificada y reducida en un 50%, lo que evidencia que no era un antecedente de gravedad para justificar un aumento sancionatorio. La Resolución No. 21208 del 29 de abril de 2024, fue notificada por aviso a la RECURRENTE, el 10 de mayo de 2024. “Por la cual se resuelve un recurso de apelación” Por lo anterior, la graduación de la sanción en la Resolución No. 21208 de 2024 no puede fundamentarse en antecedentes que han prescrito, han sido revocados o han sido mitigados mediante mejoras implementadas por la empresa.
En consecuencia, se solicita que se excluyan estos casos como reincidencias y se ajuste la sanción a criterios proporcionados y ajustados a la legalidad vigente. (iv) frente a la proporcionalidad de la sanción. La recurrente señala que la sanción impuesta por la Superintendencia no cumple con el principio de proporcionalidad. Argumenta que la consulta al historial crediticio del titular el 25 de mayo de 2021 se realizó con un propósito legítimo y con el debido consentimiento, como parte del análisis de riesgo crediticio para una relación contractual, sin que ello constituyera una vulneración del derecho a la protección de datos.
La multa inicial de $501.774.820, aumentada por reincidencias hasta un total de $1.003.549.640, no guarda relación con la supuesta infracción y debe ser reconsiderada. Además, se destaca que la Corte Constitucional ha enfatizado en reiteradas ocasiones que las sanciones administrativas deben ser razonables y proporcionales, evitando excesos o arbitrariedades por parte de la autoridad administrativa.
La entidad debe motivar adecuadamente su decisión, indicando las circunstancias específicas que justifican la graduación de la multa, lo que no ocurrió en este caso. Solicita, en consecuencia, que si no se revoca la sanción, al menos se reevalúe con base en estos principios, reduciendo su cuantía para ajustarla a los criterios de razonabilidad y proporcionalidad.
Por último, en relación con la orden impartida en el artículo 2 de la resolución sancionatoria, se resalta que COMCEL ha implementado mejoras en sus procesos de venta digital y conservación de soportes que acreditan la intención de los titulares de establecer vínculos contractuales. En conclusión, COMCEL ha cumplido con la Ley, ya que la consulta efectuada contaba con el consentimiento del titular y no configuraba una infracción.
QUINTO. La Dirección, mediante la resolución No. 82367 del 30 de diciembre de 2024, resolvió el recurso de reposición interpuesto, confirmando en su totalidad lo dispuesto en la Resolución No. 21208 del 29 de abril de 2024. En la decisión adoptada, se concluyó que se acreditó que, a pesar de que el titular de los datos personales no consintió la propuesta comercial realizada por el asesor de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., se consultó su historial de crédito sin justificación válida.
Asimismo, se determinó que el contrato aportado, suscrito por el titular, no acreditaba el consentimiento del titular para la consulta de su historial de crédito pues correspondía a una obligación que no estaba vigente y que contenía un apartado denominado “autorización de informaciones”, cuya redacción no era clara para los titulares de los datos.
En este apartado se mezclaban, de manera indistinta, disposiciones de la Ley 1266 de 2008 y la Ley 1581 de 2012, lo que generaba confusión sobre su alcance y efectos. Dado que el titular no manifestó intención alguna de adquirir productos o servicios con la sociedad, no existía una finalidad legítima que justificara la consulta de su historial crediticio.
SEXTO Que, de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 6.1. Competencia de la Delegatura para la Protección de Datos Personales para resolver el recurso de apelación. De conformidad con lo dispuesto en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6, del Decreto 92 de 2022), este Despacho es competente para pronunciarse sobre el recurso de apelación. “Por la cual se resuelve un recurso de apelación” 6.2.
Del Recurso de Apelación: 6.2.1. Respecto de la tipificación de la sanción. El principio de tipicidad en el derecho administrativo sancionador exige que concurran tres elementos esenciales: (i) que la conducta sancionable esté descrita de manera específica y precisa en la norma o sea determinable a partir de otras disposiciones jurídicas;
(ii) que exista una sanción definida en la ley; y (iii) que haya una correlación entre la conducta y la sanción impuesta2. En el presente caso, la formulación del cargo cumple con estos requisitos, pues se identificó con claridad la conducta infractora, se precisó el deber presuntamente incumplido y se fundamentó en disposiciones normativas concretas.
En particular, se estableció que la conducta sancionada corresponde a la vulneración del deber de utilizar la información únicamente para los fines autorizados, conforme al numeral 1 del artículo 9 de la Ley 1266 de 2008. Dicho numeral establece expresamente la obligación de los usuarios de la información de: "Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley." De este precepto se desprenden dos deberes fundamentales: (i) el deber de reserva y (ii) la obligación de utilizar la información solo para los fines autorizados.
En el caso concreto, se reprocha el incumplimiento de este último, al haberse acreditado que la sociedad consultó el historial crediticio del titular sin una finalidad legítima y sin la debida autorización. La Corte Constitucional, en la sentencia C-1011 de 2008, reconoció que los artículos 7, 8 y 9 de la Ley 1266 de 2008 establecen conductas descritas de manera específica y precisa, bien porque están determinadas en el mismo cuerpo normativo o porque son determinables mediante la aplicación de otras normas jurídicas.
En este sentido, el listado de obligaciones y deberes asignados a los operadores, las fuentes y los usuarios de la información otorga un marco normativo suficientemente definido para la identificación de infracciones. Adicionalmente, el cargo se formuló en concordancia con el artículo 15 de la misma ley, el cual delimita los fines específicos para los cuales los usuarios pueden acceder a la información contenida en las bases de datos de los operadores.
Estos fines incluyen: • • • • El análisis para establecer y mantener relaciones contractuales. El análisis para la realización de estudios de mercado, investigaciones comerciales o estadísticas. El adelantamiento de trámites ante entidades públicas o privadas cuando la información resulte pertinente. Cualquier otra finalidad, siempre que se cuente con la autorización expresa del titular.
La Corte, en la misma sentencia, enfatizó que el acceso a los datos personales debe respetar los principios de administración de datos personales, en especial el de circulación restringida. Cualquier consulta que no esté vinculada con los fines de la base de datos constituye una infracción sancionable. Asimismo, subrayó que la autorización del titular debe ser previa, libre, específica y suficiente, y que no se admite un consentimiento genérico que permita consultas indiscriminadas.
Por lo tanto, en este caso se cumple plenamente con el principio de tipicidad, ya que: sentencia C-1011 de 2008 “Por la cual se resuelve un recurso de apelación” 1. La conducta infractora está descrita de manera precisa en el artículo 9 de la Ley 1266 de 2008 en concordancia con lo dispuesto en el artículo 15 de la misma norma. 2. La sanción aplicable está prevista en la ley, en la formulación de cargos se indicaron las posibles sanciones previstas en la Ley definidas en el artículo 18 de la Ley 1266 de 2008. 3.
Existe una correlación clara entre la conducta y la sanción, pues la sociedad, en calidad de usuario de la información, consultó el historial crediticio del titular sin una finalidad legítima ni la debida autorización, contrariando el marco normativo aplicable. En consecuencia, la sanción impuesta se ajusta plenamente a los principios del derecho administrativo sancionador, y la formulación del cargo cumple con los parámetros exigidos para garantizar el debido proceso. 6.2.2.
Sobre la autorización previa y la consulta realizada. El cargo formulado en este caso se fundamenta en la transgresión del deber de utilizar la información únicamente para los fines autorizados, conforme a lo establecido en la Ley 1266 de 2008. Este cargo se formuló en concordancia con el artículo 15 de la misma ley, el cual dispone que el acceso a la información contenida en bases de datos financieras, crediticias y comerciales solo puede realizarse con fines específicos, tales como: • • • • El análisis para establecer y mantener relaciones contractuales.
El análisis para la realización de estudios de mercado, investigaciones comerciales o estadísticas. El adelantamiento de trámites ante entidades públicas o privadas cuando la información resulte pertinente. Cualquier otra finalidad, siempre que se cuente con la autorización expresa del titular. En consecuencia, la consulta efectuada el 25 de mayo de 2021 por parte de la sociedad recurrente debió haberse realizado (i) bajo una finalidad legitima (art. 15 Ley 1266 de 2008) o (ii) contando con la autorización expresa del titular.
(i) En cuanto a la finalidad legítima, si bien la recurrente sostiene que la consulta se realizó como parte del análisis y evaluación del riesgo crediticio para establecer una relación contractual, los hechos evidencian lo contrario. El titular recibió una llamada de la sociedad en la que le ofrecieron cambiarse a su operador de telefonía, pero en ningún momento manifestó su aceptación, limitándose a indicar que debía consultarlo antes de tomar una decisión. No obstante, inmediatamente después de finalizar la llamada, recibió una alerta notificándole la consulta en su historial crediticio.
De la prueba recaudada en este expediente se infiere con claridad que el titular no tenía la intención de establecer una relación contractual con la ahora recurrente, ni que haya expresado su consentimiento para tales fines. Esto es concordante con un hecho irrefutable: que, el titular, al percatarse de la consulta no autorizada, interpuso una denuncia ante esta autoridad de manera inmediata.
En consecuencia, no puede considerarse que la consulta al historial crediticio del titular respondiera a una finalidad legítima, pues no existía una solicitud expresa o indicios claros de interés por parte del titular en la celebración de un contrato que justificara dicha acción. (ii) En cuanto a la autorización previa del titular para la consulta de su información reportada ante los operadores de información, si bien la sociedad sostiene que contaba con su consentimiento en virtud del contrato de prestación de servicios suscrito el 28 de febrero de 2015, lo cierto es que dicha relación contractual finalizó el 22 de marzo de “Por la cual se resuelve un recurso de apelación” 2017, cuando la línea celular fue desactivada por solicitud de portabilidad del usuario.
Además, la cláusula invocada por la sociedad para justificar la autorización establece expresamente que la autorización otorgada es irrevocable “mientras existan relaciones contractuales entre las partes”. Como se evidencia en el siguiente extracto del contrato suscrito por el titular: Por lo anterior, dado que la relación contractual terminó en 2017, la sociedad no podía seguir amparándose en dicha autorización para consultar la información crediticia del titular en 2021, en un contexto totalmente nuevo que poco o nada tenía que ver con aquella concluida relación contractual.
En consecuencia, la consulta efectuada carecía de una base legítima que la sustentara, vulnerando así el principio de legalidad en el tratamiento de datos personales. Finalmente, se debe aclarar que la sociedad no puede minimizar su actuación argumentando que se trató de una única consulta y que esta no afectó el puntaje crediticio del titular.
En primer lugar, incurrió en un incumplimiento normativo al realizar la consulta sin una finalidad legítima y sin contar con el consentimiento previo, expreso e informado del titular, lo que constituye una vulneración al principio de legalidad en el tratamiento de datos personales y al deber establecido en el numeral 1, del artículo 9, de la Ley 1266 de 2008, en concordancia con el artículo 15, de la misma Ley.
En segundo lugar, aunque la consulta no reduzca directamente el puntaje crediticio o “score”, sí deja una huella en el historial del titular por un período de seis meses, según los términos del artículo 1, del Decreto 1727 de 2009. Esta marca, lejos de ser inofensiva, puede generar una percepción errónea ante terceros que accedan a la información, induciendo a interpretaciones equivocadas sobre la situación financiera del titular y afectando potencialmente su acceso a futuros productos crediticios.
Por último, la sociedad no es un actor aislado, sino que maneja información crediticia de un gran número de titulares, lo que le impone un mayor grado de responsabilidad y diligencia en el tratamiento de estos datos. Su obligación no se limita a evitar afectaciones directas, sino a garantizar que todas sus actuaciones sean estrictamente ajustadas a la normativa vigente, protegiendo la confianza y la integridad del ecosistema financiero y los derechos fundamentales de las personas contactadas. 6.2.3.
Respecto de las reincidencias. La aplicación del criterio de reincidencia en la comisión de la infracción para graduar el monto de la sanción se fundamenta en el artículo 19 de la Ley 1266 de 2008, el cual establece que la autoridad debe considerar ciertos factores en la determinación del monto de la sanción, en la medida en que resulten aplicables.
En este caso, la Dirección aplicó correctamente los criterios del literal a), al considerar que se demostró el daño al derecho fundamental del titular “Por la cual se resuelve un recurso de apelación” denunciante y la puesta en peligro del interés jurídico tutelado respecto de personas indeterminadas cuyos datos pueden ser consultados por la recurrente.
Asimismo, aplicó el criterio del literal c) al constatar la reincidencia en la comisión de la infracción. Este es un factor determinante en la graduación de la sanción, pues refleja la reiteración de una conducta infractora pese a sanciones previas, evidenciando el incumplimiento de las obligaciones establecidas en el marco normativo de protección de datos personales.
En este caso, la Dirección identificó que la sociedad recurrente había incurrido en la misma infracción en siete ocasiones, habiendo sido sancionada previamente por consultar el historial crediticio de los titulares sin contar con una finalidad legítima ni con la debida autorización previa. Dado que el objetivo de la potestad sancionatoria es garantizar el respeto y cumplimiento de las normas de protección de datos personales, la reincidencia agrava la responsabilidad del infractor y justifica la imposición de una sanción más severa.
En consecuencia, la Dirección actuó en estricto cumplimiento de la ley al considerar este factor dentro de su análisis, asegurando que la sanción impuesta responda a la gravedad de la conducta reiterada y desincentive futuras infracciones. En relación con la reincidencia, se evidencia que la Dirección aplicó el agravante con fundamento en las siguientes sanciones impuestas a la sociedad: No. Radicado 1 12-220358 2 14-029367 3 14-044473 4 16-267575 5 18-125029 6 19-257065 7 20-332939 Resolución 14314 del 22 de marzo de 2013 93278 del 30 de noviembre de 2015 24113 del 29 de abril de 2016 87619 del 30 de noviembre de 2018 23968 del 27 de junio de 2019 74340 del 24 de octubre de 2022 20114 del 20 de abril de 2023 Sanción 20 SMLMV 1.000 SMLMV 100 SMLMV 80 SMLMV 260 SMLMV 9.509 UVT 1.000 UVT Fundamento Motivo Numeral 1 del artículo 9 de la Ley 1266 de 2008 Numeral 1 del artículo 9 de la Ley 1266 de 2008 y artículo 15 Numeral 1 del artículo 9 de la Ley 1266 de 2008 y artículo 15 Numeral 1 del artículo 9 de la Ley 1266 de 2008 y artículo 15 Numeral 1 del artículo 9 de la Ley 1266 de 2008 y artículo 15 Numeral 1 del artículo 9, artículo 15 y literal b) del artículo 4 de la Ley 1266 de 2008 Numeral 1 del artículo 9 y artículo 15 de la Ley 1266 de 2008 No acreditó la finalidad de la consulta al historial crediticio Consulta con finalidad diferente y sin autorización del titular Consulta sin finalidad legítima Consulta con finalidad diferente a las establecidas en la ley Consulta con finalidad diferente y sin autorización del titular No acreditó que la consulta estuviera cobijada por la ley Consulta ilegítima al historial crediticio del titular Por su parte, la sociedad recurrente argumenta que la aplicación del agravante por reincidencia no es procedente a partir del examen de cuatro de estos casos, señalando lo siguiente: • Radicado 16-267575: La sanción fue revocada en su totalidad, por lo que no debería ser considerada como antecedente de reincidencia. • Radicado 14-029367: Se impartió una orden que fue cumplida en su totalidad por la sociedad, razón por la cual no debería ser tomada en cuenta como reincidencia. • Radicado 20-332939: Aunque la sociedad contaba con la autorización para la consulta, al realizar consultas simultáneas, solo la primera tenía una finalidad legítima y estaba amparada por la autorización del titular.
Además, posterior a este caso, la sociedad implementó medidas para evitar consultas simultáneas en un corto período de tiempo, lo que demostraría su intención de corregir la conducta. • Radicado 18-125029: La sanción fue reducida en un 50% debido a la aceptación de la infracción por parte de la sociedad, lo que, a su juicio, debería ser considerado al evaluar la reincidencia. “Por la cual se resuelve un recurso de apelación” Respecto de los argumentos expuestos por la sociedad recurrente sobre la improcedencia del agravante por reincidencia, se precisa lo siguiente: El único de los casos que soporta el argumento de la recurrente es el relativo al Radicado 16-267575, toda vez que la sanción fue revocada en su totalidad.
En consecuencia, al no existir una decisión sancionatoria en firme, esta no puede ser tomada en cuenta como antecedente para efectos de reincidencia, dado que dicho agravante requiere la existencia de una decisión en firme por la misma infracción. No obstante, los demás casos en los que la recurrente soporta su argumento no son pertinentes, y por tanto no permiten desestimar la causal de agravación por reincidencia. Veamos uno a uno: • Radicado 14-029367: Si bien la sociedad cumplió con la orden impartida, ello no impidió que posteriormente reincidiera en la misma conducta vulneratoria.
La reincidencia no se evalúa con base en el cumplimiento de las órdenes impuestas, sino en la reiteración de la infracción, lo que en este caso efectivamente ocurrió. • Radicado 20-332939: El hecho de que la sociedad haya implementado medidas correctivas con posterioridad a la infracción no desvirtúa la configuración de la reincidencia. La reincidencia se configura por la reiteración de la conducta, sin que resulte relevante si, con posterioridad a la sanción, se adoptaron acciones para evitar futuras infracciones. • Radicado 18-125029: La reducción de la sanción en un 50% como consecuencia de la aceptación de la infracción no elimina la existencia de la conducta sancionada ni impide que esta sea tenida en cuenta para efectos de reincidencia. Además, la prescripción alegada por la recurrente se refiere a la caducidad de la facultad sancionatoria y no a la evaluación de antecedentes para la configuración de la reincidencia, por lo que este argumento también es impertinente.
En conclusión, salvo lo indicado respecto del radicado 16-267575, las demás decisiones que fueron invocadas por la Dirección de Investigaciones para fundamentar el agravante de la reincidencia, en los términos del literal c, del artículo 19 de la Ley 1266 de 2018, cumplen con los requisitos para ser tenidas en cuenta como antecedentes de reincidencia, razón por la cual el agravante aplicado por la Dirección resulta procedente.
Se aclara que, si bien esta Delegatura considera que la decisión sancionatoria del radicado 16-267575 no debió ser tenida en cuenta para efectos de reincidencia, ello no impacta el monto de la sanción impuesta. La Dirección de Investigaciones aplicó el agravante por reincidencia con base en “múltiples” decisiones previas, todas en firme para la fecha de la sanción y derivadas de la misma conducta infractora.
Por tanto, la exclusión de una decisión sancionatoria de las siete invocadas, no elimina el patrón de reincidencia evidenciado en este caso, por lo que la graduación de la sanción se mantiene incólume. 6.2.4. Frente a la proporcionalidad de la sanción. El artículo 18 de la Ley 1266 de 2008 establece: “ARTÍCULO 18. Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones “Por la cual se resuelve un recurso de apelación” impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó.” Asimismo, en la sentencia C-1011 del 16 de octubre de 2008, la Honorable Corte Constitucional puntualizó: “Los preceptos que concurren a estructurar, de manera precisa y determinada, la norma de conducta del tipo administrativo, contienen prescripciones categóricas a cargo de los operadores del sistema, orientadas a salvaguardar los diversos ámbitos que integra el derecho fundamental del hábeas data (efectividad de las facultades de conocimiento, actualización y rectificación) de las prácticas indebidas por parte de quienes detentan el poder informático.
La violación a esas prescripciones explícitamente definidas en la ley, es lo que integra el supuesto de hecho de la sanción de multa contemplada en el párrafo segundo del artículo 18. De tal manera que en lo que concierne a la hipótesis “violación de la ley” de hábeas data, como supuesto de hecho para la imposición de la sanción de multa, la conducta que da lugar a la imputación de responsabilidad administrativa es perfectamente determinable a partir de la integración de la expresión mencionada del párrafo segundo del artículo 18, con el contenido deontológico de los artículos 7, 8 y 9 de la misma norma estatutaria”.
Por lo expuesto, es claro que es suficiente establecer el desconocimiento de cualquiera de las disposiciones contempladas en la Ley 1266 de 2008 para que la administración pueda ejercer sus potestades de vigilancia y control. Y podrá ejercer su potestad sancionatoria cuando se advierta el incumplimiento de uno de los deberes a los que están sujetos las fuentes, operadores y usuarios de la información. La facultad sancionatoria no solo está sujeta a los principios de legalidad y tipicidad, sino también al principio de proporcionalidad.
Este principio exige que la sanción impuesta guarde una relación adecuada con la gravedad de la infracción, dentro de un marco normativo que permita su determinación en cada caso concreto. Sobre el principio de proporcionalidad en materia sancionatoria, la Corte Constitucional, en sentencia C-125 de 2003 señaló lo siguiente: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” En este sentido, es importante precisar que la potestad sancionatoria debe ser ejercida de manera razonable y equilibrada, garantizando la adecuada correspondencia entre la sanción, y el deber incumplido y la finalidad establecida por la normativa infringida, así como la proporcionalidad entre la gravedad de la infracción y la sanción impuesta.
De igual manera, se debe resaltar que el legislador ha establecido que respecto de la Ley 1266 de 2008, la Superintendencia de Industria y Comercio puede imponer sanciones cuando se identifican incumplimientos normativos que incrementan el riesgo de vulneración de los derechos de los titulares de datos personales. Esto incluye, entre otros aspectos, el incumplimiento de los deberes establecidos en la Ley.
En consecuencia, el ejercicio de la potestad sancionatoria de la Superintendencia no depende de la materialización de un daño o perjuicio directo a uno o varios titulares de datos personales plenamente identificados, sino del hecho de desconocer alguna de las obligaciones establecidas en el marco normativo de protección de datos. Esto se fundamenta en el enfoque preventivo y de gestión de riesgos que caracteriza al régimen colombiano de protección de datos personales, el cual busca minimizar la probabilidad de “Por la cual se resuelve un recurso de apelación” conductas, situaciones o incidentes que afecten los derechos fundamentales de los titulares.
Por lo tanto, la administración puede ejercer su potestad sancionatoria siempre que, en el marco de la actuación administrativa correspondiente, se determine que ha existido una trasgresión de las disposiciones que protegen la dimensión objetiva del derecho fundamental al habeas data. Este enfoque resulta particularmente relevante en relación con las obligaciones que recaen sobre las fuentes, operadores y usuarios de la información, quienes deben garantizar, en todo momento, el cumplimiento de sus deberes legales.
En el caso bajo estudio, se ha establecido que la sociedad recurrente incurrió en una vulneración del derecho fundamental de habeas data, al consultar el historial crediticio del titular sin mediar una finalidad legítima o su autorización expresa. Adicionalmente, con su actuar, la sociedad puso en riesgo el derecho fundamental de habeas data de los titulares cuyos datos personales obran en las bases de datos de los operadores y son susceptibles de consulta por parte de la recurrente.
Es fundamental precisar que las sanciones administrativas no constituyen una cuantificación de perjuicios materiales o morales, es decir, no buscan estimar un daño subjetivo. En su lugar, las sanciones impuestas por esta Superintendencia tienen como finalidad garantizar el cumplimiento del régimen legal vigente, proteger el derecho fundamental de habeas data y disuadir la realización de conductas infractoras, en especial, cuando se trata de reincidencias.
En el presente caso, el monto de la sanción fue calculado tomando en cuenta los criterios legales de graduación de la sanción, evaluando el deber incumplido, la duración de la vulneración, los titulares afectados o potencialmente afectados y la situación económica de la empresa, al considerar su tamaño, ingresos operacionales, patrimonio, entre otros.
El monto de la sanción inicial fue de $501.774.820 pesos y se incrementó en un 50% debido a las múltiples reincidencias en la comisión de la conducta infractora. Con base en estos elementos, se concluye que la sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando su efecto disuasorio y la protección efectiva del derecho fundamental de habeas data.
El ejercicio de la potestad sancionatoria no está orientado exclusivamente a reprobar la conducta individual, persigue sobre todo un efecto disuasorio que evite la repetición de la infracción. En este sentido, la sanción no solo es proporcional a la gravedad de la falta frente a un quejoso, sino frente al riesgo de afectación de cientos de miles de personas.
Responde en últimas a la necesidad de garantizar el cumplimiento efectivo de la ley y la protección de los derechos de los titulares de datos personales, razón última y justificación de las funciones de inspección, vigilancia y control de esta Delegatura. Asimismo, es importante resaltar que la sanción impuesta se ajusta a los límites establecidos en el artículo 18 de la ley 1266 de 2008, ya que se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes.
En efecto, la sanción equivale al 38,5% del umbral máximo permitido. Por este respecto, cumple también con los parámetros legales. Finalmente, esta Delegatura estima que la sanción impugnada guarda proporcionalidad con la situación económica de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. En conclusión, la sanción impuesta es legal, proporcional y fue debidamente motivada.
La reiteración de la conducta infractora justificó la aplicación del agravante por reincidencia, y el monto de la sanción responde a la necesidad de generar un efecto disuasorio. Por último. Respecto a la solicitud de revocatoria de la orden impartida en el artículo 2 de la resolución sancionatoria, se aclara que la información aportada por la recurrente en su recurso no es suficiente para verificar el cumplimiento “Por la cual se resuelve un recurso de apelación” efectivo de lo ordenado.
En todo caso, dicho cumplimiento deberá ser verificado en el tiempo y modo establecidos en el acto administrativo, sin que ello desvirtúe ni la sanción impuesta ni la obligación de la sociedad de ajustar sus procedimientos a la normativa vigente. Por tanto, no hay lugar a la revocatoria de la orden impartida.
SÉPTIMO. Conclusiones. • En el presente caso está plenamente demostrado el incumplimiento del deber establecido en el numeral 1, del artículo 9, de la Ley 1266 de 2008 en concordancia con el artículo 15 de la misma Ley. En efecto, la consulta efectuada por la sociedad recurrente carecía de una base legítima que la sustentara, puesto que no mediaba una finalidad legitima ni la autorización del titular. • La formulación del cargo cumple con los parámetros exigidos para garantizar el debido proceso.
La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del denunciante y en particular de los mandatos legales señalados. • La multa impuesta a COMUNICACIÓN CELULAR S.A. COMCEL S.A. ($1´003.549.640), corresponde al 38,5% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 18 de la Ley 1266 de 2008). • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso.
Así como del incumplimiento de los deberes impuestos por la Ley 1266 de 2008 a las fuentes, operadores y usuarios de la información. • La vulneración del derecho de habeas data no solo afecta a los titulares cuyos datos personales son directamente vulnerados, sino que también pone en riesgo el derecho al habeas data de titulares indeterminados. • Si bien se aceptó que la decisión sancionatoria del radicado 16-267575 no debía ser considerada para efectos de reincidencia, ello no impacta el monto de la sanción impuesta.
La Dirección aplicó el agravante por reincidencia con base en “múltiples” decisiones previas, todas en firme para la fecha de la sanción y derivadas de la misma conducta infractora. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando su efecto disuasorio y la protección efectiva del derecho fundamental de habeas data.
Cuyo objetivo no es solo sancionar la conducta individual, sino también generar un efecto disuasorio que evite la repetición de la infracción. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la resolución 21208 del 29 de abril de 2024.
En mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 21208 del 29 de abril de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo. “Por la cual se resuelve un recurso de apelación”
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7 a través de su representante legal y apoderada, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión al señor xxxx xxxxxx xxxxxxx xxxxxxxx identificado con cédula de ciudadanía No. Xxxxxxxxxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones, y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 7 de abril 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.04.07 16:39:01 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AVJ Revisó: JCU Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: COMUNICACIÓN CELULAR S.A. COMCEL S.A. Nit. 800.153.993-7 Rodrigo De Gusmao Ribeiro C.E. No. 302.784 Carrera 68A No. 24B-10 Bogotá D.C. notificacionesclaro@claro.com.co Apoderada: Identificación: Dirección: Ciudad: Correo electrónico: Patricia Eugenia Oliveros Laverde C.C. No. 41.581.346 Calle 72A Bis No. 1B – 85 Este (302) Bogotá D.C. oliverpa@gmail.com COMUNICACIÓN Señor: Identificación: Dirección: Ciudad: Correo electrónico: xxxx xxxxxx xxxxxxx xxxxxxxx xx xx xxxxxxxxxx xx xx xx xx xxxxxx xxx xxxx xxx xxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxx