Resolución sancionatoria N° 5050 de 2023

(31 MAYO 2023) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Radicación 21-90231 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que mediante Resolución No. 58200 del 22 de septiembre de 2020, expedida por el Grupo de Trabajo de Hábeas Data de la Dirección de Investigación de Protección de Datos Personales se ordenó: “ARTÍCULO SEGUNDO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio”.

SEGUNDO: Que, el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con cédula de ciudadanía No. xx.xxx.xxx, presentó denuncia ante la Superintendencia Financiera de Colombia la cual fue trasladada a esta Entidad bajo radicado 19-295086 del 18 de diciembre de 2019. Esta reclamación se dirige en contra de la sociedad FINSOCIAL S.A.S., identificada con NIT 900.516.574-6, por las presuntas infracciones al Régimen General de Protección de Datos Personales que se causaron en virtud de los hechos narrados por el Titular: “1.

Soy Docente del magisterio, 2. NUNCA he tenido ninguna relación Fisnocial (sic), 3. NUNCA he dado autorización alguna finscoial (sic), 4. El día de hoy de manera inexplicable e ilegal me llega un mensaje de finsocial asegurando que tengo un crédito preaprobado de algo que NUNCA HE SOLICITADO NI DESEO SOLICITAR CON ESA ENTIDAD. 5. Dejo expresamente por escrito que NUNCA he solicitado ningún credito (sic) con FINSOCIAL que NUNCA solicitare ningún (sic) crédito con finsocial y que esa entidad NUNCA tendrá mi autprización (sic) para tener mis datos y hacer cualquier uso de ellos.

(…) 1. Que Finsocial anexe copia del documento que deberían tener firmada por mi (sic) para contar y hacer uso de mis datos personales y enviar mensajes a mi línea telefónica ( ), 2. Que finsocial me de (sic) una explicación clara de donse (sic) saco mis datos personales de donde sabe que soy docente y porque usa infromación a la cual NO tiene ningún derecho a acceder ni utilizar lo cual es un acto ilegal ( ), 3.

Que finsocial NUNCA mas (sic) me contacte de ninguna manera (solo podrán (sic) hacerlo para responder la peticion (sic) presentada) ni tramite NINGUN credito a mi nombre porque NUNCA solicitara ningún servicio con esa entidad que esta (sic) actuando de manera ilegal y abusiva y me deje copia y constancia de ese actaur (sic)”.

TERCERO: Que, dentro de las averiguaciones preliminares obra lo siguiente: 3.1 Mediante oficio con radicado No. 19-295086-00002 del 7 de febrero de 2020 se requirió a la sociedad FINSOCIAL S.A.S. con el fin de que informara lo siguiente: “( ) 1. Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” 2. En caso de contar con la respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3. Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable.

En caso de ser en calidad de Encargado favor indicar el nombre e identificación del Responsable del tratamiento de la información. 4. Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 5. Informar las políticas internas de seguridad bajo las cuales conservan la información del Titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 6.

En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular”. 3.2 Comunicación con radicado No. 19-295086-00004 del 27 de febrero de 2020, mediante la cual la sociedad FINSOCIAL S.A.S. informó lo siguiente: “( )

2. RELACIÓN DEL ACCIONANTE CON FINSOCIAL S.A.S. El señor xxxxxxxxxxxxxxxxxxxxxxxxxxx identificado con cédula de ciudadanía No. xx.xxx.xxxx. actualmente (sic) no tiene obligación crediticia vigente con FINSOCIAL, por lo tanto no guarda relación alguna con FINSOCIAL.

3. RESPECTO DE LOS HECHOS DE LA QUEJA ME PRONUNCIO COMO SIGUE: 3.1. Al Hecho Primero: No nos consta, sin embargo, según referido se tiene conocimiento que el accionante desarrolla actividades como docente, teniendo en cuenta que esta es información de naturaleza pública. 3.2. Al Hecho Segundo: Es cierto, a la fecha el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx no tiene relación crediticia con FINSOCIAL S.A.S. 3.3.

Al Hecho Tercero: No nos consta, el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx fue referido por uno de nuestros clientes con crédito vigente con FINSOCIAL S.A.S., lo anterior teniendo en cuenta los programas de referidos que ha realizado FINSOCIAL S.A.S. 3.4. Al Hecho Cuarto: No nos consta, sin embargo, el objetivo de FINSOCIAL con sus programas de referidos son dar a conocer y ofrecer todos nuestros productos a personas que no tengan conocimiento acerca de estos. 3.5.

Al Hecho Quinto: Es cierto, el señor xxxxxxxxxxxxxxxxxxxxx a la fecha de esta contestación no ha tenido ni tiene vigente vinculo crediticio con FINSOCIAL S.A.S. 3.6. Al Hecho Sexto: No es cierto, FINSOCIAL S.A.S. no ha sido sancionada por los motivos que menciona el accionante y tampoco e (sic) su operación de originación (sic) de crédito por prácticas o actuaciones ilegales, es importante aclarar que FINSOCIAL con sus programas de referidos no tiene otro fin que dar a conocer y ofrecer a los pensionados y docentes del sector público información sobre nuestros productos financieros para cubrir alguna necesidad urgente y mejorar comportamientos de tipo crediticio, pero nunca ocasionar motivos que generen este tipo de quejas. 3.7.

Al hecho Séptimo: No nos consta, sin embargo, el señor xxxxxxxxxxxxxxxxxxxx xxxxxxx fue referido por uno de nuestros cliente (sic) que tiene créditos vigentes con finsocial por nuestros programas corre la voz plan referi2 Finsocial o por nuestro Portal Landing Page con el objetivo de darle a conocer y ofrecerle nuestros productos crediticios.

4. EN CUANTO A LAS PRETENSIONES 4.1. FINSOCIAL no cuenta con la autorización por parte del accionante teniendo en cuenta que este fue contactado por los programadas de referidos que tiene FINSOCIAL. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” 4.2. Como se ha manifestado un puntos anteriores, usted fue referido por unos de nuestros clientes que tienen créditos vigentes con FINSOCIAL, es importante aclarar que sus datos han sido tratados y protegidos conforme a las leyes que regulas la protección de datos personales. 4.3.

Usted a la fecha no tiene vinculo crediticio FINSOCIAL S.A.S. 4.4. Es procedente esta solicitud, FINSOCIAL no tendrá contacto con el señor xxxxxxxxxxx xxxxxxxxxxxxxxxx ni le ofrecerá más sus líneas de créditos” ( )”.

CUARTO: Que con ocasión a la denuncia presentada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con cédula de ciudadanía No. xxxxxxxxxx, y las averiguaciones preliminares adelantadas por esta Dirección, mediante la Resolución No. 21542 del 19 de abril de 2021 se formuló un cargo a la sociedad FINSOCIAL S.A.S., identificada con NIT 900.516.574-6, por la presunta vulneración del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

La Resolución No. 21542 de 2021 fue notificada electrónicamente a la sociedad FINSOCIAL S.A.S., por conducto de su representante legal, el 21 de abril de 2021 de acuerdo con la certificación con radicado 21-90231-00009 del 4 de mayo de 2021 emitida por la Secretaria Ad-Hoc de esta Superintendencia. La citada resolución fue comunicada al denunciante el 21 de abril de 2021.

QUINTO: Que el Titular xxxxxxxxxxxxxxxxxxxxxxxxx a través de la comunicación con radicado 21-90231-00007 del 26 de abril de 2021 informó: “Señores FinsocialÁ (sic) NO soy cliente de su entidad y JAMAS LO SERE Solo requeiro (sic) que dejen de usar mis datos personales ante los cuales NUNCA han tenido mi consentimiento (sic) y aun cuando afirman haberme eliminado de sus bases de datos persiten (sic) en acceder de manera ilegal a mi informacion (sic) financiera y usar mis datos de forma abusiva ilegal e inconstitucional (sic) Reitero que NUNCA sere (sic) cliente de finsocial ni utilizarw (sic) ninguno de sus servicios y exigo (sic) por enésima (sic) vez que dejen de usar mis datos conseguidos y usados de forma ilegal para lo cual espero que la sic tome las sanciones pertinentes (sic) (…) MIS DATOS NO ESTAN AUTORIZADOS NUNCA PARA QUE LOA USE FINSOCIAL”.

En la misma comunicación, aportó el siguiente mensaje proveniente de FINSOCIAL S.A.S.: “Señor(a) xxxxxxxxxxxxxxxxxxxxxxxxxx C.C xxxxxxxxx Estimado(a) cliente, Reciba un cordial saludo de parte de FINSOCIAL S.A.S., somos una organización Fintech 2.0 creada en el 2012 originadora de créditos de libre inversión. Nuestro compromiso es prestar dinero de manera ágil y oportuna a través de créditos de libranza y de consumo a docentes, pensionados y trabajadores independientes.

Es un gusto contar con usted como nuestro cliente y resolver todas sus solicitudes de manera oportuna, por ello y teniendo en cuenta su requerimiento, nos permitimos informarle lo siguiente: (…) Hemos registrado su solicitud bajo el número de radicado: 34469. Estaremos enviando la respuesta de su requerimiento al correo electrónico suministrado”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ”

SEXTO: Que, en comunicación con radicado 21-90231-00008 del 26 de abril de 2021, obra que el Titular de la información remitió a la sociedad FINSOCIAL S.A.S. y a la Superintendencia de Industria y Comercio, el siguiente mensaje de correo electrónico: “Señores Sic Ref: Resolucion (sic) 25542 de 2021 Solicito que se tengan presente dentro del proceso de investigación de la resolución de la referencia los hechos acontecidos nuevamente el día de hoy 26 de abril de 2021 de abril que se relacionan con el caso dado que se persiste en la violación de mis derechos habeas data con los agravantes de: 1.

He solicitado a Finsocial por todas las formas y medios que NO utilicen mis datos personales LO CUAL DE MANERA ABUSIVA DESCARGAÁE (sic) ILEGAL SIGUEN USANDO MIS DATOS Y MI INFORMACION FINANCIERA SIN MI AVAL NI AUTORIZACIÓN NI CONSENTIMIENTO Y CON MI EXPRESA SOLICITUD QUE NO LO HAGAN 2. Supuestamente mis datos fueron borrados de las bases de datos de Finsocial pero siguen utilizando mis datos de forma consciente deliberada e ilegal (sic), reiterada e IMPUNE burlándose de las normas de las leyes y de los derechosÁ (sic) 3.

Se supone que la LEY es para cumplirla pero parece que Finsocial de forma consciente y deliberada implementa un programa de ‘referidos’ para acceder a datos personales y USARLOS SIN EL CONOCIMIENTO NI CONSENTIMIENTO DE LOS TITULARES violando de forma flagrante la ley, aun cuando de forma irreal aseguran eliminarme de sus bases de datos persisten y se reiteran en utilizar mis datos y llenarme de supuestos créditos preaprobadosÁno (sic) pedidos ni solicitados y QUE NUNCAÁUTILIZARE (sic) 4.

Reitero que NUNCA SOLICITARÁ ningún servicio ni mucho menos ningún crédito con Finsocial 5. Finsocial esta (sic) también accediendo de forma ILEGAL a mi informacion (sic) financiera al generar montos de créditos preaprobados sin tener ni mi consentimiento ni aval ni autorización para Consultar ni acceder a mi informacion (sic) financiera 6.

Se anexa hechos de nuevas violaciones de mis derechos acontecidas hoy 26 de abril de 2021 de abril del año en curso”. El Titular con la comunicación con radicado 21-90231-00008 del 26 de abril de 2021, aportó la siguiente imagen: Imagen 1. Tomada del radicado 21-90231-00008, página 2.

SÉPTIMO: Que la sociedad FINSOCIAL S.A.S., a través de su apoderada general, presentó descargos con las pruebas que pretende hacer valer en esta investigación, mediante la comunicación con radicado 21-90231-00010 del 13 de mayo de 2021, señalando en el escrito de descargos que estos los radicó oportunamente dado que el término para la radicación de descargos vencía el 14 de mayo de 2021.

Al respecto, téngase presente que la Resolución No. 21542 de 2021 fue notificada electrónicamente a la sociedad FINSOCIAL S.A.S., por conducto de su representante legal, el 21 de abril de 2021 de acuerdo con la certificación con radicado 21-90231-00009 del 4 de mayo de 2021 emitida por la Secretaria Ad-Hoc de esta Superintendencia. Por su parte, el artículo 47 de la Ley 1437 de 2011 dispone que “(l)os investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” descargos”, por lo cual atendiendo a que la citada resolución se notificó a la sociedad FINSOCIAL S.A.S. el 21 de abril de 2021, a partir del 22 de abril de 2021 empezó a correr dicho término y este venció el 12 de mayo de 2021 al corresponder al día 15 del término para presentar descargos y/o aportar y/o solicitar la investigada las pruebas a hacer valer en esta investigación. Así, en cuanto la sociedad FINSOCIAL S.A.S. radicó el 13 de mayo de 2021, de forma extemporánea, descargos y la pruebas a hacer valer en esta actuación administrativa, este Despacho no tendrá en cuenta los argumentos expuestos por la investigada en su escrito de descargos; sin embargo, con el fin de esclarecer los hechos materia de investigación, sí valorará las pruebas aportadas mediante la comunicación con radicado 21-90231-00010 del 13 de mayo de 2021.

OCTAVO: Que, mediante la comunicación con radicado 21-90231-00011 del 26 de agosto de 2021 se requirió a la sociedad FINSOCIAL S.A.S., la siguiente información: “1. ¿Cuál es la URL de la página web de la Secretaría de Educación de Cundinamarca, en la cual se encuentran los datos de los docentes que están adscritos a esta Secretaria? Adicionalmente, aportar pruebas en las que se evidencie la información que reposa del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxx en la página web que informan. 2.

¿Cuáles han sido los mensajes que han sido enviados durante el 2021 al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx? Respecto a ello, aportar evidencia(s) de cada mensaje respecto de: (i) su contenido, (ii) fecha de envío y; (ii) si fue enviado al número de celular o correo electrónico del Titular de la información. 3. ¿A qué hace referencia la solicitud No. 34469 presuntamente presentada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx y cuál ha sido el trámite que se le ha dado? Respecto a esta solicitud, allegue a esta actuación administrativa dicha solicitud junto con las evidencias de todos los trámites que de ella se han adelantado a la fecha”.

NOVENO: Que a través de la comunicación con radicado 21-90231-00012 del 26 de agosto de 2021 se solicitó al Titular de la información, lo siguiente: “1. ¿Tiene algún conocimiento de la solicitud No. 34469 a la que hace referencia la sociedad FINSOCIAL S.A.S. en correo electrónico del 26 de abril de 2021 aportado por usted a esta Superintendencia mediante comunicación con radicado 21-90231-00008 del 26 de abril de 2021? En caso afirmativo, aportar evidencias, por ejemplo, del soporte y contenido de la solicitud, de los trámites dados a la misma, de la respuesta, etc. 2.

¿Ha recibido mensajes de la sociedad FINSOCIAL S.A.S. del 26 de abril de 2021 a la fecha? En caso afirmativo, allegar todas las evidencias correspondientes y que permitan verificar el contenido y la fecha de recibo de los mensajes. 3. Respecto del mensaje aportado con la comunicación con radicado 21-90231-00008 del 26 de abril de 2021, allegar imagen en la que se visualice la fecha de recibo del mensaje”.

DÉCIMO: Que, a través de la comunicación 21-90231-00013 del 26 de agosto de 2021, el Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxx respondió la solicitud de información de esta entidad sin atender las preguntas que le fueron formuladas en la comunicación con radicado 21-90231-00012 del 26 de agosto de 2021.

DÉCIMO PRIMERO: Que la investigada respondió el requerimiento de información, por conducto de la comunicación con radicado 21-90231-00014 del 2 de septiembre de 2021, en el siguiente sentido: “1. ¿Cuál es la URL de la página web de la Secretaría de Educación de Cundinamarca, en la cual se encuentran los datos de los docentes que están adscritos a esta Secretaria? Adicionalmente, aportar pruebas en las que se evidencie la información que reposa del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx en la página web que informan.

La URL en la que se publican los datos del señor xxxxxxxxxxxxxxxxxxxxxxxxxx es https://www.funcionpublica.gov.co/web/sigep/hdv/-/directorio/M2622050-6349-4/view. Estos son los pantallazos de la pagina (sic) web en los que se evidencia la publicación los datos del accionante. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” En esta URL, se registran los datos del Señor xxxxxxxxxxxxxxxxxxxxxxxxx, esto incluye el número de teléfono, correo electrónico y el rango salarial. 2.

¿Cuáles han sido los mensajes que han sido enviados durante el 2021 al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx? Respecto a ello, aportar evidencia(s) de cada mensaje respecto de: (i) su contenido, (ii) fecha de envío y; (ii) si fue enviado al número de celular o correo electrónico del Titular de la información. Es pertinente aclarar lo relacionado con los mensajes recibidos por el accionante teniendo en cuenta que las pruebas aportadas por el señor xxxxxxxxxxxxxxxxxxxxxxxx corresponde a pantallazos de mensajes vía WhatsApp de un número de teléfono no institucional, la línea que registra el accionante en su requerimiento como prueba, corresponde al número de celular xxxxxxxxxxx, línea que no corresponde a un número institucional como mencionamos antes y no con cuenta con autorización de Finsocial para enviarlos.

Quien contactó al señor xxxxxxxxxx fue un asesor comercia (sic) que sin autorización previa envió ese mensaje. Al respecto nos permitimos aclarar que FINSOCIAL no ha contactado xxxxxxxxxxxxxxxx xxxxxx a través de ninguno de sus canales de comunicación institucionales. Las HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” comunicaciones que se aportan a la denuncia se realizaron desde números no institucionales.

Finsocial mediante una investigación interna concluyó que el asesor incumpliendo los procedimientos y políticas establecidas para el contacto comercial con los clientes, procedió, sin autorización, a crear un correo electrónico personal en el que nombra a la compañía que represento, razón por la cual hemos tomado los correctivos internos con este y la fuerza comercial con el propósito de que estas conductas no se presenten en lo sucesivo. 3.

¿A qué hace referencia la solicitud No? 34469 presuntamente presentada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx y cuál ha sido el trámite que se le ha dado? (sic) Respecto a esta solicitud, allegue a esta actuación administrativa dicha solicitud junto con las evidencias de todos los trámites que de ella se han adelantado a la fecha. La solicitud presentada por el accionante con el radicado de PQR No. 34469 el día 26 de abril 2021, esta fue contestada de fondo el día 18 de mayo de 2021; en este se le informa al cliente que a la fecha de su solicitud no presenta vinculo a la entidad, se procedió a reportar y solicitar no volver a ser contactado dentro de las medidas de correctivas tomadas por la compañía y se le envío al accionante un certificado de ‘no crédito’.

(Se anexa soporte de solicitud y respuesta)”. Que la investigada, adicionalmente, a través de la comunicación con radicado 21-90231-00014 del 2 de septiembre de 2021 aportó las siguientes pruebas: 11.1 Petición del 26 de abril de 2021 presentada por el Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxx Imagen 2. Tomada del radicado 21-90231-00014, página 3, folio 1.

Imagen 3. Tomada del radicado 21-90231-00014, página 3, folio 2. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” 11.2 Respuesta de la investigada del 18 de mayo de 2021 a petición del Titular, en la cual se consigna: “1. RELACIÓN ENTRE FINSOCIAL Y EL PETICIONARIO: 1.1. A la fecha usted no presenta vinculo (sic) vigente con nuestra entidad.

2. CON RESPECTO A SU PETICIÓN NOS PRONUNCIAMOS DE LA SIGUIENTE FORMA: PRIMERO En cuanto a su solicitud, nos permitimos informarle que a la fecha usted no presenta, ni ha presentado vinculo (sic) vigente con nuestra entidad, lo cual soportamos con el certificado de NO CREDITO adjunto a esta respuesta (anexo 1). SEGUNDO En cuanto a su inconformidad, le informamos que se procedió con la eliminación de sus datos, razón por la cual no volverá a ser contactado”.

DÉCIMO SEGUNDO: Que este Despacho profirió la Resolución No. 76129 del 25 de noviembre de 2021, con la cual incorporó las pruebas las obrantes a la fecha en el expediente 21-90231 del radicado 2190231-00001 al 21-90231-00015 con el valor probatorio que les corresponda, y las demás pruebas que debida y oportunamente sean allegadas a esta actuación administrativa, y ordenó a la investigada lo siguiente: “Ordenar a la sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, que aporte las pruebas relacionadas en el acápite de ‘IV.

PRUEBAS’ del escrito de descargos que denomina como: i) ‘PRUEBA No. 2: Certificación firmada por Auditoria Interna de Finsocial que certifica la eliminación de datos personales y bloqueo en nuestro sistema de la información del Sr. Xxxxxxxxxxxxxxxxxxxxxx’, ii) ‘PRUEBA No. 3: Certificado de No Crédito emitido por el gerente de operaciones de Finsocial S.A.S. a favor del accionante xxxxxxxxx xxxxxxxxxxxxxx’ y; iii) ‘PRUEBA No. 4: Respuesta de Radicado No. 20190015683 emitido por la Secretaria de Educación de Cundinamarca, convenio vigente de operación de libranza’”.

La Resolución No. 76129 del 25 de noviembre de 2021 fue comunicada a la sociedad FINSOCIAL S.A.S. el 26 de noviembre de 2021 de acuerdo con la certificación 21-90231-00020 del 14 de diciembre de 2021 emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio.

DÉCIMO TERCERO: Que, mediante la comunicación con radicado 21-90231-00019 del 3 de diciembre de 2021, la sociedad FINSOCIAL S.A.S. en cumplimiento de lo ordenado en la Resolución No. 76129 de 2021, aportó: 13.1 Certificación fechada del 3 de diciembre de 2021 del Gerente de Riesgos de la sociedad FINSOCIAL S.A.S. Imagen 4. Tomada del radicado 21-90231-00019, página 5. 13.2 Pantallazo de inexistencia de la información del Titular en las bases de datos de Clientes.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Imagen 5. Tomada del radicado 21-90231-00019, página 3. 13.3 Certificación fechada del 5 de octubre de 2020 del Gerente de Operaciones de la sociedad FINSOCIAL S.A.S. Imagen 6. Tomada del radicado 21-90231-00019, página 7. 13.4 Certificación fechada del 5 de octubre de 2020 del Auditor Interno de la sociedad FINSOCIAL S.A.S., en cumplimiento de la Resolución No. 58200 de 2020 emitida dentro del expediente 19295086.

Imagen 7. Tomada del radicado 21-90231-00019, página 9. 13.5 Respuesta del radicado No. 20190015683 emitido por la Secretaria de Educación de Cundinamarca, respecto del convenio de operación de libranza. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Imagen 8. Tomada del radicado 21-90231-00019, página 17.

DÉCIMO CUARTO: Que el Titular de la información con la comunicación con radicado 21-9023100021 del 21 de enero de 2022, informó: “(…) como se anexa nuevamente el día de hoy 21 de enero de 2020 se sigue haciendo uso ILEGAL ABUSIVO E IMPUNE de mis datos personales por parte de la entidad Ilegal Finsocial (…)”. A su vez, con dicha comunicación aportó la siguiente imagen del mensaje de texto recibido a su número celular: Imagen 9.

Tomada del radicado 21-90231-00021, página 2.

DÉCIMO QUINTO: Que el Titular xxxxxxxxxxxxxxxxxxxxxxxxxxx a través de la comunicación con radicado 22-57542-00000 del 14 de febrero de 2022, dentro del expediente 22-57542 acumulado a esta investigación con radicado 21-90231, aportó copia de mensaje de correo electrónico que recibió el 11 de febrero de 2022 de la sociedad FINSOCIAL S.A.S., como se visualiza a continuación: Imagen 10.

Tomada del radicado 22-57542-00000, acumulado al expediente 21-90231, página 1, folio 2. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Imagen 11. Tomada del radicado 22-57542-00000, acumulado al expediente 21-90231, página 1, folio 2.

DÉCIMO SEXTO: Que mediante la Resolución No. 15052 del 25 de marzo de 2022, con ocasión de las nuevas pruebas aportadas a esta actuación administrativa, se decidió ampliar la formulación de cargos a la sociedad FINSOCIAL S.A.S., identificada con NIT 900.516.574-6, con el fin de adicionar un SEGUNDO CARGO por la presunta vulneración del deber previsto en el literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 21 de la norma en mención. La Resolución No. 15052 del 25 de marzo de 2022 fue notificada por aviso No. 4148 a la sociedad FINSOCIAL S.A.S., por conducto de su representante legal, el 5 de abril de 2022 de acuerdo con la certificación con radicado 21-90231-00036 del 7 de abril de 2022 emitida por la Secretaria Ad-Hoc de esta Superintendencia. La citada resolución fue comunicada al denunciante el 25 de marzo de 2022.

DÉCIMO SÉPTIMO: Que, mediante la comunicación con radicado 21-90231-00035 del 1 de abril de 2022, el denunciante solicitó que se le reconociera como tercero interviniente en esta investigación DÉCIMO OCTAVO: Que la sociedad FINSOCIAL S.A.S., por conducto de su representante legal, mediante la comunicación con radicado 21-90231-00037 presentó oportunamente descargos y las prueba a hacer valer dentro de esta actuación administrativa.

En el escrito de descargos expuso lo siguiente: 18.1 La compañía desde el 5 de octubre de 2020 informó al Despacho que había eliminado los datos personales del Titular y a su bloqueo en los sistemas de información, en cumplimiento de las instrucciones impartidas mediante la comunicación con radicado No. 58200 de 2020. Y agregó que desde el 5 de octubre de 2020 no ha sometido a Tratamiento los datos personales del Titulares, salvo para atender las peticiones presentadas por el Titular y para atender los requerimientos de la Superintendencia de Industria y Comercio. 18.2 El pantallazo del mensaje de WhatsApp aportado por el Titular en comunicación del 2 de septiembre de 2021 proviene del número celular xxxxxxxxxxxx, el cual no es una línea móvil institucional de la sociedad FINSOCIAL S.A.S., y el pantallazo del mensaje de texto del 21 de enero de 2022 procede del código 890202 que “no corresponde a los utilizados por el proveedor de envío masivo de mensajes de texto contratado por FINSOCIAL, AVANZA SMART (…)”.

Al respecto, añadió, que internamente se efectuaron las investigaciones correspondientes encontrándose que los mensajes de WhatsApp y de texto fueron remitidos por canales no oficiales por cuenta propia de un asesor comercial de la sociedad FINSOCIAL S.A.S. que desempeña su trabajo en la ciudad de Bogotá, “apartándose de los lineamientos e instrucciones que fueron impartidas por FINSOCIAL a la fuerza comercial, en las capacitaciones que de manera permanente, se adelantan a este personal en todas las agencias a nivel nacional, (…)”, por lo cual la compañía no fue quien realizó en envío de los antedichos mensajes sin autorización del Titular. 18.3 Dentro del marco de la buena fe no puede predicarse que la sociedad FINSOCIAL S.A.S. desconoce la normatividad en materia de protección de datos personales. 18.4 La compañía ha dado respuesta a todos los requerimientos y solicitudes de información efectuados por la Dirección de Datos Personales como puede evidenciarse en el expediente. 18.5 Desde el 20 de febrero de 2020, fecha en la que la Superintendencia de Industria y Comercio solicitó la autorización del Titular para el Tratamiento de sus datos, la sociedad FINSOCIAL S.A.S. informó que se abstendría de tratar la información del Titular y además, se procedió a eliminar sus datos personales lo que se acredita con el no envío de ninguna comunicación institucional al Titular.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” 18.6 Las capturas de pantalla obrantes en el pliego de cargos que fueron allegadas por el denunciante carecen de “confiabilidad y certeza que permitan determinar perse que dichos mensajes fueron enviados por mi representada”, conforme con lo dispuesto en el artículo 11 de la Ley 527 de 2011, no fue aportada en su formato original como lo dispone el artículo 8 de la Ley 527 de 1999. 18.7 En caso de encontrarse que la sociedad FINSOCIAL S.A.S. desconoció alguna de las presuntas infracciones, se gradúe la sanción teniendo en cuenta los criterios previstos en el artículo 50 de la Ley 1437 de 2011.

DÉCIMO NOVENO: Que este Despacho reconoció como tercero interviniente al denunciante y le otorgó 15 días hábiles para que presentara descargos y las pruebas a hacer valer en esta investigación mediante la comunicación con radicado a través de la comunicación con radicado 2190231-00038 del 16 de mayo de 2022 y de ello se informó a la sociedad FINSOCIAL S.A.S. por medio de la comunicación con radicado 21-90231-00039 del 16 de mayo de 2022.

VIGÉSIMO: Que, mediante las comunicaciones con radicados 21-90231-00040 y 21-90231-00041 del 18 de mayo de 2022, el tercero interviniente presentó descargos, en los cuales indicó que la investigada “ha utilizado por mas (sic) de tres años y sin mi consentimiento mis datos personales (…)”.

VIGÉSIMO PRIMERO: Que mediante la Resolución No. 41280 del 29 de junio de 2022 este Despacho incorporó las pruebas obrantes en el expediente 21-90231 del radicado 2190231-00001 al 21-90231-00041 con el valor probatorio que les corresponda, y las demás pruebas que debida y oportunamente sean allegadas a esta actuación administrativa y procedió a decretar de oficio las siguientes pruebas: “ARTÍCULO SEGUNDO: DECRETAR de oficio las siguientes pruebas:  Solicitar a la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC que respecto de cada uno de los códigos cortos 890202 y 85668 informe: i) persona natural o jurídica a quien se le ha asignado, detallando si se le ha asignado a diferentes personas en distintos periodos, ii) fecha de asignación y; iii) fecha de devolución del código corto o si se encuentra activo.  Designar a un miembro de la Dirección de Investigaciones Administrativas de la Gestión de Recursos de Identificación – SIGRI de la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC, a fin de identificar la asignación de los códigos cortos 890202 y 85668, y radique a esta actuación administrativa los hallazgos encontrados.  Oficiar a las diferentes empresas de telefonía móvil para que informen: i) el nombre y número de identificación de la persona natural o jurídica que se encuentra como Titular del abonado celular xxxxxxxxxxx y; ii) qué datos de ubicación se encuentran registrados para el mencionado abonado”.

La Resolución No. 41280 del 29 de junio de 2022 fue comunicada a la sociedad FINSOCIAL S.A.S., por conducto de su representante legal, y al tercero interviniente el 7 de julio de 2022, conforme con la certificación con radicado 21-90231-00049 del 14 de julio de 2022 emitida por la Secretaría General Ad-Hoc de esta Superintendencia.

VIGÉSIMO SEGUNDO: Que, en cumplimiento de la segunda prueba decretada mediante la Resolución No. 41280 del 29 de junio de 2022, mediante las comunicaciones con radicados 2190231-00046 y 21-90231-00047 del 5 de julio de 2022 un miembro de la Dirección de Investigaciones Administrativas de la Superintendencia de Industria y Comercio radicó los resultados obtenidos de consulta realizada el 5 de julio de 2022 en el Sistema de Información y Gestión de Recursos de Identificación – SIGRI de la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC, a saber: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Imagen 12.

Tomada del radicado 21-90231-00047, página 2, folio 1. Imagen 13. Tomada del radicado 21-90231-00047, página 2, folio 2. Imagen 14. Tomada del radicado 21-90231-00047, página 2, folio 3. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Imagen 15. Tomada del radicado 21-90231-00047, página 2, folio 4.

Imagen 16. Tomada del radicado 21-90231-00047, página 2, folio 5. Imagen 17. Tomada del radicado 21-90231-00047, página 2, folio 6. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ”

VIGÉSIMO TERCERO: Que, en cumplimiento de la primera prueba decretada mediante la Resolución No. 41280 del 29 de junio de 2022, mediante la comunicación con radicado 21-9023100050 del 14 de julio de 2022 se solicitó a la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC lo siguiente: “(…) respecto de cada uno de los códigos cortos 890202 y 85668 informe: i) persona natural o jurídica a quien se le ha asignado, detallando si se les ha asignado a diferentes personas en distintos periodos, ii) fecha de asignación y; iii) fecha de devolución del código corto o si se encuentra activo”.

VIGÉSIMO CUARTO: Que, en cumplimiento de la tercera prueba decretada mediante la Resolución No. 41280 del 29 de junio de 2022, mediante las comunicaciones con radicados 21-90231-00052, 21-90231-00053, 21-90231-00054, 21-90231-00055, 21-90231-00056, 21-90231-00057 y 21-9023100058 del 14 de julio de 2022 se requirió, respectivamente, a las empresas de telefonía móvil COLOMBIA TELECOMUNICACIONES S.A E.S.P. BIC, COLOMBIA MOVIL S.A. E.S.P., AVANTEL S.A.S. - EN REORGANIZACIÓN, COMUNICACIÓN CELULAR S.A. COMCEL S.A., WOM COLOMBIA S.A.S., VIRGIN MOBILE COLOMBIA S.A.S. y EMPRESA DE TELECOMUNICACIONES DE BOGOTÁ S.A. E.S.P. SIGLA ETB S.A. E.S.P. para que suministraran la siguiente información: “1.

El nombre y número de identificación de la persona natural o jurídica que se encuentra como Titular del abonado celular xxxxxxxxxxx. 2. Qué datos de ubicación se encuentran registrados para el mencionado abonado”.

VIGÉSIMO QUINTO: Que, en atención a los requerimientos de información remitidos por esta Superintendencia a las empresas de telefonía móvil, estas informaron lo siguiente: 25.1 La sociedad VIRGIN MOBILE COLOMBIA S.A.S. mediante la comunicación con radicado 2190231-00068 del 15 de julio de 2022. “VIRGIN MOBILE COLOMBIA, identificada con el NIT 900.420.122-7 se permite informar mediante el presente comunicado que, tras realizar la correspondiente búsqueda en nuestros sistemas de información, el número de abonado xxxxxxxxxxx no se encuentra registrado entre nuestros usuarios activos”. 25.2 La sociedad AVANTEL S.A.S.- EN REORGANIZACIÓN mediante la comunicación con radicado 21-90231-00069 del 19 de julio de 2022.

“Informamos que, una vez realizada la correspondiente revisión, la(s) línea(s) cuya información es requerida no registra ni ha registrado en la base de datos de AVANTEL SAS EN REORGANIZACIÓN”. 25.3 La sociedad COLOMBIA TELECOMUNICACIONES S.A E.S.P. BIC mediante comunicación con radicado 21-90231-00078 del 27 de julio de 2022. Imagen 18.

Tomada del radicado 21-90231-00078, página 2. 25.4 La sociedad EMPRESA DE TELECOMUNICACIONES DE BOGOTA S.A. E.S.P. SIGLA ETB S.A. E.S.P. 21-90231-00079 del 28 de julio de 2022. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” “1. El nombre y número de identificación de la persona natural o jurídica que se encuentra como Titular del abonado celular xxxxxxxxxxxx.

Se realiza la búsqueda selectiva de datos bajo líneas Móviles xxxxxxxxxxx, sin embargo (sic) estos abonados no registra (sic) en nuestros sistemas de clientes activos o retirados, así mismo no se evidencia una portabilidad a un tercer operador. Anexo folios (2 al 4). 2. Qué datos de ubicación se encuentran registrados para el mencionado abonado.

Se realiza la búsqueda selectiva de datos bajo líneas Móviles xxxxxxxxxxx, sin embargo (sic) estos abonados no registra (sic) en nuestros sistemas de clientes activos o retirados, así mismo no se evidencia una portabilidad a un tercer operador. Anexo folios (2 al 4)”. 25.5 La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. mediante la comunicación con radicado 21-90231-00081 del 29 de julio de 2022.

“La línea celular xxxxxxxxxxx se encuentra a nombre del señor xxxxxxxxxxxxxxxxxxx xxxxxxxxx identificado con cédula No. xxxxxxxxx”. Imagen 19. Tomada del radicado 21-90231-00081, página 4, folio 2. 25.6 La sociedad COLOMBIA MOVIL S.A. E.S.P. mediante la comunicación con radicado 22356949-00000 del 8 de septiembre de 2022. “La línea xxxxxxxxxxxx no registra portabilidad en Colombia Móvil”.

VIGÉSIMO SEXTO: Que, en virtud de la solicitud de información efectuada por esta entidad a la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC, esta mediante las siguientes comunicaciones informó: 26.1 Comunicación con radicado 21-90231-00070 del 20 de julio de 2022. “1. Frente al código corto ‘85668’, a la fecha, (i) se encuentra asignado en la modalidad ‘Gratuito para el Usuario’ a INFOBIP COLOMBIA S.A.S. identificada con NIT. 900438922-1 para la provisión de contenidos y aplicaciones a través de SMS o USSD;

(ii) el código corto en mención se asignó mediante la Resolución CRC 4457 del 10 de abril 2014 y a la fecha se encuentra activo. Sin perjuicio de lo anterior, esta Comisión manifiesta que actualmente el código corto es objeto de una actuación administrativa para su recuperación de acuerdo con lo estipulado en la Resolución 5050 de 2016. 2.

Frente al código corto ‘890202’, a la fecha, (i) se encuentra asignado en la modalidad ‘Gratuito para el Usuario’ a A2P COLOMBIA S.A.S. identificada con NIT. 900128632-4 para la provisión de contenidos y aplicaciones a través de SMS o USSD; (ii) el código corto en mención se asignó mediante la Resolución CRC 5298 del 19 de enero de 2018 y a la fecha HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” se encuentra activo.

Sin perjuicio de lo anterior, esta Comisión manifiesta que actualmente el código corto es objeto de una actuación administrativa para su recuperación de acuerdo con lo estipulado en la Resolución 5050 de 2016”. 26.2 Comunicación con radicado 21-90231-00074 del 22 de julio de 2022. “Precisado lo anterior, a continuación, remitimos la información solicitada:  Código corto 890202 El código corto en mención fue asignado a A2P Colombia S.A.S. mediante Resolución CRC 5298 del 19 de enero de 2018.

A la fecha, dicho código se encuentra asignado a la empresa mencionada.  Código corto 85668 El código corto en mención fue asignado a INFOBIP Colombia S.A.S. mediante Resolución CRC 4457 del 9 de abril de 2014. Sin embargo, mediante Resolución 6882 del 14 de julio de 2022, la CRC resolvió recuperar el código corto 85668. Esta Resolución fue notificada a INFOBIP Colombia S.A.S. el mismo 14 de julio, y a la fecha, no se encuentra ejecutoriada, por tanto, dicha empresa funge como asignataria”.

VIGÉSIMO SÉPTIMO: Que se corrió traslado para presentar alegatos de conclusión a la sociedad FINSOCIAL S.A.S. mediante la comunicación con radicado 21-090231-00084 del 11 de agosto de 2022 y al tercero interviniente a través de la comunicación con radicado 21-090231-00085 del 11 de agosto de 2022.

VIGÉSIMO OCTAVO: Que el tercero interviniente mediante la comunicación con radicado 21-9023100087 del 11 de agosto de 2022 indicó lo siguiente: “se (sic) me adjunta comunicado informando que puedo dar alegatos y descargos pero no se anexa cual fue el asunto presentado o sobre el cual puedo hacer alegatos o descargos como consta en la comunicación”.

VIGÉSIMO NOVENO: Que mediante la comunicación con radicado 21-90231-00088 del 25 de agosto de 2022 la sociedad FINSOCIAL S.A.S. presentó oportunamente alegatos de conclusión, en los cuales reiteró argumentos expuestos en descargos1 y adicionalmente, argumentó: 29.1 El denunciante no agotó el requisito de procedibilidad del artículo 16 de la Ley 1581 de 2012, por cuanto el mensaje de correo electrónico del 27 de noviembre de 2019, el cual contiene la reclamación del Titular, no fue presentado a través de canales de envío de reclamos dispuestos por la sociedad FINSOCIAL S.A.S. Esto en consideración a que el denunciante envió la reclamación a servicioslcliente@finsocial.co en lugar de servicioalcliente@finsocial.co, correo electrónico previsto en la página web de la compañía, o a notificaciones@finsocial.co, correo electrónico de notificaciones judiciales obrante en el certificado de existencia representación legal de la sociedad FINSOCIAL S.A.S. Así, al iniciarse la investigación sin agotarse dicho requisito, se desconoció el derecho al debido proceso de la compañía y la Superintendencia de Industria y Comercio desconoció la Ley 1581 de 2012. 29.2 La sociedad FINSOCIAL S.A.S. cumplió con la orden administrativa impartida mediante la Resolución No. 58200 de 2020, toda vez que así lo acreditó el 5 de octubre de 2020 el auditor interno de la empresa y mediante memorial del 3 de diciembre de 2021 el gerente de riesgos de la compañía certificó que se habían eliminado los datos personales del Titular. 29.3 La captura de pantalla de WhatsApp allegada por el denunciante en la que se señala “Hoy” no acredita que la publicidad hubiese sido enviada por la sociedad FINSOCIAL S.A.S. el 26 de abril de 2021, por lo que tal prueba no debe ser valorada por la autoridad administrativa al no cumplir con los requisitos del artículo 11 de la Ley 527 de 1999. 29.4 El número de celular xxxxxxxxxxxx no es una línea corporativa de la sociedad FINSOCIAL S.A.S., ya que este número es titularidad de un asesor comercial de la compañía. Al respecto, 1 Obrantes en el radicado 21-90231-00037, página 5.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” si bien en las verificaciones internas de la empresa se encontró que la titularidad de la línea de celular correspondía a uno de los asesores comerciales de la sociedad FINSOCIAL S.A.S., de acuerdo con la certificación emitida por la empresa de telefonía COMCEL S.A., el titular de la línea de celular es un asesor comercial distinto al inicialmente identificado por la empresa, quien, igualmente, “actuó contra las instrucciones y procedimientos de la compañía, razón por la cual, se iniciaron todas las actuaciones internas para que este tipo de conducta no se vuelva a presentar”. 29.5 De acuerdo con la certificación emitida por el proveedor de envío de mensajes masivos de la compañía, AVANZA SMART, y la respuesta dada por la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC, la sociedad FINSOCIAL S.A.S. no incumplió con la orden impartida por la Superintendencia de Industria y Comercio, dado que “los códigos cortos 85668 y 890202 pertenecen a las sociedades Infobip Colombia S.A.S., y A2P Colombia S.A.S.” con las cuales la compañía no ha tenido relación comercial. 29.6 Luego de impartida la orden administrativa mediante la Resolución No. 58200 de 2020, la sociedad FINSOCIAL S.A.S. no ha contactado a través de sus medios institucionales al Titular y la respuesta que se le dio al Titular el 18 de mayo de 2021 corresponde a la atención de una petición presentada el 26 de abril de 2021 por él bajo el radicado No. 34469.

TRIGÉSIMO: Que el tercero interviniente, dentro de esta actuación administrativa, mediante la comunicación con radicado 21-90231-00090 del 29 de enero de 2023 indicó, entre otros aspectos, lo siguiente: “3. Aunque Finsocial NUNCA ha tenido ni tendrá mi autorización para usar mis datos y que aunque la sic le ordenó a dicha entidad dejar de usar mis datos Finsocial nunca ha cumplido con la ley ni la orden de la sic y PERSISTE en usar mis datos como he denunciado y co.o (sic) sigue aconteciendo a fecha de hoy 25 de enero de 2023 donde anexo los soportes de dicha situación”.

Adicionalmente, aportó las siguientes evidencias: Imagen 20. Tomada del radicado 21-90231-00090, página 2. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Imagen 21. Tomada del radicado 21-90231-00090, página 3.

TRIGÉSIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

TRIGÉSIMO SEGUNDO: Análisis del caso 32.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y; ii) el literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 21 de la norma en mención. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” las razones de hecho y de derecho aducidas por la investigada en descargos y alegatos de conclusión, así como en el conjunto de pruebas allegadas al expediente. 32.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como del acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 32.2.1 Respecto del agotamiento del requisito de procedibilidad del artículo 16 de la Ley 1581 de 2012 La investigada expresa3 que el Titular no agotó el requisito de procedibilidad del artículo 16 de la Ley 1581 de 2012, ya que el reclamo del 27 de noviembre de 2019 lo envió a un correo electrónico que no es de la sociedad FINSOCIAL S.A.S., por lo cual al iniciarse la investigación sin agotarse dicho requisito se desconoció el derecho al debido proceso de la compañía y la Ley 1581 de 2012 por parte de la Superintendencia de Industria y Comercio.

En primer lugar, el artículo 19 de la Ley 1581 de 2012 establece las facultades otorgadas a esta Superintendencia para el ejercicio de la función de vigilancia encaminada a garantizar que en el Tratamiento de datos personales se respeten los principios, derecho y garantías y procedimientos previstos en dicha norma. Igualmente, el literal b) del artículo 21 de la Ley 1581 de 2012, señala que esta Superintendencia puede “[a]delantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos (…)”. La disposición citada anteriormente significa que la reclamación previa presentada por el denunciante ante la investigada, es un requisito indispensable para que esta Superintendencia pueda ordenar la corrección, actualización o retiro de datos personales a petición del interesado, pero no para iniciar investigaciones administrativas tendientes a establecer si hay lugar o no a la imposición de una sanción, facultad que per se le asiste a la entidad sin necesidad de agotar ningún requisito de procedibilidad.

Por tal razón, al estar encaminada la presente investigación a determinar únicamente el cumplimiento de las disposiciones establecidas en la Ley 1581 de 2012, no era necesario que el Titular de la información agotara el mencionado requisito de procedibilidad. Asimismo, en consideración a la potestad atribuida a esta Superintendencia a través de las citadas normas, tras las averiguaciones preliminares puede formular cargos por cualquiera de los deberes que determine presuntamente vulnerados por el Responsable o Encargado del Tratamiento, incluso si no están directamente relacionados con los hechos puestos a su conocimiento a través de la denuncia, más aún cuando no está dentro de la órbita del Titular de la información determinar prima facie en la denuncia los deberes que posiblemente se vulneraron.

En conclusión, este Despacho ha garantizado el derecho al debido proceso de la investigada y ha dado pleno cumplimiento a la Ley 1581 de 2012, ya que el requisito de procedibilidad del artículo 16 de la Ley en comento 4 no es aplicable en las investigaciones administrativas de carácter sancionatorio y además, estas investigaciones están sujetas al procedimiento previsto en los artículos 47 a 52 de la Ley 1437 de 2011 y en lo no previsto en estos artículos, a la primera parte de la antedicha ley.

Como puede observarse en las citadas normas de la Ley 1437 de 2011, en el procedimiento administrativo sancionatorio no se ha dispuesto el agotamiento de un requisito de procedibilidad para iniciar una investigación administrativa sancionatoria. 32.2.3 Respecto del acceso al expediente a la investigada y de la comunicación sobre alegatos de conclusión dirigida al tercero interviniente La investigada mediante la comunicación con radicado 21-90231-00086 del 12 de agosto de 2022 el representante legal de la sociedad FINSOCIAL S.A.S. solicitó que se le concediese el acceso al 3 En alegatos de conclusión obrantes en el radicado 21-90231-00088, página 3. 4 “Artículo 16.

Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” expediente digital con la dirección electrónica notificaciones@finsocial.co, respecto a lo cual es de señalar por este Despacho que el acceso al representante legal, con su cédula de ciudadanía y a la antedicha dirección electrónica le fue concedido desde el 25 de noviembre de 2021, de lo cual tuvo conocimiento mediante la comunicación de la Resolución No. 76129 del 25 de noviembre de 20215 que en su artículo décimo segundo de la parte motiva dispone: “Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, esta Dirección ha concedido el acceso al presente expediente digital a esta, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, notificaciones@finsocial.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.”.

Por su parte, el tercero interviniente mediante la comunicación con radicado 21-90231-00087 del 11 de agosto de 2022 indicó que se le comunicó el traslado para alegatos de conclusión; sin embargo, no le habían anexado el asunto al que se refería. Al respecto, es de hacer hincapié por este Despacho que al tercero interviniente quien es a su vez el denunciante de los hechos que dieron lugar a esta actuación administrativa de carácter sancionatorio, mediante la comunicación con radicado 21-90231-00085 del 11 de agosto de 2021 se le informó de forma explícita el asunto del término de traslado para alegatos de conclusión, así: “Dentro de la investigación administrativa con radicado 21-90231 se adelanta por parte de esta Superintendencia a la sociedad FINSOCIAL S.A.S., por la presunta vulneración de los deberes previstos en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 21 de la norma en mención, en la cual a usted se le ha reconocido en calidad de tercero interviniente. En consideración a tal calidad, se le corre traslado por el término de diez (10) días hábiles contados a partir de la fecha de envío de la presente comunicación, para que, en caso de encontrarlo pertinente, presente los alegatos respectivos”. 32.2.3 Respecto del deber de solicitar y conservar la autorización previa, expresa e informada del Titular El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

El artículo 4 de la Ley 1581 de 2012, contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra el principio de libertad, al disponer: “Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)”. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: 5 La Resolución No. 76129 del 25 de noviembre de 2021 fue comunicada a la sociedad FINSOCIAL S.A.S. el 26 de noviembre de 2021 de acuerdo con la certificación 21-90231-00020 del 14 de diciembre de 2021 emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

El principio de libertad es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. Así, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgado por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato ( )”. También, en sentencia T-987 de 2012, la Sala Novena de Revisión de la Corte Constitucional señaló: “La autorización será compatible con el derecho de hábeas data cuando la misma es idóneas para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad.

Esto significa que sujeto concernido manifiesta su consentimiento de tratamiento del dato (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del Titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho de hábeas data de aquellas formas de recopilación de información personal que sean secretas o que se fundamentan en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal”.

(Se subraya fuera de texto) Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.

En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (…) Artículo 2.2.2.25.2.5. Prueba de la autorización “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”. En este mismo sentido, la Corte Constitucional señaló lo siguiente: “La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos.

Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data”6.

En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el Responsable del Tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

Preliminarmente este Despacho evidenció que la sociedad FINSOCIAL S.A.S. ha sometido a Tratamiento los datos personales del Titular sin contar con su autorización previa, expresa e informada, por cuanto recolectó sus datos a través de la referencia dada por uno de sus clientes “dentro de los programas de referidos de la investigada que tienen por fin dar a conocer y ofrecer los productos de la empresa, es decir que se trata de mensajes comerciales y/o publicitarios”.

Frente a la formulación de cargos, la investigada en descargos7 señaló que dio cumplimiento a las instrucciones impartidas mediante la Resolución No. 58200 de 2020, por lo cual desde el 5 de octubre de 2020 eliminó los datos personales del Titular y los bloqueó en sus sistemas de información. Agregó que el número celular xxxxxxxxxxx no es de la sociedad FINSOCIAL S.A.S. sino de uno de sus trabajadores, quien por cuenta propia envió el mensaje de WhatsApp al Titular, mientras que el mensaje de texto enviado desde el código corto 890202 “no corresponde a los utilizados por el proveedor de envío masivo de mensajes de texto contratado por FINSOCIAL, AVANZA SMART (…)”.

Además, sobre estos mensajes indicó que carecen de “confiabilidad y 6 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011, MP: Jorge Ignacio Pretelt Chaljub. 7 En escrito de descargos obrantes en el radicado 21-90231-00037, página 4. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” certeza que permitan determinar perse que dichos mensajes fueron enviados por mi representada”, conforme con lo dispuesto en el artículo 11 de la Ley 527 de 2011, no fue aportada en su formato original como lo dispone el artículo 8 de la Ley 527 de 1999.

A su turno, la investigada en alegatos de conclusión 8 argumentó que la captura de pantalla de WhatsApp en la que se visualiza “Hoy” no acredita que la publicidad hubiese sido enviada por la sociedad FINSOCIAL S.A.S. el 26 de abril de 2021, por lo que tal prueba no debe ser valorada por la autoridad administrativa al no cumplir con los requisitos del artículo 11 de la Ley 527 de 1999.

A su vez, añadió que, de acuerdo con la respuesta COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC y la certificación de AVANZA SMART, los códigos cortos 85668 y 890202 pertenecen a compañías con las que la sociedad FINSOCIAL S.A.S. no ha tenido relación comercial. En primer lugar, en cuanto a lo expuesto por la investigada respecto a que para que constituyan prueba los mensajes de datos debe garantizarse “la confiabilidad de la forma en que se ha archivado y se ha conservado la integridad del mensaje”9 conforme con el artículo 11 de la Ley 527 de 1999 y debe conservarse en su formato original como lo prevé el artículo 8 de la misma ley, es preciso indicar por este Despacho que las evidencias aportados por el Titular, con las cuales pretende demostrar que la sociedad FINSOCIAL S.A.S. lo contactó a su número de celular sin contar con su autorización previa, expresa e informada, corresponden a pantallazos de mensajes de WhatsApp y de mensajes de texto remitidos su número de celular.

Considerando esto, es preciso traer a colación la sentencia T-043/20 de la Corte Constitucional, M.P.: Dr. José Fernando Cortés Cuartas, en la cual se pronunció sobre las capturas de pantalla de mensajes obtenidas de dispositivos, así: “20. En este sentido, la doctrina especializada ha hecho referencia a las siguientes denominaciones: ‘prueba digital’, ‘prueba informática’, ‘prueba tecnológica’ y ‘prueba electrónica’.

Al efecto, un sector se ha decantado por la expresión ‘prueba electrónica’ como la más adecuada, partiendo de un punto de vista lingüístico, de tal forma que se obtenga una explicación que abarque la generalidad de los pormenores que se puedan presentar. Al respecto, valga traer a colación la siguiente cita: ‘De esta manera vemos como el apelativo ‘electrónica’, según la RAE, sería todo lo pertinente a la electrónica, ofreciendo una acepción concreta cuando se conecta con algún dispositivo en la que ‘electrónica’ significaría máquina electrónica, analógica o digital, dotada de una memoria de gran capacidad y de métodos de tratamiento de la información, capaz de resolver problemas matemáticos y lógicos mediante la utilización automática de programas informáticos.

Con ello se consideraría prueba electrónica a cualquier prueba presentada informáticamente y que estaría compuesta por dos elementos: uno material, que depende de un hardware, es decir la parte física de la prueba y visible para cualquier usuario de a pie, por ejemplo la carcasa de un Smartphone o un USB; y por otro lado un elemento intangible que es representado por un software, consistente en metadatos y archivos electrónicos modulados a través de unas interfaces informáticas’[40].

En este sentido, se ha aludido a los documentos electrónicos como una especie al interior del género ‘prueba electrónica’. Otras manifestaciones de esta última son el correo electrónico, SMS (Short Message Service), y los sistemas de video conferencia aplicados a las pruebas testimoniales. Acerca de los SMS, es fácilmente reconocible el influjo que han tenido en la actualidad como método de comunicación y su empleo habitual en teléfonos móviles.

En este escenario es relevante hacer mención de la aplicación WhatsApp, la cual se constituye como ‘un software multiplataforma de mensajería instantánea pues, además del envío de texto, permite la trasmisión de imágenes, video y audio, así como la localización del usuario’[41]. 21. De otra parte, la doctrina argentina[42] se ha referido al valor de la prueba indiciaria que se debe otorgar a las capturas de pantallas, dada la informalidad de las mismas y las dudas que puedan existir entorno a su autenticidad frente a la vasta oferta de aplicaciones de diseño o edición que permiten efectuar alteraciones o supresiones en el contenido.

Al respecto se dice lo siguiente: ‘Técnicamente definimos a las capturas de pantalla como aquella imagen digital de lo que debería ser visible en un monitor de computadora, televisión u otro dispositivo de salida 8 Obrantes en la comunicación con radicado 21-90231-00088, página 3. 9 Obrante en el radicado 21-90231-00037, página 4. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” visual.

(…) A través de los mismos se procura lograr un indicio sobre si un determinado contenido fue trasmitido por la red a un determinado usuario destinatario (caso sistemas de mensajería) o, por ejemplo, determinar la existencia de una publicación en una red social (v.gr. Facebook o Twitter) (…). Las capturas de pantalla impresas, no son prueba electrónica, sino una mera representación física materializada en soporte papel de un hecho acaecido en el mundo virtual.

(…) || Reiteramos, esa copia no es el documento electrónico original generado a través de la plataforma de mensajería, sino una simple reproducción del mismo (carente de metadatos), que por más que permite entrever la ocurrencia de aquellos sucesos invocados, no causa per se la necesaria convicción como para tener a estos por ocurridos. Tampoco se podrá establecer la integridad del documento (es decir, que el mismo no fue alterado por la parte o por terceros), o asegurar su necesaria preservación a los efectos de ser peritado con posterioridad’[43].

Sobre el tema de la autenticidad, los escritos especializados realzan que no puede desconocerse la posibilidad de que, mediante un software de edición, un archivo digital impreso que contenga texto pueda ser objeto de alteraciones o supresiones, de ahí el valor suasorio atenuado que el juzgador debe reconocerle a estos elementos, de tal manera que tomándolos como indicios los analice de forma conjunta con los demás medios de prueba[44]. 22.

A manera de colofón, los avances tecnológicos que a nivel global se han dado en distintos campos (ciencia, medicina, aplicativos digitales), también han influido en el entendimiento y el ejercicio del derecho. Al efecto, en el ámbito probatorio, por ejemplo, los operadores judiciales diariamente deben analizar elementos extraídos de aplicaciones de mensajería instantánea, ya sea que se cuente con metadatos que permitan realizar un mayor rastreo de la información o solo capturas de pantallas respecto de ciertas afirmaciones o negaciones realizadas por una de las partes en el litigio.

Sobre estas últimas, la doctrina especializada les ha concedido el valor de prueba indiciaria ante la debilidad de dichos elementos frente a la posibilidad de realizar alteraciones en el contenido, por lo cual deben ser valoradas de forma conjunta con los demás medios de prueba”. (Se subraya fuera de texto) En este orden de ideas, los pantallazos de los mensajes de texto y de WhatsApp son valorados probatoriamente como pruebas indiciarias, de manera que a través de ellos se pueden demostrar hechos siempre que se valoren de forma integral con otras pruebas.

Ahora bien, en cuanto el denunciante manifestó que ha recibido mensajes provenientes de la sociedad FINSOCIAL S.A.S. a su número de celular, es menester señalar que el número de celular del Titular se trata de un dato semiprivado, en consideración al fundamento normativo y jurisprudencial que se expone a continuación. En primer término, el artículo 3 de la Ley 1266 de 2008 prevé la clasificación de los datos personales, así: “(…) e) Dato personal.

Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal.

Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular; (…)”. Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” “El dato público, en los términos de la norma estatutaria, corresponde a aquellos que sean calificados de esa manera por la Constitución y la ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas. Los datos semiprivados corresponde a aquellos que no tienen naturaleza íntima, reservada, ni pública y que, por ende, su conocimiento puede interesar no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que, como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dato privado es aquel que por su naturaleza íntima o reservada sólo es relevante para el titular”. La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011, al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012.

En la referida sentencia dijo esa Corporación lo siguiente: “(…) la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto”.

(Negrita fuera del texto original) Así, en consideración con la anterior normatividad y jurisprudencia, el número de teléfono celular es un dato semiprivado de los titulares de la información, por lo cual se requiere solicitar y conservar la autorización previa, expresa e informada del Titular para su Tratamiento. Por su parte, este Despacho evidencia en respuesta con radicado 21-90231-00010 del 13 de mayo de 2021 de la sociedad FINSOCIAL S.A.S. que esta recolectó los datos personas del Titular de la información a través de un programa de referidos en el que un cliente de la investigada refirió al Titular, ya que así lo reconoció en dicha comunicación en los siguientes términos: “(…) el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx fue referido por uno de nuestro cliente con crédito vigente con FINSOCIAL S.A.S. 3.4.

Al Hecho Cuarto: No nos consta, sin embargo, el objetivo de FINSOCIAL con sus programas de referidos son dar a conocer y ofrecer todos nuestros productos a personas que no tengan conocimiento acerca de estos. (…)3.7. Al hecho Séptimo: No nos consta, sin embargo, el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx fue referido por uno de nuestros clientes que tiene créditos vigentes con FINSOCIAL por nuestros programas corre la voz plan referidos Finsocial por nuestro Portal Landing Page con el objetivo de darle a conocer y ofrecerle nuestros productos crediticios”.

Frente al anterior reconocimiento de la sociedad FINSOCIAL S.A.S., es de indicar por esta Dirección que el Tratamiento de los datos personales conforme con el literal g) del artículo 3 de la Ley 1581 de 2012 es “(c)ualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De manera que, al haber recolectado los datos personales del Titular a través de un cliente y al haber mantenido los datos del Titular almacenados en sus bases de datos, la sociedad FINSOCIAL S.A.S. sometió a Tratamiento sus datos personales y, en consecuencia, debía contar con la autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales; no obstante, la investigada no demostró en esta actuación administrativa que solicitó al Titular dicha autorización. Cabe señalar que, en los programas de referidos, igualmente, al recolectarse datos personales de naturaleza semiprivada, se debe obtener y conservar la autorización previa, expresa e informada para que de forma directa y voluntaria el Titular dé consentimiento para el Tratamiento de su información personal; sin embargo, como se señaló, dentro del acervo probatorio de esta investigación no obra evidencia de dicha solicitud al Titular e incluso, solo se encuentra que los datos del Titular fueron suministrados por un cliente de la investigada como ella lo reconoce en la comunicación con radicado radicado 21-90231-00010 del 13 de mayo de 2021.

En este punto, es necesario precisar que es deber de los Responsables realizar todos los actos tendientes a obtener la autorización para el Tratamiento de datos personales de los Titulares, a más tardar al momento de realizar la recolección de la información, independientemente del medio por el cual se recolecte y así mismo, conservar prueba de la autorización de conformidad con lo previsto en el 2.2.2.25.2.5 del Decreto Único 1074 de 2015.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” A su turno, a partir de la certificación del 5 de octubre de 2020 del Auditor Interno de la sociedad FINSOCIAL S.A.S. (ver imagen 7), en la cual hace constar que “se procedió con la eliminación de datos personales y bloqueo en nuestro sistema de la información del Sr. xxxxxxxxxxxxxxxxxxxxxx (…)”, se demuestra que la investigada sometió a Tratamiento los datos personales del Titular hasta el 5 de octubre de 2020 sin contar con su autorización previa, expresa e informada.

Encontrándose demostrado que la investigada desconoció abiertamente el cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; por otra parte, y en consideración a que el Titular de la información dentro de esta investigación aportó unos pantallazos de mensajes de texto y de WhatsApp presuntamente remitidos por la investigada, a continuación se procede a relacionar dichos pantallazos, a saber: (i) Mensaje de texto del 27 de noviembre de 2019 proveniente del código corto 85668 y correspondiente a un mensaje comercial sobre la sociedad FINSOCIAL S.A.S. Imagen 22.

Tomada del radicado 21-90231-00090, página 3. (ii) Mensaje de WhatsApp, allegado por el denunciante el 26 de abril de 2021, proveniente del número celular xxxxxxxxxxx y correspondiente a un mensaje comercial y publicitario sobre la sociedad FINSOCIAL S.A.S. (ver: imagen No. 1). (iii) Mensaje de texto del 21 de enero de 2022 proveniente del código corto 890202 y correspondiente a un mensaje comercial sobre la sociedad FINSOCIAL S.A.S. (ver: imagen No. 9).

(iv) Mensaje de WhatsApp, allegado por el denunciante el 29 de enero de 2023, correspondiente a un mensaje comercial y publicitario, proveniente del número celular xxxxxxxxxxxx que corresponde a una línea empresarial de la sociedad FINSOCIAL S.A.S. (ver: imágenes Nos. 20 y 21). De acuerdo con lo informado por el denunciante, el mensaje lo recibió el 25 de enero de 2023.

Respecto de los anteriores mensajes y del análisis integral el acervo probatorio, este Despacho evidencia que: (i) El Titular de la información ha recibido a su línea móvil 2 mensajes de texto con contenido comercial y publicitario provenientes de dos códigos cortos distintos, a saber:  El 27 de noviembre de 2019 del código corto 85668, el cual es titularidad de la sociedad INFOBIP COLOMBIA S.A.S., identificada con NIT. 900438922-1, de acuerdo con consulta efectuada al Sistema de Información y Gestión de Recursos de Identificación – SIGRI el 5 de julio de 2022 10 (ver: imágenes 15, 16 y 17) y conforme con lo informado por la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC mediante la comunicación con radicado 21-90231-00070 del 20 de julio de 2022 en el sentido de que “(f)rente al código corto ‘85668’, a la fecha, (i) se encuentra asignado en la modalidad ‘Gratuito para el Usuario’ a INFOBIP COLOMBIA S.A.S.”. 10 Consulta que obra en el radicado 21-90231-00046, página 2, folios 4 a 6.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ”  El 21 de enero de 2021 del código corto 890202, el cual es titularidad de la sociedad A2P COLOMBIA S.A.S. – EN LIQUIDACIÓN, identificada con NIT. 900.438.922-1, de acuerdo con consulta efectuada 5 de julio de 2022 en el Sistema de Información y Gestión de Recursos de Identificación – SIGRI11 (Ver: imágenes 15, 16 y 17) y de acuerdo con lo señalado por la COMISIÓN DE REGULACIÓN DE COMUNICACIONES – CRC mediante la comunicación con radicado 21-90231-00070 del 20 de julio de 2022 respecto a que “(f)rente al código corto ‘890202’, a la fecha, (i) se encuentra asignado en la modalidad ‘Gratuito para el Usuario’ a A2P COLOMBIA S.A.S.” De manera que, está demostrado que la sociedad FINSOCIAL S.A.S. no ha detentado la titularidad de los códigos cortos 85668 y 890202 desde los cuales se enviaron los mensajes de texto del 27 de noviembre de 2019 y del 21 de enero de 2021, respectivamente, por lo cual no se encuentra que haya enviado directamente dichos mensajes de texto al Titular de la información a los cuales ha hecho referencia el Titular de la información. (ii) El Titular de la información ha recibido a su línea móvil 2 mensajes de WhatsApp con contenido comercial y publicitario proveniente de dos números de celular diferentes, a saber:  Mensaje de WhatsApp, aportado por el Titular el 26 de abril de 2021, el cual fue remitido desde el número celular xxxxxxxxxxxx y en el que se consigna el nombre de la sociedad FINSOCIAL S.A.S. (ver: imagen No. 1).

Respecto de la línea de celular xxxxxxxxxxxx se evidencia que esta es titularidad del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx desde el 18 de marzo de 2016 de acuerdo con lo informado por la empresa de telecomunicaciones COMUNICACIÓN CELULAR S.A. COMCEL S.A. mediante la comunicación con radicado 21-90231-00081 del 29 de julio de 2022 y como se visualiza en la imagen No. 19.

Por su parte, este Despacho halla que el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx es empleado de la sociedad FINSOCIAL S.A.S., ya que:  La investigada en alegatos de conclusión12 reconoció que hace parte del personal de la empresa al indicar: “(…) el numero celular (+57 xxxxxxxxxxxxxx) no corresponde a una línea corporativa de Finsocial y su titular es el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

En este punto conviene aclarar que si bien nuestras investigaciones internas arrojaron que la línea telefónica pertenecía al colaborador (…) y se tomaron los correctivos necesarios, el titular según la certificación de Comcel S.A., también es un colaborador de Finsocial (…)”. (Se subraya fuera de texto)  En el formato de asistencia a capacitaciones de la sociedad FINSOCIAL S.A.S., código: GH-DP-R-01, versión: 03, vigencia: 09/04/2018, tema: “(d)ar a conocer las políticas y normatividad frente a la protección de datos de los clientes”, llevada a cabo el 17 de mayo de 2021, se encuentra firmado por el señor xxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxx con el cargo de asesor, como se visualiza a continuación: Imagen 23.

Tomada del radicado 21-90231-00037, página 7, folio 2. 11 Consulta que obra en el radicado 21-90231-00046, página 2, folios 3 a 5. 12 Obrantes en el radicado 21-90231- 00088, página 3. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” En este orden de ideas, este Despacho encuentra demostrado que en la medida en que el mensaje de WhatsApp i) hace referencia a contenido comercial y publicitario de la sociedad FINSOCIAL S.A.S. y, ii) la línea telefónica remisoria del mensaje es titularidad de uno de sus trabajadores, el mensaje de WhatsApp fue enviado por un trabajador de la sociedad FINSOCIAL S.A.S., aportado por el Titular el 26 de abril de 2021.

Al respecto, no es de recibo lo argumentado por la investigada en el sentido de que el envío del mensaje lo hizo el trabajador por su propia cuenta y de manera autónoma, desconociendo las capacitaciones recibidas en materia de protección de datos personales, ya que la sociedad FINSOCIAL S.A.S. en calidad de Responsable del Tratamiento es quien debe garantizar que se dé pleno cumplimiento al régimen general en materia de protección de datos personales.

Cabe expresar que, si bien este hecho se subsume dentro del deber de contar con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, el cual no es objeto de estudio dentro de esta actuación administrativa.

En la medida en que, se evidenció que la investigada no adoptó las medidas de seguridad necesarias para que el trabajador accediera y usara sin autorización a la información del Titular, se impartirá una orden administrativa tendiente a garantizar que se garantice el cumplimiento de tal deber.  Mensaje de WhatsApp del 25 de enero de 2023, el cual fue remitido por una asesora comercial desde el número celular xxxxxxxxxxx (ver: imagen No. 20) y en el que se visualiza que corresponde a una línea institucional de la sociedad FINSOCIAL S.A.S. (ver: imagen No. 21).

Si bien en las imágenes Nos. 20 y 21 se asocia la línea de celular xxxxxxxxxxx con la sociedad FINSOCIAL S.A.S., dentro del acervo probatorio no obra evidencia alguna que permita concluir que está relacionada con la investigada. En este orden de ideas, este Despacho encuentra demostrado el actuar negligente de la sociedad FINSOCIAL S.A.S. en el cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, por cuanto recolectó y almacenó el número celular del Titular, en calidad de referido de uno de sus clientes, sin contar con su autorización previa, expresa e informada, manteniendo el Tratamiento de los datos del Titular, hasta el 5 de octubre de 2020 que es la fecha en la que el Auditor Interno de la investigada certificó que se eliminaron los datos personales del Titular de la base de datos.

En consideración a ello, este Despacho procederá a imponer una sanción a la investigada en los términos del literal a) del artículo 23 de la Ley 1581 de 2012 e impartir unas órdenes administrativas tendientes a i) garantizar que siempre que someta a Tratamiento datos personales de los Titulares cuente con autorización previa, expresa e informada y; ii) adopte e implemente las medidas de seguridad técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 32.2.4 Respecto del deber de cumplir con las instrucciones impartidas por la Sobre este deber el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “[c]umplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.

A su turno, el artículo 19 y los literales e) y f) del artículo 21 de la Ley 1581 de 2012 señalan: “ARTÍCULO

19. AUTORIDAD DE PROTECCIÓN DE DATOS. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

PARÁGRAFO 1 o. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la ejercer las funciones de Autoridad de Protección de Datos. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ”

PARÁGRAFO 2 o. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma. (…)

ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”. Preliminarmente, este Despacho evidenció que la sociedad FINSOCIAL S.A.S. no dio cumplimiento a la orden administrativa impartida mediante la Resolución No. 58200 del 22 de septiembre de 2020 al no eliminar los datos personales del Titular y continuar con el envío de mensajes comerciales y publicitarios a su número celular.

Al respecto, la investigada en descargos13 expresó que desde el 5 de octubre de 2020 dio cumplimiento a la orden administrativa impartida y que atendió todos los requerimientos y solicitudes de información de la Superintendencia de Industria y Comercio. En primer lugar, mediante la Resolución No. 58200 del 22 de septiembre de 2020 se impartió la siguiente orden administrativa a la investigada: “ARTÍCULO PRIMERO: Ordenar a la sociedad FINSOCIAL S.A.S. con el Nit.

No. 900.516.574-6 para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, elimine los datos personales, del señor xxxxxxxxxxxxxxxx xxxxxx, identificado con C.C. xxxxxxxxxx contenidos en sus bancos de información.

PARÁGRAFO PRIMERO: La sociedad FINSOCIAL S.A.S deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento mediante un Certificado expedido por el Jefe del Área Técnica y/o Área de Auditoría de la Organización el cual deberá ser remitido por el representante legal de la sociedad”.

Esta resolución fue notificada por aviso No. 25938 el 2 de octubre de 2020 a la sociedad FINSOCIAL S.A.S., a través de su representante legal, como obra en la certificación con radicado 19-29508600016 del 28 de octubre de 2020, que reposa en el expediente 19-295086, emitida en la Secretaría General Ad-Hoc de esta Superintendencia. Respecto de dicha resolución: (i) El término para interponer recurso de reposición y en subsidio de apelación fue hasta el 19 de octubre de 2020, quedando en firme la Resolución No. 25938 el 2 de octubre de 2020 el 13 de noviembre de 2020 dado que la investigada no interpuso recurso.

(ii) En razón a que dentro de los 5 días siguientes a la ejecutoria de la resolución en mención la investigada debía dar cumplimiento a lo ordenado, hasta el 26 de octubre de 2020 debió dar cumplimiento a la orden administrativa impartida. (iii) Luego de transcurridos los 5 días, dentro de los 5 días, es decir, hasta el 3 de noviembre de 2020 la investigada debía acreditar el cumplimiento de la orden administrativa.

Al respecto, la sociedad De acuerdo el análisis integral del acervo probatorio, este Despacho evidencia que la sociedad FINSOCIAL S.A.S. para acreditar el cumplimiento de la orden administrativa impartida, aportó el 5 de octubre de 2020 mediante la comunicación con radicado 19-295086-0001514 lo siguiente: (i) Certificación fechada del 5 de octubre de 2020 emitida por el Gerente de Operaciones de la sociedad FINSOCIAL S.A.S. (ver: imagen No. 6), en la cual indica que el Titular “no registra en nuestro sistema de cartera obligaciones vigentes ni saldos o cuentas por pagar (…).

No tiene ningún crédito en trámite con nuestra entidad”. 13 Obrantes en el radicado 21-90231-00037, página 4. 14 Comunicación obrante en el expediente 19-295086. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” (ii) Certificación fechada del 5 de octubre de 2020 del Auditor Interno de la sociedad FINSOCIAL S.A.S., en la cual hace constar que “se procedió con la eliminación de datos personales y bloqueo en nuestro sistema de la información del Sr. xxxxxxxxxxxxxxxxxxxxx (…)”.

Adicionalmente, la sociedad FINSOCIAL S.A.S. para acreditar que eliminó los datos del Titular conforme con lo ordenado por este Despacho, dentro de esta actuación administrativa aportó certificación fechada del 3 de diciembre de 2021 del Gerente de Riesgos de la sociedad FINSOCIAL S.A.S., con el cual aporta pantallazo de consulta de inexistencia de la información del Titular en las bases de datos de Clientes (ver: imágenes 4 y 5).

De acuerdo con lo anterior, hasta el 26 de octubre de 2020 la investigada debió dar cumplimiento a la orden administrativa impartida mediante la Resolución No. 58200 del 22 de septiembre de 2020 y hasta el 3 de noviembre de 2020 debió acreditar su cumplimiento; encontrándose demostrado que efectivamente acató la orden administrativa, ya que el Auditor Interno el 5 de octubre de 2020 acreditó que se eliminó de la base de datos de FINSOCIAL S.A.S. los datos personales del Titular, por lo cual hay lugar al archivo de este cargo.

TRIGÉSIMO TERCERO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La sociedad FINSOCIAL S.A.S. deberá abstenerse de someter a Tratamiento datos personales de Titulares respecto de quienes no cuente con la autorización previa, expresa e informada de los Titulares, así como debe abstenerse de transmitir a Encargados del Tratamiento datos personales de Titulares de la información de quienes no cuente con su autorización previa, expresa e informada.  La sociedad FINSOCIAL S.A.S. deberá revisar cada una de sus bases de datos con el fin de verificar que estén conformadas por datos personales respecto de los cuales de manera previa al Tratamiento se haya obtenido y conservado copia desu autorización previa, expresa e informada para el Tratamiento de sus datos personales conforme con la Ley 1581 de 2012 y el Decreto Reglamentario 1074 de 20125 y proceder a eliminar todos los datos personales respecto de los cuales no cuente con copia o soporte de la autorización previa, expresa e informada.  La sociedad FINSOCIAL S.A.S. deberá adoptar e implementar un manual interno de políticas de seguridad que cuente con las medidas técnicas, administrativas y humanas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales que someten a Tratamiento de los Titulares, de acuerdo con la Ley 1581 de 2012 y el Decreto Reglamentario 1074 de 2015, así como implementar capacitaciones periódicas dirigidas a sus trabajadores para que se dé cumplimiento a la Ley 1581 de 2012 y se protejan los datos personales de los titulares de la información en la compañía. De lo anteriormente ordenado la sociedad FINSOCIAL S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

TRIGÉSIMO CUARTO: Imposición y graduación de la sanción 34.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 15. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 15 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”17. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. 16 “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) 17 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2321 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.

Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 34.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 20 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 21Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”22. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados23.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad FINSOCIAL S.A.S. actuó negligentemente al recolectar y almacenar a través de un programa de referidos el número de celular del Titular sin contar con su autorización previa, expresa e informada y continuar con su Tratamiento hasta el 5 de octubre de 2020, por lo cual se impondrá una sanción pecuniaria equivalente a CUATROCIENTAS (400) UNIDADES DE VALOR TRIBUTARIO - UVT24 por la vulneración del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. 34.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), f) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo reconocimiento de los hechos materia de investigación y;

(v) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

TRIGÉSIMO QUINTO: CONCLUSIÓN Se procederá a imponer una sanción e impartir unas órdenes administrativas con fundamento en: (i) Se comprobó que la investigada infringió abiertamente el deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley. 22 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 23 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 24 Mediante Resolución 1264 de 2022 se fijó en $42.412 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2023.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ” (ii) Los pantallazos de los mensajes de texto y de WhatsApp son valoradas probatoriamente como pruebas indiciarias, de manera que a través de ellas se pueden demostrar hechos siempre que se valoren de forma conjunta con otras pruebas. (iii) El número de celular del Titular de la información es un dato de naturaleza semiprivada, por lo cual para su Tratamiento se requiere de la autorización previa, expresa e informada del Titular; no obstante, dentro del acervo probatorio no obra evidencia alguna de que la sociedad FINSOCIAL S.A.S. le haya solicitado autorización. (iv) Se probó que la investigada recolectó los datos personales del Titular a través de un programa de referidos, almacenando su información hasta el 5 de octubre de 2020, por lo cual sometió a Tratamiento los datos del Titular y no acreditó que contara con su autorización previa, expresa e informada.

Al respecto, cuando se recolectan datos personales a través de programas de referidos es deber del Responsable obtener y conservar la autorización previa, expresa e informada para que de forma directa y voluntaria el Titular dé consentimiento para el Tratamiento de su información personal. (v) Los Responsables deben realizar todos los actos tendientes a obtener la autorización para el Tratamiento de datos personales de los Titulares, a más tardar al momento de realizar la recolección de la información, independientemente del medio por el cual se recolecte y así mismo, conservar prueba de la autorización de conformidad con lo previsto en el 2.2.2.25.2.5 del Decreto Único 1074 de 2015.

Por ello, para el caso concreto, en cuanto los datos del Titular se recolectaron por parte de la investigada como referido de uno de sus clientes, ésta debió solicitarle al Titular su autorización previa, expresa e informada para el Tratamiento de sus datos. (vi) Se demostró que la sociedad FINSOCIAL S.A.S. acreditó el cumplimiento oportuno de la orden administrativa impartida mediante la Resolución No. 25938 el 2 de octubre de 2020 mediante la certificación del 5 de octubre de 2020 emitida por el Auditor Interno de la sociedad.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente A DIECISÉIS MILLONES NOVECIENTOS SESENTA Y CUATRO MIL OCHOCIENTOS PESOS M/CTE ($ 16.964.800), EQUIVALENTE A CUATROCIENTAS (400) UNIDADES DE VALOR TRIBUTARIO - UVT, por la violación del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

TRIGÉSIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, con el correo electrónico de notificación judicial notificaciones@finsocial.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

A su turno, se concedió el acceso al expediente al tercero interviniente con el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, quienes deben registrarse en CALIDAD DE PERSONA NATURAL, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php. Una vez registrados, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-90231.

La sociedad y el tercero interviniente son responsables de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requieren más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho, HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ”

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, de DIECISÉIS MILLONES NOVECIENTOS SESENTA Y CUATRO MIL OCHOCIENTOS PESOS M/CTE ($ 16.964.800), equivalente a CUATROCIENTAS (400) UNIDADES DE VALOR TRIBUTARIO - UVT, por la violación del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, que dentro del término de CUATRO (4) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones:  La sociedad FINSOCIAL S.A.S. deberá abstenerse de someter a Tratamiento datos personales de Titulares respecto de quienes no cuente con la autorización previa, expresa e informada de los Titulares, así como debe abstenerse de transmitir a Encargados del Tratamiento datos personales de Titulares de la información de quienes no cuente con su autorización previa, expresa e informada.  La sociedad FINSOCIAL S.A.S. deberá revisar cada una de sus bases de datos con el fin de verificar que estén conformadas por datos personales respecto de los cuales de manera previa al Tratamiento se haya obtenido y conservado copia desu autorización previa, expresa e informada para el Tratamiento de sus datos personales conforme con la Ley 1581 de 2012 y el Decreto Reglamentario 1074 de 20125 y proceder a eliminar todos los datos personales respecto de los cuales no cuente con copia o soporte de la autorización previa, expresa e informada.  La sociedad FINSOCIAL S.A.S. deberá adoptar e implementar un manual interno de políticas de seguridad que cuente con las medidas técnicas, administrativas y humanas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales que someten a Tratamiento de los Titulares, de acuerdo con la Ley 1581 de 2012 y el Decreto Reglamentario 1074 de 2015, así como implementar capacitaciones periódicas dirigidas a sus trabajadores para que se dé cumplimiento a la Ley 1581 de 2012 y se protejan los datos personales de los titulares de la información en la compañía.

PARÁGRAFO PRIMERO: La sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad FINSOCIAL S.A.S., identificada con NIT. 900.516.574-6, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes administrativas ”

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con la cédula de ciudadanía No. xx.xxx.xxxx, en su calidad de tercero interviniente, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co. - Sede Principal: Carrera 7 No. 31 A - 36, Piso 3 y 3A, en la ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 MAYO 2023 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente CARLOS ENRIQUE por CARLOS ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2023.05.31 14:42:38 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: FINSOCIAL S.A.S. Identificación: NIT 900.516.574-6 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxxx Dirección: Carrera 53 No. 80 – 198, piso 10, edificio Torre Atlántica25 Ciudad: Barranquilla, Atlántico Correo electrónico: notificaciones@finsocial.co Tercero interviniente: xxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx26 25 El nombre del edificio para notificaciones judiciales no obra en el certificado de existencia y representación legal; sin embargo, fue indicado por la investigada en la comunicación con radicado 21-90231-00037, página 4. 26 El denunciante no informó dirección física para notificaciones.