Decisión 20809 de 2021 — SIC

(15 ABRIL 2021) “Por la cual se impone una sanción administrativa” Radicación 19-139735 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BANCO DE BOGOTÁ, (en adelante “la investigada”), identificada con Nit. 860.002.964-4, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos, narrados por el señor XXXXXXXXXXXXXXXXX1 identificado con la cédula de ciudadanía XXXXXXXXXX: 1.1 Expuso el denunciante que “(…) el Banco causó 2 perjuicios distintos a 2 personas diferentes así: 1.

El banco me suministro (sic) todos los datos personales y de contacto del Señor XXXXXXXXXXXXXXXXXXX. Datos como Tipo y número de identificación, nombres completos, teléfonos de contacto, dirección y correo electrónico.” 1.2 Adicionalmente, indicó “(…) el Banco de Bogotá aplicó por error la solicitud de desmarcacion (sic) de GMF por parte del Sr. XXXXXXXXX XXX en mi cuenta de ahorros, tan sólo porque teníamos en común el primer apellido “XXXXXX”.

La información la obtuve ante la insistencia de saber la razón por la cual mi cuenta personal estaba desmarcada como exenta del GMF, a lo que el Banco irresponsablemente afirmó que dicha novedad se había aplicado por solicitud mía, y fue cuando me remitieron la pantalla con la información del Sr. XXXXXXXXX XXX. (A quien copió en el correo, para su conocimiento y fines pertinentes).” 1.3 En consecuencia, manifestó: En mi caso particular este vergonzoso hecho, representó económicamente la deducción y retención de mi dinero sin mi autorización y más de 12 meses de trámites y quejas a través de la superintendencia financiera, defensoria (sic) al consumidor financiero y el mismo Banco para lograr la devolución del dinero y el restablecimiento de mi cuenta referente a la marcación como cuenta exenta del GMF.

Considero esta falta muy grave que amerita una investigación formal, más cuando a pesar de varias reclamaciones ya escaladas, el Banco se niega a pronunciarse particularmente a los hechos, amparándose exclusivamente en que me hizo la devolución y reversión de los dineros debitados SIN autorización, omitiendo completamente la GRAN equivocación que dio origen a mi queja.

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012, el 29 de noviembre 2019 se inició la presente investigación administrativa, mediante la expedición de la 495232 del 24 de agosto de 2020, por medio de la cual se formuló un CARGO ÚNICO a la sociedad BANCO DE BOGOTÁ, identificada con Nit. 860.002.964-4.

TERCERO: Que la Resolución 49523 del 24 de agosto de 2020, fue notificada mediante Aviso 21244 al señor ALEJANDRO AUGUSTO FIGUEROA JARAMILLO, en representación de la sociedad BANCO DE BOGOTÀ. el día 8 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 19139735- -15 del 24 de septiembre de 2020. 1 Denuncia presentada por el titular de la información el 21 de junio de 2019, visible en el expediente bajo el consecutivo número 19-139735--0 2 Resolución 49523 del 24 de agosto de 2020 radicada bajo el número 19-139735-0007-0 del 28 de agosto de 2020.

HOJA N, “Por la cual se impone una sanción administrativa”

CUARTO: Que por conducto de su apoderado general la sociedad investigada encontrándose dentro del término establecido para el efecto, mediante escrito de fecha 28 de septiembre de 2020 radicado bajo el número 19-139735-00016- 0001 y 19-139735-00017- 0001, presentó los respectivos descargos, con las pruebas que pretende hacer valer en la presente actuación administrativa. 4.1 En primer lugar, la sociedad investigada hace una breve descripción de los antecedentes de la presente actuación administrativa, señalando que, HECHOS 1.1.

El señor XXXXXXXXXXXXXXXXXXXXXX identificado con cedula de ciudadanía No. XXXXXXXXX presento (sic) reclamación inicial el 06 de febrero de 2018 (Archivo renombrado como reclamación inicial), la cual fue atendida el 01 de marzo de 2018 (Archivo renombrado como primera respuesta). 1.2. En la respuesta emitida el 01 de marzo de 2018, se le menciona al cliente "Finalmente y acorde a su requerimiento recibido el 23 de febrero de 2018, se procede a radicar con el área encargada su solicitud de eliminación de la exoneración del cobro del gravamen a los movimientos financieros que mantiene su cuenta de ahorros No. XXXXXXXXX, dicha área cuenta un tiempo máximo de respuesta de 10 días, por lo tanto una vez se obtengan los le será notificado por este medio." 1.3.

El 30 de marzo de 2018, el cliente radica reclamación ante la Superintendencia Financiera (Archivo renombrado como segunda reclamación), la cual se atendió el 12 de abril de 2018 indicando: "En atención a su reclamación relacionada con el reintegro de las comisiones causadas por el cobro del portafolio, por valor de $XXX a la cuenta de ahorros número XXXXXXXXX, nos permitimos indicar que una vez adelantadas las validaciones del caso y revisados nuestros aplicativos se evidencia que el Banco con fecha 22 de marzo de 2018, realizó la devolución a la cuenta de ahorros, correspondiente a las comisiones por cuota de portafolio generadas entre el periodo comprendido de octubre 2017 y enero 2018.

Lo anterior teniendo en cuenta que la tarjeta de crédito se encuentra exonerada de cuota de manejo y la cuenta es de nómina que de acuerdo al convenio se encuentra a xx 4. El 11 de julio de 2018, nos llega nueva queja presentada ante la Superintendencia Financiera (Archivo renombrado como tercera reclamación), la cual, se atendió el 24 de julio de 2018 (Archivo renombrado como tercera respuesta).

En dicha respuesta, se incluyó la imagen de la reclamación presentada por otro cliente relacionada con la exención del GMF, tema que venía reclamando el señor XXXXXXXXXXXXXXXXXXX. HOJA N, “Por la cual se impone una sanción administrativa” - En el pantallazo antes mencionado, y que revelamos bajo la privacidad que tiene el presente sumario, se revelan de manera inexacta y en su mayoría datos públicos y semiprivados de un cliente del Banco que no tenia (sic) relación alguna con el señor XXXXXXXXXXXXXXXXXXX. - El 10 de agosto de 2018, se recibe nueva reclamación mediante la Superintendencia Financiera (Archivo renombrado como cuarta reclamación), la cual es atendida el 29 de agosto de 2018, en dicha respuesta se notifica al cliente la subsanación del impase presentado con el cobro de GMF. - El mismo 10 de agosto de 2018 el cliente interpuso reclamación ante el Defensor del Consumidor Financiero (Archivo renombrado como quinta reclamación), la cual se atendió 05 de septiembre de 2018(archivo renombrado como quinta respuesta).

Se aclara que la devolución mencionada en la respuesta surtió efecto el 12 de septiembre de 2018 por valor de $xxxxxx mas (sic) IVA. - El 14 de septiembre de 2018 el cliente nuevamente radica reclamación (archivo renombrado como sexta reclamación), el banco da respuesta el 19 de octubre de 2018 (archivo renombrado como sexta respuesta), en dicha comunicación, presento excusas al peticionario por cuanto los hechos que desencadenan su reclamación fueron subsanados. - En todas las respuestas que se adosan al presente escrito, el Banco da cuenta de la devolución de los cargos por GMF y comisiones que se aplican al señor XXXXXXXXXXXXXXXXXXX.

Sin embargo, teniendo en cuenta el impase presentado en la tercera respuesta a sus requerimientos, también se le piden las excusas el caso, y se toman las medidas para garantizar que su cuenta de ahorros se encuentra marcada como exenta del GMF y no se genere el cobro de comisiones, encontrándose a la fecha debidamente solucionado el impase operativo que no permitía solucionar definitivamente lo requerido por el accionante. 4.1 A continuación, se refiere al cargo único formulado por esta Dirección, expresando lo siguiente: “Basada en la queja interpuesta por el señor XXXXXXXXXXXXXXXXXXX, y las averiguaciones realizadas a través de Resolución No. 19-139735 del 2 de diciembre de 2019, la Superintendencia de Industria y Comercio encontró procedente formular cargos en contra del BANCO DE BOGOTA S.A. por la presunta trasgresión al deber que ostenta en su calidad de Responsable del Tratamiento, conforme a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012.

DESCARGOS FRENTE A LA FORMULACION DE CARGOS Teniendo en cuenta lo anterior, y ante el cargo único presentado por la Superintendencia de Industria y Comercio, solicitamos a la misma, tener en cuenta los siguientes argumentos para abstenerse de sancionar al BANCO DE BOGOTA S.A., por lo acontecido en el presente caso:

1. EL ERROR OPERATIVO PRESENTADO EN ESTE CASO NO TUVO EL EFECTO GENERADOR DE DAÑO Tal y como se desprende de la reseña fáctica de la Resolución de la referencia, en el presente caso se presentó un error operativo asociado al recurso humano encargado de la atención a las quejas de nuestros clientes, que entregó una respuesta de un caso similar al señor XXXXXXXXXXXXXXXXXXX.

En ese orden de ideas, lo acontecido en el presente caso, nos ha permitido alimentar nuestras matrices de riesgo, y llevar a cabo un levantamiento de medidas de seguridad adicionales, que nos permitan revisar las respuestas e información entregada a nuestros clientes. Para las reclamaciones del señor XXXXXXXXXXXXXXXXXXX, desde la primera respuesta a las mismas, el Banco dispuso la entrega o devolución de los dineros cobrados por concepto de comisiones y GMF, y finalmente, llevo a cabo la marcación de cuenta exenta de GMF como a bien tenía derecho.

Solo en la tercera respuesta, se comete la imprecisión de adjuntar el pantallazo de un correo electrónico de una solicitud similar no enviada por el reclamante, la cual contiene en su mayoría información pública o semiprivada, y que en todo caso, no expone información financiera o comercial del cliente involucrado en provecho del reclamante.

Se trató de un error operativo, que tenía como propósito señalar al señor XXXXXXXXXXXX, las razones por las cuales su cuenta de nomina(sic) no figuraba como exenta del GMF. HOJA N, “Por la cual se impone una sanción administrativa” En ese orden de ideas, lejos de generar un daño irreparable o exposición irremediable de la información sometida a reserva de nuestro cliente, se constituye en un desafortunado error humano, que ya fue solucionado y que ha sido documentado de parte nuestra para evitar que vuelva a suceder.

Reiteramos al despacho que, la información del reclamante XXXXXXXXXXXXXXXXXXX, jamás estuvo comprometida en su seguridad o circulación. De esa manera, también es dable señalar que las inexactitudes en la respuesta a sus requerimientos fueron corregidas de manera inmediata, razón por la cual, solicitamos a su despacho observar con criterios de razonabilidad la gestión prudente de nuestra entidad ante el yerro varias veces citado,

2. EL BANCO DE BOGOTA S.A. CUENTA CON LAS SEGURIDADES MINIMAS EXIGIBLES SOBRE LAS BASES DE DATOS DE SUS CLIENTES, HA IMPLEMENTADO MEDIDAS DE PROTECCION ADICIONALES PARA SU SALVAGUARDA Y CUENTA CON LA AUTORIZACION DE SUS CLIENTES PARA EL TRAMTAMIENTO DE LA MISMA. El BANCO DE BOGOTÁ tiene implementado un manual de principios, políticas y normas de seguridad de la información, identificado con el registro interno MSI_MAN_001 que fue allegado a su despacho.

En dicho documento se establecen las políticas, normas y principios bajos los cuales se rige el modelo de seguridad de la información, para que esta sea accedida sólo por aquellos que de acuerdo con sus funciones y responsabilidades tienen una necesidad legítima del negocio (Confidencialidad); que esté protegida contra modificaciones no planeadas, realizadas con o sin intención (Integridad), que esté disponible cuando sea requerida (Disponibilidad), que deje rastro de los eventos que ocurren al tener acceso a la información (Auditabilidad) y que sea utilizada para los propósitos que fue obtenida (Privacidad).

En el presente caso, dichas medidas de protección nos permitieron identificar prontamente el yerro presentado, y tomar los correctivos del caso, impidiendo que nuevamente se entregarán respuestas a las reclamaciones de nuestros clientes, que nada tienen que ver con estos o sus requerimientos. Las finalidades para las que son tratados los datos del señor XXXXXXXXXXXXXXXXXXX se encuentran estipuladas en la solicitud de servicios financieros persona natural, que fue diligenciada por él, en el año 2015 cuando solicitó la apertura de la cuenta de ahorros, la cual contiene todas las autorizaciones para el tratamiento de su información, encontrando entre otras las siguientes: (i) cumplir con normas legales;

(ii)establecer, mantener y profundizar la relación contractual; (iii) actualizar la información; (iv) evaluar el riesgo; (y) profundizar productos y servicios; (vi) determinar el nivel de endeudamiento de manera consolidada; (vii) efectuar labores de mercadeo, investigaciones comerciales o estadísticas; (viii) por razones de seguridad; (ix) prevención de lavado de activos y financiación del terrorismo;

(x) para el envío de mensajes que contengan información comercial, de mercadeo, personal, institucional, de productos o servicios o de cualquier otra índole que el Banco considere al teléfono móvil y/o celular, correo electrónico, correo físico o por cualquier otro medio; (xi) para ser consultada, intercambiada o circulada por el Banco con cualquier entidad del sector real, entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera y/o con cualquier operador de información y/o banco de datos nacional o extranjero sin lugar a pagos ni retribuciones;

(xii) para realizar mediciones de calidad y desempeño, entre otras.

Aunque no es objeto de la presente investigación, nuestra entidad, es consiente que no debería ser necesario para nuestros clientes, radicar más de un reclamo para solucionar un tema como la marcación de una cuenta como exenta del GMF. Sin embargo, en aquellos casos en los que el cliente se ve obligado a ello, tratamos de atender -como lo hicimos en este caso- sus requerimientos para buscar una solución pronta a sus inquietudes.

Tal y como lo dicen las alegaciones del señor XXXXXXXXXXXXXXXXXXX, todas las comisiones y cobros de GMF que fueron cargados a su cuenta fueron reversados, y a fecha de hoy su producto de nomina (sic) se encuentra marcado como exento, sin generación de cobros no autorizados. Ese punto, que fue su objetivo desde la primera de sus reclamaciones, ya se atendió en debida forma.

Por eso, en las comunicaciones subsecuentes a la tercera - que es donde se cometió el yerro operativo- omitieron referirse a ese impase, dado que no tenían ningún tipo de incidencia en sus reparos sobre su producto, por lo que nuestra entidad sólo pudo presentar las excusas correspondientes, sin volver a entregar información que no tiene nada que ver con lo reclamado.

Ahora bien, al tomar los correctivos del caso, también nos aseguramos que la información del cliente XXXXXXXXXXXXXXXXXXX, no volviera a involucrarse en este caso, por lo que no se volvió a incluir mención alguna en las respuestas emitidas al señor XXXXXXXXXXXXXXXXXXX, demostrando al despacho, que se trató de una inexactitud en la respuesta requerida, que rápidamente se gestionó y solucionó. Permitiéndonos afirmar, que tanto la información del señor XXXXXXXXXXXXXXXXXXX, como del señor HOJA N, “Por la cual se impone una sanción administrativa” XXXXXXXXXXXXXXXXXXX, se encuentra correctamente salvaguardada y gestionada bajo los principios de seguridad y restricción de acceso y circulación. (…) 4.2 De acuerdo con las anteriores consideraciones, realiza la siguiente solicitud: “PRIMERO. TENER como suficientes las explicaciones entregadas por el BANCO DE BOGOTA S.A. como responsable del tratamiento de datos de sus clientes XXXXXXXXXXXXXXXXXXXXXX y XXXXXXXXXXXXXXXXXXX SEGUNDO. NO IMPONER SANCION PECUNIARIA en contra del BANCO DE BOGOTA S.A. en la medida que esta entidad ha señalado como la supuesta exposición de datos del cliente XXXXXXXXXXXXXXXXXXX, recayó en su mayoría sobre datos públicos o semiprivados, y en todo caso, gracias a las gestiones del mismo BANCO DE BOGOTA S.A. se terminó impidiendo la materialización de un daño sobre la persona, productos o información de este último.

TERCERO. ARCHIVAR definitivamente la presente investigación.”

QUINTO: Que mediante Resolución 76524 de 27 de noviembre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-139735- 18 En el mismo acto administrativo, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que la Resolución 76524 de 27 de noviembre de 2020 fue notificada al señor JOSE JOAQUIN DIAZ PERILLA en representación de la sociedad investigada el 30 de noviembre de 2020, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 19-139735- -21 del 15 de diciembre de 2020.

SÉPTIMO: Que mediante escritos radicados bajo los números 19-139735-00022 y 19-13973500023 del 16 de diciembre 2020, el apoderado de la sociedad investigada, doctor señor JOSE JOAQUIN DIAZ PERILLA, presentó alegatos de conclusión, en los cuales reiteró lo expresado en sus descargos.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012. 3 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N, “Por la cual se impone una sanción administrativa” En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones 9.2.2 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada nos sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencia, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.

Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.

(…)4”(Se destaca). En cuanto hace relación con el cumplimiento de este deber, se hace necesario precisar que el artículo 4 de la Ley 1581 de 2012 establece los principios para el tratamiento de los datos personales, entre los cuales se encuentran el principio de acceso y circulación restringida y el de seguridad que señalan lo siguiente: f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados con forme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida, consulta, uso o acceso no autorizado fraudulento.

De otra parte, el literal d) del artículo 17 de la norma citada dispone que el Responsable del Tratamiento de los Datos deberá "Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento". Es claro, entonces que se deben implementar todos los mecanismos de seguridad necesarios para impedir que terceros tengan acceso a la información personal con el fin de adulterarla, consultarla, usarla o acceder a ella.

Retomando el caso objeto de estudio, se encuentra que, el señor XXXXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia, a través de denuncia radicada bajo el número 19-139735-0 de fecha 21 de junio de 2019, que, la sociedad BANCO DE BOGOTÁ estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: 4 Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N, “Por la cual se impone una sanción administrativa” “(…) el Banco causó 2 perjuicios distintos a 2 personas diferentes así: 1. El banco me suministro todos los datos personales y de contacto del Señor XXXXXXXXXXXXXXXXXXX. Datos como Tipo y número de identificación, nombres completos, teléfonos de contacto, dirección y correo electrónico.” “(…) el Banco de Bogotá aplicó por error la solicitud de desmarcacion (sic) de GMF por parte del Sr. XXXXXXXXX XXX en mi cuenta de ahorros, tan sólo porque teníamos en común el primer apellido “XXXXXX”.

La información la obtuve ante la insistencia de saber la razón por la cual mi cuenta personal estaba desmarcada como exenta del GMF, a lo que el Banco irresponsablemente afirmó que dicha novedad se había aplicado por solicitud mía, y fue cuando me remitieron la pantalla con la información del Sr. XXXXXXXXX XXX. (A quien copió en el correo, para su conocimiento y fines pertinentes).” Ahora bien, en adición a ello, observa esta Dirección que en el curso de las averiguaciones preliminares adelantadas por la Coordinación del Grupo de Trabajo de Investigaciones Administrativa, se solicitó a la sociedad investigada mediante requerimiento radicado bajo el número 19-139735-3-1 del 27 de noviembre de 2019 que allegara entre otras cosas, lo siguiente: “(…) 1.

Informe, ¿qué personas tienen acceso a sus bases de datos y qué protocolos de seguridad han sido implementados por el Banco para el Tratamiento de la información por estos funcionarios? 2. Remita copia del Manual de Políticas de Seguridad del Banco. 3. Explique y acredite técnicamente por qué la respuesta a la solicitud No. xxxxxx fue enviada a la dirección de correo electrónico "XXXXXXXXXXXXXXXXXXX" con fecha de 24 de julio de 2018, es decir al titular XXXXXXXXXXDÍAZ, identificado con la cédula de ciudadanía No. XXXXXXXXXX.

De no estar asociada la referida respuesta al señor XXXXXX manifieste a quién estaba originalmente dirigida 4. ¿Cuáles son las medidas y procedimientos establecidos por el Banco para el envío de respuestas a solicitudes a través de correos electrónicos? 13.Informe si su organización comparte datos personales con terceros. En caso afirmativo, sírvase describir detalladamente cómo comparte los mismos y, ¿cuál(es) es (son) el (los) mecanismo(s) adoptado(s) para garantizar la seguridad de la información al momento de realizar la transmisión de los datos personales? En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 19-139735-5-1 del 20 de diciembre de 2019, informó lo siguiente: (…) 1.

El Banco de Bogotá en cumplimiento de los lineamientos de las circulares externas 052 del año 2007 y 042 de 2012, expedidas por la Superintendencia Financiera de Colombia, adoptó los criterios de Seguridad de la Información descritos en el numeral 2.1, en lo referente a la confidencialidad, integridad y disponibilidad de la información del Banco y los clientes; gestionando permanentemente la seguridad de la información mediante la creación de políticas internas de protección de la información, cumplimiento de regulaciones, administración de riesgo, creación de cultura, acuerdos de confidencialidad y control de acceso, documentadas en el modelo de seguridad de la entidad.

En consecuencia, solamente tienen acceso a las bases de datos las personas a las cuales se les ha asignado código o privilegio de acuerdo con sus funciones. 2. En respuesta a este punto, manifestamos que el Banco tiene implementado un manual de principios, políticas y normas de seguridad de la información, identificado con el registro interno MSI_MAN_001 (adjunto documento en medio magnético CD); en el precitado documento se establecen las políticas, normas y principios bajos los cuales se rige el modelo de seguridad de la información, para que esta sea accedida sólo por aquellos que de acuerdo con sus funciones y responsabilidades tienen una necesidad legítima del negocio (Confidencialidad); que esté protegida contra modificaciones no planeadas, realizadas con o sin intención (Integridad), que esté disponible cuando sea requerida (Disponibilidad), que deje rastro de los eventos que ocurren al tener acceso a la información (Auditabilidad) y que sea utilizada para los propósitos que fue obtenida (Privacidad). 3.

De conformidad a lo solicitado, indicamos que la respuesta emitida el 24 de julio de 2018 bajo el número de expediente xxxxxxx, cuyo destinatario era el señor XXXXXXXXXXXXXXXXXXX, se le envío a ese correo electrónico por haber sido suministrado por él cuando efectuó la reclamación por las comisiones. Es de anotar que el señor XXXXXXXXXX no ha efectuado reclamación en relación con el envío de información, el que se haya trastocado la información del señor XXXXXXXXXX y enviado al señor XXXXXXXXXX obedeció a que simultáneamente el funcionario encargado estaba HOJA N, “Por la cual se impone una sanción administrativa” atendiendo reclamaciones de los dos clientes, con el mismo apellido, una para el señor XXXXXXXXXX por cobro del 4 x 100 y otra del señor XXXXXXXXXX pidiendo la des-marcación de la exoneración del Gravamen por los movimientos financieros registrada en una cuenta a nombre de este último, lo que hizo posible que se trastocaran las comunicaciones. 4.

Las respuestas a las solicitudes son enviadas a través de los diferentes medios con los que cuenta el Banco (correo electrónico, correo físico, oficina del Banco) dependiendo de la opción que el reclamante escoja cuando radica la queja, sin importar el medio por el que se entregue la respuesta siempre se tiene en cuenta lo siguiente: la respuesta debe ir fechada y con la dirección correcta (correo electrónico o de forma física en el caso que el consumidor financiero no cuente con correo electrónico), además, debe ser completa, clara, precisa y comprensible, contener la solución o aclaración de lo reclamado, y los fundamentos legales, estatutarios o reglamentarios que soporten la posición de la entidad, junto con los documentos que, de acuerdo con las circunstancias, se estimen apropiados para respaldar las afirmaciones o conclusiones sostenidas por el Banco. 13 El Banco de Bogotá si comparte información con terceros, de acuerdo con la autorización que haya dado el titular de los datos en el momento de vincularse al Banco.

De acuerdo con los argumentos de la investigada, en el curso de las actuaciones preliminares adelantadas por esta Dirección, se encontró que la sociedad BANCO DE BOGOTÁ no demostró conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En consecuencia, este Despacho formuló cargos mediante la Resolución 49523 del 24 de agosto de 2020, sustentada en las siguientes consideraciones: “De esta manera, es posible determinar de manera preliminar que cuando el BANCO DE BOGOTÁ, a través de la solicitud No. xxxxxx, compartió información del señor XXXXXXXXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXXXX, este expuso sus datos personales de carácter privado, contraviniendo así, presuntamente, el deber contenido en el literal d) del artículo 17 de la Ley 1581 de 2012 y los literales f) y g) del artículo 4 de la misma ley y los principios que regulan la administración de datos personales, en relación con la circulación de la información de los titulares y la seguridad que debe garantizarse en el uso y disposición de la misma en su calidad de Responsable del Tratamiento.” Sobre el particular, la sociedad investigada como argumentos de defensa manifiesta que5 “(…)

Sin embargo, la información compartida no tenía como propósito causar un daño a nuestro cliente XXXXXXXXXXXXXXXXXXXXXXXXXX, por lo que al analizar detalladamente el reporte de datos compartidos erróneamente, encontramos que ninguno tenia (sic) el efecto de exponer la información financiera de este último, o permitir que quien accediera a la misma haya podido sacar provecho en perjuicio de su titular.” Así las cosas, queda probado la falta de control y adopción de las medidas de seguridad para proteger los datos personales tratados bajo la administración de la sociedad investigada, por cuanto afirmó que “se presentó un error operativo asociado al recurso humano encargado de la atención a las quejas de nuestros clientes, que entregó una respuesta de un caso similar al señor XXXXXXXXXXXXXXXXXXX.” De igual modo, esta Dirección aprecia la anterior afirmación como una aceptación del envío de información personal del titular XXXXXXXXXXXXXXXXXXXXXXXXXX a la dirección electrónica XXXXXXXXXXXXXXXXXXX, que no fue suministrada por él y sobre la cual no autorizó envío de información personal, como se evidencia a continuación: (…) 5 Escrito de descargos radicado bajo el número 19-139735-00016- 0001 y 19-139735-00017- 0001 fecha 28 de septiembre de 2020.

HOJA N, “Por la cual se impone una sanción administrativa” Por esta razón, en este caso se censura las condiciones de seguridad de la información tratada por la sociedad BANCO DE BOGOTÁ, que como Responsable debe garantizar que la información sujeta a tratamiento, la maneja bajo estrictas medidas de seguridad con el fin de evitar adulteración, pérdida, consulta, uso o acceso no autorizado fraudulento.

En segundo lugar, señala que “(…)

2. EL BANCO DE BOGOTA S.A. CUENTA CON LAS SEGURIDADES MINIMAS EXIGIBLES SOBRE LAS BASES DE DATOS DE SUS CLIENTES, HA IMPLEMENTADO MEDIDAS DE PROTECCION ADICIONALES PARA SU SALVAGUARDA Y CUENTA CON LA AUTORIZACION DE SUS CLIENTES PARA EL TRAMTAMIENTO DE LA MISMA El BANCO DE BOGOTÁ tiene implementado un manual de principios, políticas y normas de seguridad de la información, identificado con el registro interno MSI_MAN_001 que fue allegado a su despacho.

HOJA N 10, “Por la cual se impone una sanción administrativa” Contrario a lo que señalan, no cumplen con los estándares mínimos de protección de datos, pues dichas medidas no impidieron que se expusieran datos semiprivados del titular XXXXXXXXXXXXXXXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXXXXXXX el día 24 de julio de 2018 a través del correo electrónico XXXXXXXXXXXXXXXXXXX dirección que no fue suministrada por él y sobre la cual no autorizó envío de información personal.

Adicionalmente, el caudal de información y el tamaño empresarial del Banco le demanda un grado de diligencia mayor, en la medida en que está dando tratamiento a datos de carácter financiero, como se evidencia a continuación: (…) HOJA N 11, “Por la cual se impone una sanción administrativa” Respecto lo anterior, es importante precisar que para cualquier tratamiento de datos personales, incluido el procesamiento de datos de carácter público, el Responsable está obligado a adoptar las medidas técnicas y organizativas que eviten, de manera efectiva, la adulteración, pérdida o, según la naturaleza del dato, la consulta, uso o acceso no autorizado.

Así, por ejemplo, entre ellas, establecer controles que impidan el uso de cuentas electrónicas que no hayan sido autorizadas directamente por sus titulares para recibir mensajes o que preserven la confidencialidad de los destinatarios de los mensajes. De igual forma, se evidencia que la sociedad BANCO DE BOGOTA, en calidad de Responsable del tratamiento, al momento en que ocurrieron los hechos investigados carecía de protocolos de seguridad necesarios para prever o minimizar el riesgo en el tratamiento de información personal. respecto del envío de datos semiprivados a través de comunicaciones electrónicas7.

En tercer lugar, señala que “(…)

3. AUSENCIA DE DAÑO EN EL RECLAMANTE Y EN EL TERCERO INVOLUCRADO La información del hoy reclamante no estuvo en riesgo, y sus intereses fueron salvaguardados con las respuestas entregadas, por lo que mal podría señalarse que existe un perjuicio en su contra o que por el solo hecho de haber reclamado en múltiples ocasiones, se genere en cabeza de este un daño, que en todo caso no ha sido probado ni cuantificado.” El argumento expuesto no es del recibo para este Despacho, pues basta con la conducta desplegada por la sociedad BANCO DE BOGOTA al enviar un correo electrónico a la dirección XXXXXXXXXXXXXXXXXXX el día de julio de 2018, al denunciante XXXXXXXXXXXXXXXXXXXXXX exponiendo información semiprivada del titular XXXXXXXXXXXXXXXXXXXXXXXXXX claramente puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Pues vulneró el derecho fundamental a la protección de datos personales. En este punto, es importante señalar que el literal f) del artículo 4 de la Ley 1581 de 2012 establece lo siguiente: "los datos personales, salvo la información pública, no podrán estar disponible en Internet u otros medios de divulgación o comunicación masiva, salvo que acceso sea técnicamente controlable para un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley" (Principio de acceso y circulación restringida).

Por otro lado, el literal g) del citado artículo indica que "la información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento". 7 Ley 1266 de 2008, articulo 3 “Dato semiprívado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.” HOJA N 12, “Por la cual se impone una sanción administrativa” Con base en estos principios, la Corte Constitucional precisó que "el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella"8 Igualmente, reitera los mismos argumentos en los alegatos de conclusión, afirmando que “Tal y como se desprende de la reseña fáctica de la Resolución de la referencia, en el presente caso se presentó un error operativo asociado al recurso humano encargado de la atención a las quejas de nuestros clientes, que entregó una respuesta de un caso similar al señor XXXXXXXXXXXXXXXXXXX.” (…) El BANCO DE BOGOTÁ tiene implementado un manual de principios, políticas y normas de seguridad de la información” (…) La información del hoy reclamante no estuvo en riesgo y sus intereses fueron salvaguardados con las respuestas entregadas, por lo que mal podría señalarse que existe un perjuicio en su contra.” Por lo anterior, reitera esta Dirección como Autoridad de Protección de Datos que el deber que le asiste a la investigada como responsable del tratamiento, es el de garantizar la seguridad de la información, deber que se materializa a través de la implementación de procedimientos documentados, con medidas reales y efectivas, y en el caso sub examine es evidente que la sociedad BANCO DE BOGOTÁ no cuenta con procedimientos efectivos ni medidas técnicas, humanas y administrativas, para salvaguardar la información que administra; así como para controlar cuál es la información que se encuentra asociada a cada uno de los titulares cuyos datos trata.

Así pues, independientemente de que la sociedad BANCO DE BOGOTÁ cuente con un manual de principios, políticas y normas de seguridad de la información, el cumplimiento del deber establecido en la Ley Estatutaria en relación con conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento establecidos en el literal d) del artículo 17, no impidieron que el BANCO DE BOGOTÁ, a través de la solicitud No. 11177714, compartiera información del señor XXXXXXXXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXXXX, exponiendo datos personales de naturaleza no pública, conducta que puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como se evidencia a continuación: (…) 8 Corte Constitucional, Sentencia C-748 de 2011.

M.P. Jorge Ignacio Pretelt Chaljub. HOJA N 13, “Por la cual se impone una sanción administrativa” Dado lo anterior, está Dirección procederá a analizar en primer lugar la naturaleza de los datos objeto de estudio, a la luz de la clasificación de los datos personales elaborada por la jurisprudencia y recogida en la Ley 1266 de 2008; entonces, según el artículo 3 de la citada ley, los datos personales se clasifican de la siguiente forma: (…) e. Dato Personal.

Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal.

Los datos personales pueden ser públicos, semiprivados o privados; f. Dato Público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos. sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g. Dato semiprívado.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas". Los datos semiprivados corresponden a aquellos que no tienen naturaleza íntima, reservada, ni pública y que. por ende: su conocimiento puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que. como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dato privado es aquel ' que por su naturaleza íntima o reservada sólo es relevante para el Titular" La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011 al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012.

En la referida sentencia dijo esa Corporación lo siguiente: "La clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266 en virtud del principio de conservación del derecho, el literal c) seré declarado exequible en este respecto" Como se observa, el dato personal conlleva un componente (en mayor o menor medida) que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su Titular, lo cual, además, le brinda un grado tal de individualización que lo hace excluyente respecto de la Información recogida de personas distintas.

En otras palabras, el dato personal determina o permite determinar al titular del mismo a partir de su individualización. Para el presente caso, es preciso señalar que, el correo electrónico como servicio de red que permite recibir y enviar mensajes a través de sistemas de comunicación electrónica, requiere para su funcionamiento, que el mismo se dirija a un destinatario para cumplir con su finalidad comunicativa, esto es, debe remitirse a una persona o institución específica.

Este destinatario es entonces el dueño o administrador de la cuenta de correo pues es él quien tiene acceso a la misma y puede verificar el contenido del mensaje de datos. Como consecuencia de lo anterior, la investigada expuso datos de un titular de información a un tercero, considerados tal y como se desarrolló previamente, así: HOJA N 14, “Por la cual se impone una sanción administrativa” Dato semiprivado: dirección, teléfono, correo electrónico, número de cuenta de ahorros.

En virtud de lo expuesto, la sociedad BANCO DE BOGOTÁ, no acreditó haber implementado medidas reales y efectivas de seguridad, previo a la fecha del envío del correo electrónico, medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, pues el manual implementado no logró impedir que a través de correo electrónico XXXXXXXXXXXXXXXXXXX enviado el día 24 de julio de 2018, se expusiera información semiprivada del titular XXXXXXXXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXXXX, como se evidencia a continuación: (…) HOJA N 15, “Por la cual se impone una sanción administrativa” Como consecuencia de lo anterior, esta Dirección encuentra que la sociedad BANCO DE BOGOTÁ como Responsable del tratamiento no actuó diligentemente en el cumplimiento del deber de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, al remitir información semiprivada de (1) un titular específicamente del señor XXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXX, pues expuso información de datos personales de naturaleza privada a través del envío de un correo electrónico a la dirección XXXXXXXXXXXX el 24 de julio de 2018.

En consecuencia, es claro para este Despacho el incumplimiento por parte de la investigada del deber contemplado en el Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012, el cual contempla que los responsables de tratamiento de datos personales deberán conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento, por lo que se procederá a imponer una sanción de multa por CINCUENTA MILLONES TREINTA Y DOS MIL CUATROCIENTOS VEINTICUATRO M/CTE ($50.032.424), equivalente a Mil trescientos setenta y ocho (1.378) UVT DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional9.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 16, “Por la cual se impone una sanción administrativa” En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional10 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”11 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos 10 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 11 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N 17, “Por la cual se impone una sanción administrativa” operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros12. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”13.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia14. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 12 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 13 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 14 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 18, “Por la cual se impone una sanción administrativa” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados16.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la sociedad BANCO DE BOGOTÁ en su calidad de responsable del tratamiento vulnero el precepto normativo dispuesto en el Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012., al exponer el día 24 de julio de 2018, datos personales de naturaleza no pública del titular XXXXXXXXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXXXX, a través del correo electrónico XXXXXXXXXXXXXXXXXXX.

De acuerdo con lo anterior, es claro que la sociedad investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de CINCUENTA MILLONES TREINTA Y DOS MIL CUATROCIENTOS VEINTICUATRO M/CTE ($50.032.424), equivalente a Mil trescientos setenta y ocho (1.378) UVT 10.1.2 Otros criterios de graduación 15 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 16 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 19, “Por la cual se impone una sanción administrativa” Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO PRIMERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: • Se comprobó que la sociedad BANCO DE BOGOTÁ infringió abiertamente las normas sobre protección de datos personales consagradas en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012, al haber expuesto a través del correo electrónico XXXXXXXXXXXXXXXXXXX el 24 de julio de 2018, datos personales de naturaleza no pública del titular XXXXXXXXXXXXXXXXXXX al denunciante XXXXXXXXXXXXXXXXXXX.

DÉCIMO SEGUNDO: EXHORTO AL REPRESENTANTE LEGAL En virtud de todo lo expuesto, EXHORTAMOS al Representante Legal de la sociedad BANCO DE BOGOTÁ identificada con Nit. 860.002.964-4, para que adopte medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente actuación. 2.

Respetar y garantizar los derechos de los Titulares de los datos. 3. Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre tratamiento de datos personales, en particular con la circulación de la información de los titulares y la seguridad que debe garantizarse en el uso y disposición de la misma en su calidad de Responsable del Tratamiento.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BANCO DE BOGOTÁ identificada con el Nit. 860.002.964-4 de expediente, encuentra este Despacho procedente imponer a la sanción correspondiente CINCUENTA MILLONES TREINTA Y DOS MIL CUATROCIENTOS VEINTICUATRO M/CTE ($50.032.424), equivalente a Mil trescientos setenta y ocho (1.378) UVT, por violación a lo dispuesto en Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: EXHORTAR al Representante Legal de la sociedad BANCO DE BOGOTÁ identificada con Nit. 860.002.964-4, para que adopte medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente actuación. 2. Respetar y garantizar los derechos de los Titulares de los datos.

HOJA N 20, “Por la cual se impone una sanción administrativa” 3. Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre tratamiento de datos personales, en particular con la circulación de la información de los titulares y la seguridad que debe garantizarse en el uso y disposición de la misma en su calidad de Responsable del Tratamiento.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad BANCO DE BOGOTÁ identificada con el Nit. 860.002.964-4 a través de su representante legal y/o de su apoderado, en calidad de investigada, entregándoles copia de la misma e informándoles que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXXXXXXXX, identificado con C.C. xxxxxxxxxxxx.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 15 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.04.15 12:22:41 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: BANCO DE BOGOTÁ Identificación: Nit. 860.002.964-4 Representante Legal: Alejandro Augusto Figueroa Jaramillo Identificación: C.C. 8.228.877 Dirección: Calle 36 Nro. 7-47 piso 15 Correo electrónico: rjudicial@bancodebogota.com.co Ciudad: Bogotá, D.C.-Colombia Apoderado: JOSE JOAQUIN DIAZ PERILLA Identificación: C.C 4040329 Dirección: Calle 36 Nro. 7-47 piso 15 Correo electrónico: rjudicial@bancodebogota.com.co Ciudad: Bogotá, D.C.-Colombia COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXXX Ciudad: XXXXXX Correo electrónico: XXXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 20809 de 2021

CONSIDERANDO

RESUELVE