Resolución sancionatoria N° 43121 de 2024

(11 de octubre de 2024) “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. Radicación 21-259141 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que este Despacho, con ocasión de las múltiples denuncias interpuestas y de los hallazgos obtenidos en el curso de las visitas de administrativas de inspección, decidió abrir investigación a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT 900.352.786-5 por desconocer el deber que le asiste de garantizar el derecho de hábeas data, y de, solicitar y conservar copia de la respectiva autorización para el tratamiento de datos personales.

SEGUNDO: Que, la Constitución Política de Colombia artículo 15 exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y demás garantías consagradas en nuestro ordenamiento jurídico. El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1.

TERCERO: Que, la Ley 1581 de 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales” “tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma” 2.

CUARTO: Que, el Decreto Único Reglamentario 1074 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.

QUINTO: Que mediante Resolución 43121 del 31 de julio de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT. 900.352.786-5 de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a DIECISIETE MIL CUATROCIENTAS (17.400) Unidades de Valor Básico – UVB Vigentes para el año 2024 – Ley 1581 de 2012, artículo 3, literal g).

Ley 1581 de 2012, artículo 1. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. correspondientes a CIENTO NOVENTA MILLONES QUINIENTOS CUARENTA Y SIETE MIL CUATROCIENTOS PESOS (190.547.400)3, por la vulneración de lo dispuesto en: i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, ii) En el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

(…)

ARTÍCULO 2: IMPONER la sanción consistente en ordenar a la sociedad RISKS INTERNATIONAL S.A.S. identificada con NIT. 900.352.786-5, la suspensión de operaciones de recolección, uso, almacenamiento y circulación sobre la base de datos denominada SIRIEST, como Sistema de Información Compartido (SISCOM), hasta tanto demuestre ante esta Autoridad haber adoptado las siguientes medidas: 1.

Implementar un procedimiento para garantizar la calidad y la plena veracidad de los datos suministrados por sus suscriptores, respecto a los reportes que solicitan incluir en el historial del titular. Para ello, deberá prescindir de la utilización de novedades relacionadas con conductas delictivas, cuya presunción no haya sido desvirtuada ante las autoridades judiciales correspondientes. 2.

Desarrollar, implementar y mantener un procedimiento para atender todas las consultas y reclamos de los Titulares de la información, garantizando que estas sean atendidas de fondo e integralmente. 3. Implementar un mecanismo para obtener la autorización previa y expresa de todos y cada de los titulares cuyos datos serán objeto de tratamiento, informándoles la finalidad específica a la que será sometida su información, así como los derechos que les asisten en virtud de la autorización otorgada. 4.

Adoptar un procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular. 5. Desarrollar, implementar y poner a disposición de los titulares un manual que describa el procedimiento para la inclusión de reportes en la base de datos SIRIEST, así como el detalle de los respectivos registros. 6.

Desarrollar e implementar un manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales”.

SEXTO: Que la Resolución 43121 del 31 de julio de 2024 se notificó personalmente a SILVIA CATALINA ARCHILA REINA, en representación de la sociedad RISKS INTERNATIONAL S.A.S., el 01 de agosto de 2024, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 21-259141-72 del 09 de agosto de 2024.

SÉPTIMO: Que dentro del término concedido para el efecto, mediante escritos radicados bajo los números 21-259141-76 del 14 de agosto de 2024, 21- Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. 259141-77 del 14 de agosto de 2024, 21-259141-78 del 16 agosto de 2024, 21259141-79 del 16 de agosto de 2024, 21-259141-80 del 16 de agosto de 2024, 21-259141-82 del 17 de agosto de 2024, 21-259141-83 del 16 de agosto de 2024 y 21-259141-84 del 16 de agosto de 2024, la sociedad investigada, por medio de su apoderado especial, Doctor Nelson Remolina Angarita, interpuso recurso de reposición y en subsidio apelación contra la Resolución 43121 del 31 de julio de 2024.

OCTAVO: Que, mediante Resolución 48002 del 23 de agosto de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: ABRIR la etapa probatoria en el trámite del recurso de reposición, por el término de 10 (diez) días hábiles, contados a partir del día siguiente en que se comunique el presente acto administrativo a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT 900.352.786-5.

ARTÍCULO 2: NEGAR el decreto de la prueba consistente en instalar una audiencia pública, conforme a lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO 3: DECRETAR de oficio la prueba consistente en requerir a la OFICINA DE TECNOLOGÍA E INFORMÁTICA (OTI) y al GRUPO DE TRABAJO DE GESTIÓN DOCUMENTAL Y ARCHIVO, a efectos de que verifique e informe el estado de la recepción del correo electrónico remitido desde la dirección legal@risksint.com el 13 de febrero de 2024 al canal contactenos@sic.gov.co, bajo el asunto “alegatos de conclusión conforme a la Resolución 1241/2024.

Radicado 21-259141”, y, en caso de que proceda, solicitar la indexación al expediente 21-259141”. 8.1 En virtud de lo anterior, mediante oficios radicados bajo los números 21259141-91 y 21-259141-92 del 26 de agosto de 2024, se envió el requerimiento interno a la OFICINA DE TECNOLOGÍA E INFORMÁTICA (OTI) y al GRUPO DE TRABAJO DE GESTIÓN DOCUMENTAL Y ARCHIVO, respectivamente.

NOVENO: Que habiéndose practicado las pruebas decretadas en el trámite del recurso de reposición interpuesto, se harán las siguientes precisiones respecto a las previsiones del artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo: “ARTÍCULO 77. Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.

Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio.

Sólo los abogados en ejercicio podrán ser apoderados. Si el recurrente obra como agente oficioso, deberá acreditar la calidad de abogado en ejercicio, y prestar la caución que se le señale para garantizar que la “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. persona por quien obra ratificará su actuación dentro del término de dos (2) meses.

Si no hay ratificación se hará efectiva la caución y se archivará el expediente. Para el trámite del recurso el recurrente no está en la obligación de pagar la suma que el acto recurrido le exija. Con todo, podrá pagar lo que reconoce deber”. (énfasis añadido) Frente al cumplimiento de los requisitos establecidos en los numerales 1 y 2 de la norma en cita, se encuentra que el Doctor Nelson Remolina, en calidad de apoderado de la sociedad investigada, presentó (15) quince radicados4, entre escritos, pruebas, complementos, correcciones, solicitudes, adiciones etc., relacionados con la impugnación de la Resolución 43121 del 31 de julio de 2024, motivo por el que resulta imperioso recordar lo siguiente: Conforme a lo señalado en el artículo 3, parte resolutiva, de la mencionada Resolución “(…) contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación5” (se destaca).

Ahora bien, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 21-259141-72 del 09 de agosto de 2024, la Resolución 43121 de 2024 le fue notificada personalmente a la Representante Legal de la sociedad RISKS INTERNATIONAL S.A.S., el día 01 de agosto de 2024; razón por la cual, el término para interponer el recurso venció el 16 de agosto de 2024.

En este orden de ideas, en sujeción a las normas procedimentales aplicables, solo se abordarán los argumentos de inconformidad expuestos de manera concreta por el recurrente y dentro del término legal establecido. Por tanto, los siguientes escritos junto con sus anexos, presentados con posterioridad al vencimiento del término para la interposición del recurso NO serán tenidos en cuenta ni tampoco valorados por esta Dirección en el presente trámite.

Consecutivo 21-259141-85 21-259141- 86 21-259141-87 21-259141-96 21-259141-97 21-259141-99 21-259141-100 Fecha de radicación 21 de agosto de 2024 21 de agosto de 2024 21 de agosto de 2024 29 de agosto de 2024 29 de agosto de 2024 06 de septiembre de 2024 06 de septiembre de 2024 9.1 De la base de datos SIRIEST, como herramienta para la prevención del lavado de activos y la prevención de la financiación del terrorismo.

Al respecto, manifestó el recurrente que “La SIC confunde las bases de datos expresamente excluídas (sic) en el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012, con los sujetos obligados a cumplir la resolución 074854 de 2016 de la Superintendencia de Puertos y Transporte. Para la ley 1581 de 2012 no es relevante quien crea o presta el servicio de bases de datos o archivos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.

Dicha ley solo define “Base de Datos” como “conjunto organizado de datos personales que sea objeto de Tratamiento”, pero no exige que esos servicios los preste Expediente 21-259141, consecutivos 76, 77, 78, 79, 80, 82, 83, 84, 85, 86, 87, 96, 97, 99 y 100. De conformidad con lo establecido por el artículo 76 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. determinadas empresas o entidades públicas.

Lo importante para la citada ley es que se trate de una base de datos o archivo para la mencionada finalidad. Por eso, es contrario a la ley que la SIC concluya que, en el presente caso, no aplica la excepción literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012 porque RISKS INTERNATIONAL S.A.S no es una empresa supervisada por la Superintendencia de Puertos y Transporte.

En otras palabras, la SIC está modificando una ley estatutaria al crear una excepción a lo dispuesto en el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012. La ley Estatuaria no hace ninguna distinción sobre esa excepción, pero la SIC si lo hace atribuyéndose facultades de legislador que le corresponden al Congreso de la República.

El argumento de la SIC es abiertamente ilegal porque no se ajusta a lo que dice el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012. Adicionalmente, la interpretación de la SIC está estructurada a partir de una valoración subjetiva totalmente alejada al citado mandato legal, que, por si misma, no se predica de su texto y que, por tanto, carece de total validez jurídica.

Por ende, el acto administrativo fruto de esta interpretación es ilegal. Así las cosas, si estamos en un estado de derecho, lo procedente es que la SIC revoque totalmente la resolución 43121 de 2024. Temas tan serios e importantes, como la excepciones al ámbito de aplicación de la Ley Estatutaria 1581 de 2012, no pueden ser objeto de interpretaciones muy extrañas que notoriamente desconocen lo ordenado por el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012.

Respetuosamente recordamos un principio general de interpretación jurídica según el cual en donde la ley no distingue, no le es dado al intérprete hacerlo. Principio que en este caso resulta plenamente aplicable. Si el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012 no exige para su aplicación que determinados sujetos presten servicio de bases de datos o archivos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo, pues no le corresponde a la SIC crear, vía interpretación, una excepción a un mandato legal.

(…) El artículo 2, literal b), de la ley 1581 de 2012 establece una exclusión específica para los servicios de bases de datos o archivos cuya finalidad sea la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo. Esta exclusión es clara en su redacción y no contempla requisitos adicionales para que el sujeto que presta estos servicios esté supervisado por la Superintendencia de Puertos y Transporte.

En este contexto, la Superintendencia de Industria y Comercio (SIC), mediante la resolución 43121 de 2024, ha introducido una interpretación que limita la aplicación del literal b) del artículo 2 al establecer que solo las empresas supervisadas por la Superintendencia de Puertos y Transporte pueden prestar estos servicios. Esta interpretación, que crea una excepción no prevista por el legislador, constituye una modificación sustancial del alcance de la ley estatutaria.

Al imponer una condición no prevista en la Ley Estatutaria 1581 de 2012, la SIC está, de facto, modificando la ley, lo que excede sus facultades constitucionales y legales. Esta actuación no solo vulnera el principio de legalidad, sino que también afecta el equilibrio de poderes, al invadir competencias que corresponden exclusivamente al poder legislativo.

En suma, la SIC está modificando la Ley Estatutaria 1581 de 2012 al crear una excepción al literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012. Dicho literal aplica sin que sea necesario que el sujeto que presta servicios de bases de datos o archivos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo, sea una empresa supervisada por la Superintendencia de Puertos y Transporte”.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. En primer lugar, es indispensable partir de que la base de datos denominada SIRIEST-SISCOM funciona como una herramienta de almacenamiento, uso y circulación de información personal, es decir, a través de ella se realizan actividades de tratamiento de datos personales.

Sobre esto, el Estatuto General de Protección de Datos, en su artículo 2° señaló que “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”; a su vez, el artículo 19 ídem, estableció que “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

Sin embargo, la sociedad investigada ha argumentado que ese tratamiento se encuentra exceptuado de las disposiciones de la Ley 1581 de 2012, en virtud de la finalidad para la cual fue creada la mencionada herramienta. A partir de ello, este Despacho considera oportuno traer a colación la regulación existente en torno a la prevención del lavado de activos y financiación del terrorismo, y la proliferación de armas de destrucción masiva: Así, de acuerdo con las definiciones entregadas por la Resolución 74854 del 21 de diciembre de 2016, expedida por la Superintendencia de Puertos y Transporte el “control de riesgo de LA/FT-PADM: comprende la implementación, procesos, prácticas u otras acciones existentes que actúan para minimizar el riesgo LA/FTPADM”.

A su turno, el concepto de financiación del terrorismo deriva en el “delito que comete toda persona que incurra en alguna de las conductas descritas en el artículo 345 del Código Penal, modificado por el artículo 16 de la Ley 1453 de 2011”, igualmente el lavado de activos es “el delito que comete toda persona que busca dar apariencia de legalidad a bienes o dinero proveniente de alguna de las actividades descritas en el artículo 323 del Código Penal, modificado por el artículo 33 de la Ley 1474 de 2011, modificado por el artículo 11 de la Ley 1762 de 2015” además, según la UIAF6 “Es la modalidad mediante la cual organizaciones criminales buscan dar apariencia de legalidad a recursos fruto de sus actividades ilícitas.

En otras palabras, es el proceso de hacer que “dinero contaminado” parezca limpio, permitiendo que los delincuentes y organizaciones criminales obtengan beneficios”. De ahí que es necesario citar la referida normatividad, a efectos de determinar cuáles son las conductas que se encuentran ligadas a la mitigación de riesgos del LA/FT-PADM, perseguida por el SIPLAFT7: Financiación del terrorismo y de grupos de delincuencia organizada y administración de recursos relacionados con actividades terroristas y de la delincuencia organizada: artículo 345 de la Ley 599 de 2000: ”El que directa o indirectamente provea, recolecte, entregue, reciba, administre, aporte, custodie o guarde fondos, bienes o recursos, o realice cualquier otro acto que promueva, organice, apoye, mantenga, financie o sostenga económicamente a grupos de delincuencia organizada, grupos armados al margen de la ley o a sus integrantes, o a grupos terroristas nacionales o extranjeros, o a terroristas nacionales o extranjeros, o a actividades terroristas (…)” Lavado de activos: artículo 323 de la Ley 599 de 2000: “El que adquiera, resguarde, invierta, transporte, transforme, almacene, conserve, custodie o administre bienes que tengan su origen mediato o inmediato en actividades de tráfico de migrantes, trata de personas, extorsión, enriquecimiento ilícito, secuestro extorsivo, rebelión, tráfico de armas, tráfico de menores de edad, financiación del terrorismo y administración de recursos relacionados con actividades terroristas, tráfico de drogas tóxicas, estupefacientes o sustancias sicotrópicas, delitos contra el sistema financiero, delitos contra la administración Unidad de Información y Análisis Financiero, adscrito al Ministerio de Hacienda y Crédito Público.

Es un Sistema Integral para la Prevención y Control del Lavado de Activos, la Financiación del Terrorismo y el Financiamiento de la Proliferación de Armas de Destrucción Masiva. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. pública, contrabando, contrabando de hidrocarburos o sus derivados, fraude aduanero o favorecimiento y facilitación del contrabando, favorecimiento de contrabando de hidrocarburos o sus derivados, en cualquiera de sus formas, o vinculados con el producto de delitos ejecutados bajo concierto para delinquir, o les dé a los bienes provenientes de dichas actividades apariencia de legalidad o los legalice, oculte o encubra la verdadera naturaleza, origen, ubicación, destino, movimiento o derecho sobre tales bienes”.

En este contexto, es claro que el ordenamiento jurídico colombiano ha tipificado unas conductas que son consideradas delitos fuente o conexos al lavado de activos y a la financiación del terrorismo. Ahora bien, retomando el caso bajo examen, este Despacho a lo largo de las inspecciones realizadas la investigada pudo establecer que la base de datos SIRIEST posee un doble componente, concluyendo respecto de aquel denominado SIPLAFT que “(…) es un motor de búsqueda que consolida información obtenida de fuentes de registros públicos tales como: i) Página de la Procuraduría General de la Nación, ii)FOSYGA, iii) Registraduría Nacional del Estado Civil, iv) ONU, v) SIMIT, entre otros”8 indagación que, de acuerdo con lo informado por la misma sociedad, permite a las empresas obligadas hacer la comprobación de antecedentes y por tanto, acreditar el conocimiento de sus clientes, proveedores, asociados, y sobre la cual NO recayó la acción investigadora de esta Superintendencia. Fue el componente denominado SIRIEST-SISCOM, cuyo uso es principalmente intercambiar o compartir información entre los suscriptores y usuarios de RISKS INTERNATIONAL S.A.S., respecto al que se adoptaron las decisiones que hoy se recurren.

De manera que en ese proceso operativo, se evidenció el tratamiento de datos personales con las siguientes conclusiones: 1. Algunos registros no guardan una relación directa con la prevención del lavado de activos, véanse las novedades de “presunta apropiación e incumplimiento de inicio de viaje”, “presunto incumplimiento en el cargue de mercancía”, “presunto incumplimiento por falta de entrega por accidente de tránsito”, por citar algunos ejemplos. 2.

Otros, atribuyen la comisión de un hecho delictivo que no ha sido comprobado ante los jueces de la República, Vgr. “supuesto incumplimiento de contrato mediante hurto”, “supuesto incumplimiento de contrato mediante abuso de confianza”, “supuesta detención o captura”, “supuesto perteneciente a GAILS” etc. 3. La reglamentación de la Superintendencia de Puertos y Transporte obliga a las empresas transportadoras de carga a implementar las políticas para la prevención del LA/FT, no así la sociedad RISKS INTERNATIONAL S.A.S., quien so pretexto de proveer una herramienta en desarrollo de su objeto mercantil, vulnera derechos fundamentales de los transportadores de carga, razón suficiente para sustentar la necesidad de ajustar sus procesos y que estos sean compatibles con el respeto a las normas de protección de datos personales.

Es así como, por expreso mandato legal, la Superintendencia de Industria y Comercio ha sido investida de ciertas facultades que le permiten ejercer su rol como autoridad de protección de uno de esos derechos fundamentales, el de hábeas data y, con ello velar por el cumplimiento de la legislación expedida sobre la materia. En este contexto, también es claro que nuestra legislación contempló en el parágrafo del artículo 2° de la Ley 1581 de 2012 que “Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo (…)”; de manera que si, solo en gracia de discusión, se admitiera la excepción, no exclusión, alegada por el recurrente, en todo caso también sería procedente revisar el tratamiento de los datos por la Resolución 43121 del 31 de julio de 2024, folio 19.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. sociedad RISKS INTERNATIONAL S.A.S. en armonía con los principios rectores que esa norma estableció. Así, encontramos que el literal b) del artículo 4 señala que “el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”, supuesto normativo cuya observancia se echa de menos en esta causa, pues se reitera, el uso de la base de datos SIRIESTSISCOM dado por la sociedad RISKS INTERNATIONAL S.A.S. es la inclusión de información exclusivamente negativa, la cual además se erige como un factor discriminatorio a los conductores, finalidad que tampoco les ha sido informada previamente.

De manera pues que, aun cuando las pruebas arrimadas con el recurso permiten demostrar que la sociedad RISKS INTERNATIONAL S.A.S. ha prestado servicios a clientes de diferentes sectores, bajo la premisa de contribuirles con el manejo de riesgos, no podría entenderse con ello que las certificaciones emitidas, por vía directa validen el menoscabo a los derechos de los titulares, ocasionado con los reportes que desconocen entre otros, los principios de finalidad, veracidad, confidencialidad y calidad de la información. Entonces, es a esta autoridad a quien le ha sido encomendada la labor de establecer si las novedades (datos personales) reportadas en la base de datos SIRIEST, como sistema de información compartido, se ajustan a los postulados y los principios que la normatividad contempla.

Es este punto es relevante citar lo que advertido por la Superintendencia Delegada para la Protección de Datos Personales, mediante Resolución 34913 de 2020, en referencia a la inclusión de información exclusivamente negativa asociada a los titulares, en los términos que a continuación se citan: “La expresión “lista negra”9utilizada por la recurrente en su base de datos, se ha vinculado a la recopilación de datos exclusivamente desfavorable sobre las personas.

(se destaca) De entrada, se asocian esas listas para usos meramente negativos, discriminatorios o ilegales. En este sentido, la Corte Constitucional señaló, entre otras, lo siguiente en la Sentencia T-987 de 2012: “Como se explicó en precedencia, la jurisprudencia constitucional ha fijado una prohibición general para la conformación de listas de información personal con consecuencias exclusivamente desfavorables para el titular del dato, en tanto esa práctica configura un ejercicio abusivo y desproporcionado de la facultad legal de administración de datos personales”.

Y, en ese caso, la Corte concluyó que ese tipo de listas: “(ii) es abiertamente contraria al derecho al hábeas data, en la medida en que fueron omitidos los deberes que se derivan de los principios de libertad, incorporación y finalidad, así como se desconoció la prohibición de confección de registros de datos personales destinados exclusivamente a imponer consecuencias desfavorables al titular del dato”.

En tal sentido, se sentaron las siguientes consideraciones: “En virtud de lo anterior, en esa sentencia la Corte puso de presente que la creación de ese tipo de listas es una práctica abusiva en materia de Tratamiento de datos. En esa sentencia, se analizaron, entre otros, los “Esta Delegatura se suma a lo expresado en la nota de pie de página número 35 de la Sentencia T-978 de 2012 respecto de la expresión “listas negras”: Podría considerarse válidamente que esta expresión pudiese ser vinculada con algún factor de índole racial, lo que de suyo generaría una evidente discriminación, en tanto referiría el concepto “negro” con información desfavorable.

No obstante, lo anterior, también debe resaltarse que la doctrina comparada ha utilizado uniformemente el concepto de “listas negras” o su par en idioma ingles blacklisting, para denominar la recopilación de información sobre datos exclusivamente desfavorables para el titular. Ante esta denominación y los problemas constitucionales que podría plantear desde determinada perspectiva, la Sala prescindirá de hacer uso de la expresión listas negras, salvo que se trate de citaciones de documentos que hagan uso de esa expresión. Por supuesto, esas citaciones no podrán en modo alguno comprenderse como el desconocimiento, por parte de la Corte, de las válidas preocupaciones que genera esa denominación”.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. siguientes temas: 1) registros de información exclusivamente desfavorables; 2) los principios de habeas data como límite al Tratamiento de datos personales, y 3) prácticas abusivas en la administración de datos personales. Los registros de información exclusivamente desfavorables10 no fueron aceptados por la Corte por ser utilizados para fines ilegales, discriminatorios y oscuros.

(énfasis añadido) Obsérvese que desde la década de los noventa la Corte Constitucional ha rechazado este tipo de listas o registros por, entre otras, las siguientes razones: En primer lugar, violan “las garantías constitucionales establecidas por el Estado Social de Derecho”11 pues, en ciertas ocasiones, están destinadas a “intimidar a las personas, o a amenazarles, o a hacerlas victimas (sic) de referencias, o de las llamadas “listas negras”12.

En segunda medida, son un instrumento de indebida represión, persecución o coerción contra las personas13. Finalmente, la creación de dichas listas o registros son una práctica abusiva en la administración de datos personales porque “desvirtúan la finalidad constitucionalmente legitima de los procesos de administración de datos personales”14.

Para la Corte, esta práctica vulnera los derechos del debido proceso y el habeas data, razón por la cual la eliminación de esta base de datos debe hacerse de tal forma que no sea posible su consulta “física o electrónica en el futuro”. Varias razones motivaron la decisión de la Corte: i. Está prohibido la conformación de listas “de información personal con consecuencias exclusivamente desfavorables para el Titular del dato, en tanto esa práctica configura un ejercicio abusivo y desproporcionado de la facultad legal de administración de datos personales”15. ii.

La inclusión de los datos personales en ese tipo de listas es contraria al principio de libertad porque no se tenía autorización del Titular del dato para incluirlo en ese tipo de listas. iii. Desconoce el principio de finalidad y legalidad, ya que, se usaron datos de un ciudadano para propósitos no autorizados por el Titular del dato y proscritos por la regulación”.

Bajo estos lineamientos, es evidente que la conformación de bases de datos de reportes que atribuyen la comisión de un hecho delictivo16 v.gr. hurto, abuso de confianza, apropiación de anticipo o la pertenencia a un grupo ilegal a un ciudadano no es otra cosa que la abierta y flagrante vulneración de su derecho de hábeas data como titular de esa información, además de desconocer otros como la presunción de inocencia y debido proceso.

Finalmente, se observa que los conceptos aportados con el recurso, emitidos por las distintas dependencias de la Superintendencia de Industria y Comercio solo ratifican lo expresado en la norma de protección de datos personales, frente a la finalidad contemplada en el literal b) del artículo 2 de la Ley 1581 de 2012 “La Corte también ha proscrito por considerarlas prácticas abusivas “(i) la confección de “listas negras”, que se restringen a incluir datos comerciales y financieros negativos;

(ii) el uso coercitivo de los reportes de riesgo para obtener el pago de las obligaciones dinerarias, pretermitiéndose los procedimientos de los instrumentos de ejecución previstos en la ley; y (iii) de manera general, el uso indiscriminado de los reportes de riesgo como instrumento para la exclusión in limine del acceso a los productos financieros y de crédito”.

(Corte Constitucional, Sentencia C-1011 de 2008)”. Corte Constitucional, Sentencia T-987 de 2012. M.P. Dr. Luis Ernesto Vargas Silva. Corte Constitucional, Sentencia T-34 de 1995. Corte Constitucional, Sentencia T- 761 de 2004. Corte Constitucional, Sentencia C-1011 de 2008. Corte Constitucional, Sentencia T-987 de 2012. De acuerdo con lo tipificado por los artículos 239, 249 y 467 de la Ley 599 de 2000, Código Penal Colombiano. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. y en la aplicación de los principios de la mencionada ley, incluso, a las bases de datos exceptuadas como garantías mínimas de protección del habeas data.

Así, en ninguna de las comunicaciones citadas se hace referencia a algún caso en particular ni dirime controversias con idéntico sustento fáctico al de la presente investigación administrativa de carácter sancionatorio; razón para no detenernos a hacer pronunciamientos adicionales. 9.2 La SIC no ha tratado de manera discriminatoria a la sociedad RISKS INTERNATIONAL S.A.S. Expresa el recurrente que “En el presente caso, la Superintendencia de Industria y Comercio (SIC) ha violado el numeral 2 del artículo 3 del CPACA al dar un trato discriminatorio a RISKS INTERNATIONAL SAS en comparación con otra empresa que prestan servicios de bases de datos para la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.

La SIC sancionó a RISKS INTERNATIONAL SAS bajo el argumento de que esta empresa no está excluida del ámbito de aplicación de la Ley 1581 de 2012 porque no está vigilada por la Superintendencia de Puertos y Transporte. Sin embargo, mediante el Oficio 24-37401-5-0 de la Dirección de Investigaciones de la Delegatura de Protección de Datos de la SIC, la misma entidad se abstuvo de iniciar una investigación sancionatoria contra otra empresa, RISK CONSULTING COLOMBIA SAS, que también maneja una base de datos con los mismos fines, y que tampoco está vigilada por la Superintendencia de Puertos y Transporte (…)”.

Respecto a estos argumentos debe destacarse que el oficio radicado bajo el número 24-37401-5 corresponde al trámite de una petición en la que se solicitó conocer el estado de un proceso a cargo de esta Dependencia. En ese sentido, en la respuesta entregada al peticionario se indican con precisión los hechos y particularidades que rodearon la respectiva actuación administrativa.

Por tanto, no se avizoran elementos que permitan concluir que la Dirección de Investigaciones de Protección de Datos Personales adoptó una decisión en la que discrimine a la sociedad RISKS INTERNATIONAL S.A.S. 9.3 La SIC no ha vulnerado la libertad de empresa de la sociedad RISKS INTERNATIONAL S.A.S. En este punto, se señala en el recurso que “el artículo 333 de la Constitución Política de Colombia consagra el principio de libertad económica y de empresa, estableciendo que todas las personas tienen derecho a desarrollar actividades económicas, sin más limitaciones que las que establezcan la ley y la Constitución. Este principio es un pilar fundamental del orden económico en nuestro país, garantizando que las empresas puedan operar y competir en igualdad de condiciones, siempre que respeten las normativas vigentes.

En el caso bajo análisis, la Superintendencia de Industria y Comercio (SIC), a través de la resolución 43121 de 2024, ha introducido una restricción que no se encuentra contemplada en la Ley Estatutaria 1581 de 2012. En el numeral 8.2.1.2 de la página 18 de dicha resolución, la SIC exige que solo las empresas supervisadas por la Superintendencia de Puertos y Transporte pueden prestar ciertos servicios relacionados con la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo.

Esta interpretación, al limitar el acceso al mercado únicamente a las empresas supervisadas por dicha Superintendencia de Puertos y Transporte, está imponiendo una restricción adicional que no fue prevista por el legislador. Dicha restricción vulnera directamente el artículo 333 de la Constitución, ya que limita de manera indebida la libertad de empresa de aquellos actores que, sin estar supervisados por la Superintendencia de Puertos y Transporte, cumplen con los requisitos legales para operar en el mercado.

Al imponer esta exigencia, la SIC restringe injustificadamente la competencia, afectando a otras empresas que podrían legítimamente participar en la prestación de estos servicios. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. Es importante resaltar que cualquier limitación a la libertad económica y de empresa debe estar expresamente establecida por la ley, y no puede ser creada o ampliada por una autoridad administrativa mediante interpretaciones que alteren el alcance de las normas vigentes.

Al exceder sus facultades interpretativas y añadir requisitos que no están contemplados en la ley, la SIC está invadiendo competencias que corresponden exclusivamente al poder legislativo, lo cual contraviene el principio de separación de poderes y afecta la seguridad jurídica. En síntesis, la SIC ha violado el artículo 333 de la Constitución al limitar la libertad de empresa mediante la resolución 43121 de 2024 porque en el numeral 8.2.1.2 de la página 18 de la citada resolución está exigiendo que solo las empresas supervisadas por la Superintendencia de Puerto y Transporte pueden prestar el servicio excluído (sic) en el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012”.

Para el efecto, se citará la norma en mención: “ARTICULO 333. La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley. La libre competencia económica es un derecho de todos que supone responsabilidades.

La empresa, como base del desarrollo, tiene una función social que implica obligaciones. El Estado fortalecerá las organizaciones solidarias y estimulará el desarrollo empresarial. El Estado, por mandato de la ley, impedirá que se obstruya o se restrinja la libertad económica y evitará o controlará cualquier abuso que personas o empresas hagan de su posición dominante en el mercado nacional.

La ley delimitará el alcance de la libertad económica cuando así lo exijan el interés social, el ambiente y el patrimonio cultural de la Nación”. (subraya fuera de texto) Como se observa, la libertad de empresa, consagrada por nuestra Carta Política en su artículo 333, ha sido concebida como una garantía constitucional que se materializa en la facultad para llevar a cabo actividades económicas dirigidas a incrementar el patrimonio de una persona.

Sin embargo, esa prerrogativa no es absoluta y puede tener como limitantes otros derechos de superior jerarquía, establecidos en ese mismo cuerpo normativo, se trata de los derechos fundamentales. Dentro de esa categoría, se encuentra el derecho de hábeas data, contenido en el artículo 15 Superior, cuya garantía debe ser vigilada por esta autoridad conforme a lo dispuesto por el artículo 19 de la Ley 1581 de 2012.

“ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. La correspondencia y demás formas de comunicación privada son inviolables.

Sólo pueden ser interceptadas o registradas mediante orden judicial, en los casos y con las formalidades que establezca la ley. Para efectos tributarios o judiciales y para los casos de inspección, vigilancia e intervención del Estado podrá exigirse la presentación de “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. libros de contabilidad y demás documentos privados, en los términos que señale la ley”.

En consonancia con lo anterior y luego de apreciadas las pruebas recolectadas en esta instancia, se puede colegir que la actividad empresarial de la sociedad RISKS INTERNATIONAL S.A.S. desconoce el derecho fundamental de hábeas data de los titulares cuya información es objeto de tratamiento, por tanto, es función de la Superintendencia de Industria y Comercio tomar las acciones necesarias a fin de evitar que se siga conculcando ese derecho.

Al respecto, sostuvo la Corte Constitucional, en Sentencia C-1011 de 200817, que: “Para el análisis de este precepto conviene recordar que la Constitución, tanto en su parte dogmática como en su parte orgánica (Arts. 333, 334 y 335), configuró un Estado con amplias facultades de intervención en la economía, las cuales se materializan mediante la actuación concatenada de los poderes públicos.

Una de las expresiones de estas facultades es el denominado poder de policía administrativa en materia económica, cuyo ejercicio supone, por una parte, la actuación del Congreso de la República, pero también la actividad de entidades que hacen parte de la Administración, las cuales ejercen las funciones de inspección, vigilancia y control, a cargo del poder ejecutivo, sobre las actividades o agentes económicos.

(…) Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático”.

Conforme a todo lo expuesto, se ratifica lo señalado por el Superintendente Delegado para la Protección de Datos Personales, mediante Resolución 17116 del 31 de marzo de 202218, como se cita: “El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.

De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas. En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política.

Así, su artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho Sentencia C-1011 del 16 de octubre de 2008. M.P. Dr. Jaime Córdoba Triviño Resolución 17116 de 2022 “Por la cual se resuelve un recurso de apelación”. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”.

“bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

(se destaca) El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley”. 9.4 La SIC no ha violado los artículos 114, 121, 150, 152 y 153 de la Constitución. Expone el recurrente en este punto que “La Superintendencia de Industria y Comercio, en su rol como autoridad administrativa, tiene la facultad de interpretar y aplicar la ley en el ámbito de sus competencias.

No obstante, esta facultad interpretativa tiene límites claros y precisos. La SIC no puede, mediante interpretaciones administrativas, modificar o alterar el contenido de una ley estatutaria, ya que esto equivaldría a un acto de legislación, función que, conforme a la Constitución Política de Colombia, es exclusiva del Congreso de la República.

(…) La SIC vía interpretativa modificó el literal literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012, al concluir en el numeral 8.2.1.2 de la página 18 de la resolución 43121 de 2024 que la SIC, no la ley 1581 de 2012, exige que solo las empresas supervisadas por la Superintendencia de Puerto y Transporte pueden prestar el servicio excluído en el precitado literal.

(…) Al actuar de esta manera, la SIC ha excedido claramente los límites de sus competencias. Como autoridad administrativa, la SIC está facultada para interpretar y aplicar las normas dentro del marco que le confiere la ley, pero no para modificarlas. La función de interpretación debe ser ejercida de manera que respete el espíritu y la letra de la ley, sin introducir requisitos adicionales o alterar su contenido esencial.

Cuando la SIC impone, mediante interpretación administrativa, condiciones que no se encuentran en la ley, está usurpando una función que corresponde exclusivamente al legislador, lo cual constituye una violación del principio de separación de poderes y del artículo 121 de la Constitución”. En relación con lo anterior, es claro que fue precisamente el órgano legislador quien a través de la Ley Estatutaria de Protección de Datos Personales, 1581 de 2012, facultó a la Superintendencia de Industria y Comercio en los artículos 19, 21 y 22 para velar por el respeto de los principios, derechos, garantías y procedimientos previstos sobre la materia e imponer las sanciones una vez establezca el incumplimiento de estos por parte de los sujetos obligados.

Por “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. tanto, en el marco de sus funciones puede determinar las conductas que resultan violatorias a la norma de protección de datos, sin que ello comporte el desconocimiento de sus atribuciones. De ahí que la Corte Constitucional, por medio del control previo y automático efectuado sobre la Ley 1581 de 2012, determinara, en relación con el principio de tipicidad, que “No se vulnera cuando la falta o infracción está descrita de manera específica y precisa, o sea determinable”19.

Adicionalmente, consideró esa Corporación respecto a la imposición de sanciones por parte de esta autoridad en su rol de garante del derecho de hábeas data financiero, mediante Sentencia C-1011 de 2008, que: “A través de esta técnica de remisión es posible definir los elementos básicos de la conducta típica sujeta a sanción de multa, por lo que a juicio de la Corte, el supuesto de hecho consistente en “violación de la ley” concordado con los artículos 7, 8 y 9 de la norma estatutaria, respeta los contenidos de los principios de reserva legal, legalidad y tipicidad, con el alcance que la jurisprudencia le ha dado a los mismos en el ámbito del derecho administrativo sancionador.

En efecto, el tipo se complementa con disposiciones contendidas en la propia ley, es consecuente con los atributos de previa, estricta y precisa del principio de legalidad, en la medida que, como se indicó, la descripción específica y precisa se obtiene a partir de la concordancia del artículo 18 con otras disposiciones que señalan los deberes objeto de la infracción y se presenta una correlación entre esa infracción y la sanción de multa.

(…) La remisión que hace el párrafo segundo del artículo 18, a través de estas expresiones se fundamenta, en cualquier caso, en la violación de los preceptos que integran la ley estatutaria, los cuales son desarrollados y especificados en sus aspectos puntuales, técnicos y específicos, bien por el legislador reglamentario o por las Superintendencias, en ejercicio de su función de vigilancia. En este caso, no resulta acertado predicar que existe una vulneración del principio de tipicidad sancionatoria, puesto que las sanciones se podrán imponer sólo por violación de la normatividad estatuaria, la cual, como se indicó anteriormente, constituye una hipótesis objeto de especificación a través de la interpretación sistemática de los distintos preceptos de la ley, que imponen deberes y obligaciones a operadores, fuentes y usuarios.

Es claro que tanto las normas reglamentarias como las órdenes e instrucciones que impartan las Superintendencias, están limitadas por el contenido de dichos deberes y obligaciones. Por ende, la inclusión de esos preceptos como parte del parámetro de identificación de la falta no viola los principios de tipicidad y legalidad predicables de la misma”.

(subraya fuera de texto original) En este orden de ideas, es compatible con nuestro ordenamiento jurídico la interpretación que hace esta Dirección de los deberes que les asisten a los Responsables del tratamiento de datos personales, en concordancia con los principios rectores que orientan esa actividad y las disposiciones que, para el efecto, señaló el Gobierno Nacional.

De modo que, el análisis realizado sobre el argumento aludido por la investigada y su apoderado para eximirse del cumplimiento de la Ley, en virtud de una finalidad que es contraria a la misma, no implica incorporar requisitos adicionales a aquellos exigidos por la normativa, y en consecuencia una extralimitación de competencias, sino que por el contrario se trata de la comprobación articulada de las disposiciones que conforman íntegramente el cuerpo normativo, de manera que se dé cabal cumplimiento a la labor encomendada a esta autoridad como garante de un derecho de carácter fundamental.

Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. 9.5 De la caducidad de la facultad sancionatoria De acuerdo con lo expuesto en el recurso “(…) el numeral 1.1. de la resolución 43121 del 31 de julio de 2024 fue expedida con ocasión de una investigación que surgió como fruto de una queja radicada ante la SIC el 29 de junio de 2021 bajo el número 21-259141-0-01.

Esa resolución fue notificada el 1 de agosto de 2024. Teniendo en cuenta que la SIC tuvo conocimiento de los hechos materia de sanción el 29 de junio de 2021, el término para imponer la sanción caducaba el 29 de junio de 2024. La resolucin (sic) en comento fue expedida el 31 de julio y notificada el 1 de agosto de 2024, luego fue expedida y notificada extemporáneamente.

Por ende, en el presente caso caducó la facultad sancionatoria de la SIC”. En primer lugar, se hace necesario citar los otros apartes de la consideración primera de la Resolución 43121 del 31 de julio de 2024, a través de la cual, si bien se hizo referencia en el numeral 1.1, a la puesta en conocimiento de unos hechos infractores por la Asociación de Transportadores de Carga-ATC, en el numeral 1.1.2 también se dejó claridad de lo siguiente: “Que con el propósito de dilucidar los hechos advertidos por el denunciante, la Dirección de Investigaciones de Protección de Datos, de manera oficiosa llevó a cabo unas visitas administrativas en la dirección de notificación judicial de la sociedad RISKS INTERNATIONAL S.A.S., los días 19 de agosto de 2021 y 16 de marzo de 2023, tal como consta en las actas suscritas para el efecto, obrantes en los radicados 21-259141-5 del 23 de agosto de 2021 y 21-259141- 23 del 22 de marzo de 2023, respectivamente”.

(negrilla adicionada) Conforme a lo advertido, se puede concluir que cuando menos hasta el 16 de marzo de 2023, fecha en la cual se llevó a cabo la más reciente visita de inspección, la sociedad RISKS INTERNATIONAL S.A.S. se encontraba realizando un indebido tratamiento de datos personales en la base de datos SIRIEST-SISCOM, razón por la cual, esa fecha debe tomarse como referencia para iniciar el cómputo de caducidad de la facultad sancionatoria otorgada a la los hallazgos de la visita, que a su vez constituyeron parte del sustento de la decisión que se recurre, esta autoridad gozaba de facultades para expedir el acto administrativo 43121 del 31 de julio de 2024, por encontrarse dentro de los tres (3) años contemplados en la norma procesal administrativa. 9.6 Frente al sustento de la formulación de cargos Expone el recurrente respecto al acto de formulación de cargos, que “En la parte motiva se citan varios titulares de datos, pero en la parte resolutiva no se precisa respecto de cuales de ellos se infringieron las normas citadas en el artículo 1 de la resolución 54534.

Esto es esencial especificarlo no sólo porque lo exige la ley, sino porque le permite al investigado defenderse ya que no son iguales las situaciones de todos los titulares de los datos. No especificar los nombres de los titulares en la parte resolutiva sería tanto como si la Fiscalía formulara cargos de homicidio en abstracto sin especificar el nombre de la persona víctima de ese delito.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. La falta de precisión y claridad en este aspecto cerró las puertas para que RISKS INTERNATIONAL SAS pudiese defenderse sobre casos concretos, y las abrió para que la sanción sea igual de general y abstracta como la formulación de cargos. (…) El artículo 47 del CPACA busca evitar precisamente este tipo de situaciones, garantizando que las personas afectadas por una sanción administrativa conozcan con claridad los cargos en su contra y los hechos específicos que los sustentan, para poder ejercer adecuadamente su derecho de defensa.

Al optar por la generalidad y abstracción en la formulación de cargos y la imposición de la sanción, la SIC no solo ha vulnerado este derecho, sino que también ha comprometido la legitimidad de su actuación”. A ese respecto, es importante tener en cuenta que, de acuerdo con la naturaleza del presente trámite, el recurso de reposición tiene como objetivo el de controvertir una decisión de la administración, con miras a lograr su revocatoria o modificación; para el caso que nos ocupa, la Resolución 43121 de 2024.

Dicho esto, frente al sustento de las sanciones impuestas a RISKS INTERNATIONAL S.A.S., se puede apreciar que en la parte motiva de ese acto administrativo se indicaron claramente cada uno de los hallazgos que fueron obtenidos como consecuencia de las inspecciones realizadas a esa sociedad, en la que se evidenció una actividad mercantil que involucraba el tratamiento de datos personales, sin el cumplimiento de los principios y deberes contemplados en la Ley 1581 de 2012.

Esa forma de operación fue apreciada en conjunto con el material probatorio recolectado en el curso de las indagaciones previas adelantadas con ocasión de las múltiples quejas tramitadas ante esta Superintendencia. Al punto, puede observarse que los fundamentos del acto de formulación de cargos son congruentes con aquellos expresados en el acto que se impugna, y que, la sociedad investigada contaba con el acceso a los expedientes acumulados al radicado 21-259141, lo que le permitió conocer todas las piezas probatorias que harían parte del sumario; manifestación de ello, fueron las peticiones presentadas por la representante legal de la sociedad mediante escritos 21259141-56, 57 y 58 del 05 de febrero de 2024. 9.7 Acerca de la vulneración de los derechos de los titulares Sostiene el apoderado de la investigada a este respecto que “En la resolución 43121 de 2024, la SIC cita a varios quejosos, sin embargo, no logra demostrar de manera individualizada y específica cómo los derechos de estos quejosos fueron vulnerados por las acciones de RISKS INTERNATIONAL SAS.

La omisión de esta prueba concreta socava la legitimidad de la sanción impuesta, ya que una decisión sancionatoria debe estar respaldada por evidencias claras y contundentes que acrediten la infracción de derechos. (…) En la resolución sancionatoria la SIC enuncia los casos de cuatro personas sobre las cuales se demostró que ninguna de ellas tenía información reportada ante el SISCOM (Sistema de información compatida) de SIRIEST.

Esas personas titulares de los datos son: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX. (…) La SIC enuncia en dicha resolución los casos de cuatro personas — XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX— respecto de las cuales se concluyó que ninguna de ellas tenía información reportada en el Sistema de Información Compartida (SISCOM) de SIRIEST.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. Los titulares de estos datos presentaron quejas que resultaron ser infundadas, como se comprobó plenamente en el proceso administrativo. La evidencia deja en claro que las reclamaciones de estos individuos no se correspondían con la realidad. La actuación de la SIC al imponer una sanción a RISKS INTERNATIONAL SAS a pesar de la falta de evidencia de irregularidades con respecto a estos cuatro titulares de datos plantea serias dudas sobre la validez y justicia de la sanción impuesta.

Si la misma SIC reconoce que no hubo ninguna irregularidad en los casos de estas personas, resulta contradictorio y jurídicamente insostenible que se proceda a sancionar a la empresa por presuntas infracciones que no se materializaron en estos casos específicos”. Frente a lo manifestado por el recurrente, es oportuno reiterar que si bien la investigación que nos ocupa fue iniciada con ocasión de las denuncias recibidas en contra de la sociedad RISKS INTERNATIONAL S.A.S., por la utilización de la base de datos SIRIEST -SISCOM-, también hay claridad en que, de acuerdo con las facultades otorgadas por el literal b) del artículo 21 de la Ley 1581 de 2012 y el artículo 4 del Decreto 092 de 2022 esta Dirección adelantó, de manera oficiosa, las respectivas actuaciones previas, producto de las cuales encontró una conducta transgresora de las normas de protección de datos personales por parte de la investigada.

Igualmente, se insiste en que las denuncias incorporadas al expediente principal fueron valoradas de acuerdo con las piezas probatorias que cada una de ellas contenía. Por ello, no es de recibo el argumento según el cual la decisión adoptada mediante Resolución 43121 de 2024 fue abstracta y basada en hechos no acreditados en el plenario, puesto que, tal como puede observarse en el curso de toda la actuación administrativa, la sociedad investigada ha aceptado que administra la base de datos SIRIEST, siendo sus representantes quienes describieron al Despacho detalladamente cómo funciona dicha herramienta, el procedimiento para la generación de reportes, así como la documentación necesaria para ese fin.

Lo propio puede constatarse por ejemplo, en el informe de visita, en los descargos y en los alegatos de conclusión, mismos que a su vez se encuentran debidamente soportados con diferentes medios probatorios y que permitieron evidenciar las operaciones de tratamiento de datos sensibles. 9.8 De las pruebas recaudadas en las visitas de inspección, el principio de imparcialidad y derecho al debido proceso.

En relación con los aseverado en torno al presunto desconocimiento de los principios y derechos en mención, así como las pruebas cuya práctica se solicitó en el recurso, se hará la remisión a las respectivas consideraciones que fueron señaladas en la Resolución 48002 del 23 de agosto de 2024 “por la cual se abre la etapa probatoria en el trámite de un recurso de reposición”. 9.9 Frente a la omisión de valorar los alegatos de conclusión Indica el Doctor Nelson Remolina que “En el numeral sexto de la página 16 de la resolución 43121 de 2024 se afirma que RISKS INTERNATIONAL SAS presentó los alegatos de conclusión por “fuera del termino (sic) concedido” por la Dirección a su cargo.

Y en el numeral 6.1. solo cita dos párrafos de un documento remitido por RISKS el 29 de febrero del año en curso. No es cierto que RISKS presentó los alegatos extemporáneamente. En efecto, RISKS INTERNATIONAL SAS envió los alegatos de conclusión el 13 de febrero mediante correo remitido a las direcciones: Los alegatos fueron enviados de la dirección de Dario Acevedo de la Dirección Legal y de Cumplimiento.

El asunto del correo es el siguiente: “Subject: Alegatos de conclusión conforme a la Resolución 1241/2024. Radicado 21-259141” “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. De acuerdo con lo informado, esta Dirección decretó de oficio la prueba consistente en requerir a la OFICINA DE TECNOLOGÍA E INFORMÁTICA (OTI) y al GRUPO DE TRABAJO DE GESTIÓN DOCUMENTAL Y ARCHIVO, a efectos de que verifique e informe el estado de la recepción del correo electrónico remitido desde la dirección legal@risksint.com el 13 de febrero de 2024 al canal contactenos@sic.gov.co20, bajo el asunto alegatos de conclusión conforme a la Resolución 1241/2024.

Radicado 21-259141, y, en caso de que procediera, solicitar la indexación al expediente 21-259141. Sin embargo, tal como consta en el oficio obrante en el expediente digital bajo el radicado 21-259141-95-0 del 27 de agosto de 2024, la Coordinación del Grupo de Trabajo de Servicios Tecnológicos informó a esta Dirección lo que, a continuación se cita: “De acuerdo con su solicitud “verificar e informar el estado de la recepción del correo electrónico remitido desde la dirección legal@risksint.com el 13 de febrero de 2024 al canal contactenos@sic.gov.co, bajo el asunto “alegatos de conclusión conforme a la Resolución 1241/2024.

Radicado 21-259141”.” No se encuentran evidencias según criterio informados, se realizan 2 búsqueda Envió las evidencias” Así mismo, mediante oficio obrante en el expediente digital bajo el radicado 21259141-98 del 03 de septiembre de 2024, la Coordinación del Grupo de Trabajo de Gestión Documental y Archivo atendió el requerimiento, señalando que: “le informó (sic) que una vez revisada la cuenta de correo contactenos@sic.gov.co, no se logra ubicar ninguna (comunicación) enviada desde la cuenta legal@risksint.com, con fecha 13 de febrero de 2024, a la investigación 21-259141.” De manera que, hechas las verificaciones por parte de las distintas dependencias de esta Superintendencia, no se encuentra que la sociedad RISKS INTERNATIONAL S.A.S. hubiere radicado los alegatos de conclusión en la fecha y por el medio aludidos en su escrito de recurso, razón por la cual no está llamado a prosperar el argumento de haberse desconocido el derecho al debido proceso de la investigada. 9.10 De las pruebas para acreditar la calidad de Encargado del tratamiento Sobre el particular, se expuso en el escrito de recurso que “es muy extraño que en la resolución se refieran simplemente a “documentos” cuando en el encabezado de todos y cada uno de ellos dice “CERTIFICACION.ENCARGADO DE TRATAMIENTO DE DATOS PERSONALES”.

Esos documento corresponden a pruebas contundentes de mas (sic) de 25 empresas que certifican que RISKS obra como ENCARGADO DEL TRATAMIENTO. NO obstante lo anterior, la SIC solo las mencionó, pero no las analizó. La pasó por alto. Las ignoró a pesar (sic) que son cruciales para demostrar la naturaleza de ENCARGADO DEL TRATAMIENTO que tiene RISK.

La omisión de pruebas contundentes es una grave negligencia de la SIC y una omisión que perjudica gravemente a RISKS. De qué le sirve al investigado presentar pruebas cruciales para su defensa, si la SIC las omite analizar sin justificación alguna?. (sic) Canal habilitado por la Superintendencia de Industria y Comercio para la recepción de peticiones, respuestas a requerimientos, descargos y recursos, entre otros.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. Se vulneró el derecho de defensa de RISKS porque la SIC no tuvo en cuenta las pruebas que demostraban el carácter de ENCARGADO DE TRATAMIENTO DE DATOS de dicha empresa. En otras palabras, la SIC, a pesar de la evidencia clara y contundente que aportó al proceso RISKS, la ignoró y decidió sancionar a la citada empresa”.

Es fundamental destacar que en el presente caso se ha vulnerado de manera grave el derecho de defensa de RISKS INTERNATIONAL SAS. La de pruebas esenciales presentadas por la empresa, sino que, al hacerlo, contravino de manera directa los principios fundamentales que rigen las actuaciones administrativas en Colombia. En efecto, RISKS INTERNATIONAL SAS aportó pruebas claras y concluyentes que demuestran su rol como Encargado del Tratamiento de Datos y no como Responsable del mismo, distinción que es crucial para la correcta aplicación de la normatividad vigente.

Sin embargo, la SIC optó por ignorar esta evidencia, lo cual condujo a la imposición de una sanción que carece de fundamento legal y que compromete la justicia del proceso. El artículo 3° de la Ley 1437 de 2011, que establece los principios que deben regir las actuaciones administrativas, es claro al disponer que dichas actuaciones se desarrollarán de acuerdo con los principios del debido proceso, igualdad, imparcialidad, y buena fe, entre otros.

Dentro de este marco, el principio del debido proceso exige que las actuaciones administrativas se conduzcan con estricta observancia de las normas de procedimiento y competencia, garantizando en todo momento el derecho a la defensa, a la contradicción y a la representación. En este sentido, la omisión de la SIC al no valorar las pruebas aportadas por RISKS INTERNATIONAL SAS representa una violación flagrante de estos principios.

No tomar en cuenta dichas pruebas no solo quebranta el debido proceso, sino que además compromete la imparcialidad y la transparencia que deben caracterizar toda actuación administrativa. Se ha privado a RISKS INTERNATIONAL SAS de defensa, lo que inevitablemente ha conducido a una decisión arbitraria e injusta. A continuación mostramos las imágenes de 25 certificados de diferentes de empresas que certifican que RISKS INTERNATIONAL SAS obra como ENCARGADO DEL TRATAMIENTO de los datos que le suministran dichas empresas a RISK sobre la información de los conductores de transporte de carga para efectos del sistema de información SIRIESTSIPLAT que tiene como finalidad la prevención, monitoreo y control del lavado de activos y la financiación del terrorismo”.

Contrario a lo que se asegura, tal como puede observarse en el numeral 8.2.2 de la Resolución recurrida, la Dirección de Investigaciones de Protección de Datos Personales sí analizó lo que aseguró la representante de la sociedad RISKS INTERNATIONAL S.A.S. respecto a la calidad que esta ostenta en el tratamiento de la base de datos SIRIEST-SISCOM.

Ahora bien, el hecho de que no se citaran en ese acápite del acto administrativo una a una las certificaciones expedidas con ocasión de la apertura de la investigación, por algunas empresas transportadoras de carga, no significa que estas hayan sido omitidas deliberadamente. Por ello, es importante tener en cuenta que la Administración no está supeditada a tomar una decisión única y exclusivamente en la línea que indique la investigada, sino que posee una discrecionalidad que le permite realizar una valoración de la conducencia, pertinencia y utilidad de las pruebas; además, dar estricta aplicación a las definiciones entregadas por la Ley y la jurisprudencia de la Honorable Corte Constitucional, y, con base en ellas establecer cuál es el rol que efectivamente “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. desempeña la sociedad investigada frente a las operaciones de tratamiento de datos personales.

En consecuencia, más allá de que se aporten en masa unos certificados que señalen como encargado a RISKS INTERNATIONAL S.A.S., el procedimiento evidenciado por esta autoridad da cuenta de que es la investigada quien determina los fines del tratamiento, así como el procedimiento para el almacenamiento, uso, acceso y circulación de la información que reposa en la base de datos SIRIEST-SISCOM; desvirtuándose así la figura de un Encargo por parte de sus clientes, caso en el cual tendría que limitarse a incluir la información que le ha sido suministrada por aquellos, sin crear condicionamientos o términos de uso y cumpliendo solamente con las instrucciones recibidas por los Responsables.

Adicionalmente, se encontró que los contratos de prestación de servicios aportados por la sociedad investigada, que además fueron suscritos con posterioridad a la visita de inspección, tampoco acreditaron un encargo por las empresas suscriptoras frente a la actividad de reporte de novedades. Lo anterior es congruente con lo también reconocido por el Doctor Remolina21 cuando precisó que “Es importante recordar que la función de un Encargado del Tratamiento se limita a la ejecución de las instrucciones dadas por el Responsable del Tratamiento, quien es el verdadero titular de las decisiones sobre el uso de los datos personales” (…) “ya que su rol no incluye la toma de decisiones sobre los fines del tratamiento de datos”.

(subraya añadida) 9.11 De la naturaleza de los datos almacenados en la base de datos SIRIEST-SISCOM Expresa quien recurre que “es esencial que en el análisis de la naturaleza de los datos personales se garantice una interpretación fiel a lo establecido en la normativa vigente, para evitar que, mediante interpretaciones extensivas, se vulneren derechos fundamentales o se incurra en extralimitaciones que podrían comprometer la justicia y la equidad.

El Decreto 1377 de 2013, en su artículo 3, define claramente que los datos relativos a la profesión u oficio son considerados datos públicos. Esta clasificación es categórica y no admite excepciones implícitas. La labor profesional de un individuo, así como la manera en que este cumple con sus obligaciones, forma parte indiscutible de la información que la sociedad tiene derecho a conocer, precisamente porque tales datos se refieren a la calidad del servicio que el profesional o trabajador ofrece, lo cual tiene un impacto directo en la comunidad.

Por lo tanto, concluir que la información sobre el cumplimiento de las obligaciones profesionales de un conductor puede ser catalogada como información sensible contradice lo dispuesto por la normativa. Esta conclusión no solo es inconsistente con el texto expreso del Decreto 1377, sino que además podría crear un precedente peligroso, donde las entidades administrativas se extralimiten en sus funciones, invadiendo áreas que la ley no ha contemplado”.

Empero, este Despacho no comparte la postura propuesta por el apoderado de la sociedad investigada, principalmente por las siguientes razones: Como se dijo en la Resolución 43121 de 2024, si bien los reportes efectuados en el historial de los transportadores de carga derivan de una relación contractual establecida entre estos y las empresas pertenecientes a ese gremio, existe un componente de trascendental importancia y es el contenido mismo de esos reportes, los cuales de acuerdo con la definición establecida por el Radicado 21-259141-79 del 16 de agosto de 2024.

“Por la cual se resuelve un recurso de reposición y se concede el de apelación”. legislador y los lineamientos de la Corte Constitucional pueden catalogarse como “sensibles”. Nos referimos nuevamente a la atribución de un hecho delictivo, una conducta deshonrosa o que mancilla el buen nombre las personas. En ese sentido, las novedades no son relativas a la profesión u oficio del individuo sino que le endilgan la comisión de un hecho respecto del cual no tiene conocimiento previo, y cuyo uso indebido efectivamente se configuró como un factor de discriminación. Como se evidencia en las consideraciones del acto impugnado, la interpretación realizada por esta Superintendencia se ajusta a los parámetros sentados por la Corte respecto al carácter enunciativo de la lista que señala algunos ejemplos de datos que adquieren esa connotación, pues en todo en caso de manera expresa el artículo 5° de la Ley 1581 de 2012 dispone cuáles son los presupuestos normativos que deben concurrir para determinar si un dato se enmarca en tal categoría. Por todo lo descrito en líneas precedentes, no se encuentra vicio alguno respeto a la naturaleza de los datos objeto de tratamiento en la base de datos SIRIESTSISCOM. 9.12 La SIC no desconoció las demás pruebas aportadas por la sociedad investigada En torno a este particular, adujo el recurrente que “El desconocimiento de las pruebas presentadas por RISKS no es un mero formalismo.

Esta omisión afecta el núcleo esencial del derecho de defensa, pues priva a la parte investigada de la posibilidad de que sus argumentos y evidencias sean considerados de manera justa y equilibrada. Esto no sólo contraviene el principio del debido proceso, sino que además, desnaturaliza la función de la administración de justicia en el ámbito administrativo.

Además, el artículo 40 de la Ley 1437 de 2011 obliga a la autoridad a pronunciarse sobre todas las pruebas y alegatos presentados por las partes. En este caso, RISKS controvirtió la validez de las pruebas presentadas por el denunciante, demostrando que la persona que interpuso la denuncia carecía de poder para representar a los quejosos, y que sus afirmaciones eran falsas.

Sin embargo, la SIC no se pronunció sobre lo demostrado por RIKS, otorgando absoluta credibilidad a la denuncia, en detrimento de los derechos de defensa de RISKS. En conclusión, la actuación de la SIC en este proceso se encuentra viciada por una evidente falta de imparcialidad y por una violación directa al derecho de defensa de RISKS INTERNATIONAL SAS, al no haber considerado ni valorado las pruebas que esta presentó para demostrar su inocencia. La actuación de la SIC se destacó, de una parte, por hacer brillar y dar por verdad absoluta la versión del denunciate (sic) y, de otra parte, por opacar e ignorar las pruebas que presentó RISKS para defenderse.

En este oficio en otros hemos puesto de presente esa situación que denota imparcialidad y falta de garantías a RISKS. Se le negó a RISKS su derecho a defensa porque la SIC no tuvo en cuenta las pruebas determinantes que presentó RISKS para demostrar su inocencia. No basta presentar pruebas, si la autoridad no las tiene en cuenta y las analiza.

Eso, en pocas palabras, es negarle el derecho de defensa y condenar de plano al investigado”. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”. En oposición a lo argüido, la Resolución 43121 de 2024 tuvo en consideración las medidas informadas por la sociedad RISKS INTERNATIONAL S.A.S. para sustentar la aplicación del principio de Responsabilidad Demostrada (Accountability), como se evidencia en el numeral DÉCIMO PRIMERO de ese acto administrativo.

Ahora, del análisis de las distintas certificaciones remitidas esta Dirección concluyó que las pruebas impetradas no acreditaban una correcta gestión en la administración de los datos personales por parte de la investigada, con miras a garantizar el cumplimiento de la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015. De ese modo, el Despacho hizo hincapié en que no basta con acumular cierta cantidad de documentos si estos no se concretan en la ejecución de medidas efectivas para evitar la vulneración de los derechos de los titulares; tal como pudo evidenciarse en cada una de las etapas de esta investigación sancionatoria.

De otra parte, se observa que los demás argumentos del apoderado de la sociedad RISKS INTERNATIONAL S.A.S., en el documento titulado “complemento 4 del recurso de reposición y en subsidio apelación” corresponden a la reiteración de lo señalado en los demás complementos radicados, mismos que ya han sido abordados y desvirtuados a lo largo de este acto administrativo.

DÉCIMO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución 43121 de 2024, por lo que procederá a confirmarla íntegramente.

DÉCIMO PRIMERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad RISKS INTERNATIONAL S.A.S. identificada con el Nit 900.352.786-5, con el correo electrónico de notificación judicial contactos@risksint.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-259141. Las sociedades son responsables de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberán adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 43121 del 31 de julio de 2024, conforme a lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO 2: CONCEDER el recurso de apelación, interpuesto subsidiariamente y en consecuencia trasladar copia del presente expediente al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO 3: NOTIFICAR la presente decisión a la sociedad RISKS INTERNATIONAL S.A.S., identificada con el NIT 900.352.786-5, a través de su representante legal y/o apoderado en calidad de recurrente. “Por la cual se resuelve un recurso de reposición y se concede el de apelación”.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para efecto de que los investigados respondan los requerimientos, y en general, ejerzan sus derechos, son los siguientes: − Correo electrónico: contactenos@sic.gov.co - Dirección, Sede Principal: Carrera 7 # 31A – 36 Pisos 3 y 3A, Bogotá D.C. Horario de atención: Lunes a Viernes (días hábiles) de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 11 de octubre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.10.11 12:56:25 -05'00' CAROLINA GARCÍA MOLINA Proyectó: LR Revisó: CG Aprobó: CG NOTIFICACIÓN: Investigada: NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: RISKS INTERNATIONAL S.A.S. Nit. 900.352.786-5 SILVIA CATALINA REINA ARCHILA C.C. 1.049.611.974 Calle 25 B # 39 A 30 Bogotá D.C. contactos@risksint.com Apoderado Doctor: Identificación: Correo electrónico: Dirección: NELSON REMOLINA ANGARITA C.C.13.925.487 nelsonremolina@me.com Calle 84a 12 – 12 oficina 503