(19 de mayo 2025) “Por la cual se resuelve un recurso de apelación” Radicado 22-470269 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008 y el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y
CONSIDERANDO
PRIMERO. Que, con ocasión de la queja presentada por el señor XXXX XXXXXXX XX XX XXX XXXXXX (en adelante el denunciante), la Dirección de Habeas Data, mediante Resolución No. 3555 del 10 de junio de 2021, impartió una orden encaminada a que la sociedad CREDIVALORES CREDISERVICIOS S.A. identificada con Nit. 805.025.964-3, eliminara la información negativa de la obligación No. 576400, reportada a nombre del denunciante, dejando los vectores de comportamiento sin información. Lo anterior, puesto que dicha sociedad, al parecer, no había cumplido el deber establecido en el artículo 12 de la Ley 1266 de 2008, por lo cual, entre otros, remitió la actuación a la Dirección de Investigaciones de Protección de Datos personales para lo de su competencia.
SEGUNDO. Que, con ocasión del traslado realizado, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 88424 del 14 de diciembre de 2022, decidió abrir una investigación administrativa y formular cargos contra la sociedad CREDIVALORES - CREDISERVICIOS S.A., por la presunta vulneración de lo dispuesto en: (i) el numeral 1, del artículo 8, de la Ley 1266 de 2008, en concordancia con el articulo 4, literal a, de la misma Ley;
(ii) el numeral 5, del artículo 8, de la Ley 1266 de 2008; (iii) el numeral 8, del artículo 8, de la Ley 1266 de 2008, en concordancia con el artículo 16, numeral 4, de la misma Ley; (iv) el numeral 9, del artículo 8, de la Ley 1266 de 2008; y (v) el numeral 10, del artículo 8, de la Ley 1266 de 2008, en concordancia con el artículo 12, incisos 2 y 3, de la misma Ley.
TERCERO. Que la Dirección advirtió, con fundamento en las pruebas incorporadas al expediente que, en relación con los cargos primero y segundo, la sociedad acreditó cumplir con el deber de veracidad y de autorización previa, por lo que se desestimaron los cargos, y que, respecto de los cargos tercero y cuarto, al evidenciar negligencia en el cumplimiento de los deberes de informar a los operadores la inclusión de la leyenda correspondiente y cumplir con los requerimientos o instrucciones de la Autoridad, se procedió a impartir unas órdenes.
Y finalmente que, respecto del cargo quinto, se encontró demostrado que el reporte negativo asociado a la obligación No. 576400, fue efectuado sin enviar al titular la comunicación previa, motivo por el cual impuso una sanción. Así, mediante Resolución No. 29069 del 5 de junio de 2024, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad CREDIVALORES - CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3 de DOSCIENTOS CINCUENTA Y NUEVE (259) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TREINTA MIL CUARENTA Y CUATRO (30.044) “Por la cual se resuelve un recurso de apelación” Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRESCIENTOS VEINTINUEVE MILLONES ONCE MIL OCHOCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($329.011.844), por la vulneración de las disposiciones establecidas en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 incisos 2 y 3, de la misma Ley.
(…)
ARTÍCULO 2: ORDENAR a la sociedad CREDIVALORES CREDISERVICIOS S.A, identificado con NIT. 805.025.964-3, cumplir con las siguientes instrucciones: • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial. • La sociedad CREDIVALORES-CREDISERVICIOS S.A deberá acreditar la implementación de un procedimiento para dar respuesta a los requerimientos y eventuales ordenes que profiera este Despacho.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 28 de junio de 2024, CREDIVALORES - CREDISERVICIOS S.A. (en adelante la RECURRENTE), a través de su apoderado y mediante escrito radicado con el número 22-470269-22, presentó recursos de reposición y apelación contra la Resolución No. 29069 del 5 de junio de 20241. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Sobre el principio de responsabilidad demostrada, la recurrente manifiesta que se acogió a lo previsto en el literal f, del artículo 19, de la Ley 1266 de 2008, en relación con uno de los cargos formulados.
Reconoció el hecho como una omisión aislada y se comprometió a adoptar medidas correctivas para evitar su repetición. Asimismo, indicó que cuenta con un programa integral de protección de datos, orientado a la implementación de procedimientos internos y medidas apropiadas, efectivas y verificables, con el fin de garantizar un tratamiento adecuado de los datos personales.
Destacó que, en el marco de la investigación liderada por la Dirección de Investigaciones, acreditó la existencia, aplicación y verificación continua de su Política de Tratamiento y Protección de Datos Personales, la cual es de acceso público y de conocimiento de todos sus colaboradores. En atención al principio de responsabilidad demostrada, introducido por la Ley 2157 de 2021 como modificación de la Ley 1266 de 2008, señaló que ha implementado el “Manual de Políticas y Procedimientos para el Tratamiento y Protección de Datos Personales”, así como un “Aviso de Privacidad”, ambos disponibles en su sitio web institucional.
Finalmente, concluyó que, si bien pudieron presentarse fallas puntuales y aisladas, la organización ha adoptado medidas pertinentes, útiles y eficaces para asegurar el cumplimiento del derecho a la protección de datos personales. (ii) Sobre los requerimientos de la Superintendencia de Industria y Comercio, la recurrente reconoce una falla puntual en la atención de uno de los requerimientos de información por parte de la Superintendencia, la cual atribuye a dificultades operativas derivadas del proceso de normalización posterior a la pandemia de COVID-19.
Aclara que cumplió de manera inmediata la orden impartida mediante la Resolución 35555 de 2021, relacionada con la corrección de un reporte negativo en centrales de riesgo. Asegura que no existió intención de desconocer la autoridad, sino que se trató de una situación excepcional ya corregida. En respaldo de lo anterior, presentó una tabla con el cumplimiento de 81 órdenes, La Resolución No. 29069 del 5 de junio de 2024, fue notificada por aviso a la RECURRENTE, el 17 de junio de 2024.
“Por la cual se resuelve un recurso de apelación” lo cual evidencia el carácter aislado de la omisión y el compromiso de corregirla para prevenir su reiteración. (iii) Sobre la proporcionalidad de la sanción impuesta, la recurrente reitera que ha reconocido de forma constante la omisión en la respuesta oportuna a los requerimientos de la SIC, precisando que esta situación fue producto de la alta carga de solicitudes y de una desatención involuntaria.
Sin embargo, afirma que ya ha adoptado mecanismos para garantizar la atención oportuna de los requerimientos de la Dirección de Investigación de Protección de Datos Personales. Sostiene que se trató de un hecho aislado que no causó daño a la comunidad ni comprometió un interés jurídicamente tutelado. Además, señala que dispone de canales eficaces para recibir y resolver inquietudes o quejas de consumidores y clientes, y que el denunciante obtuvo respuesta a ambas reclamaciones interpuestas.
La recurrente considera que la autoridad parte de una presunción de violación que no se encuentra debidamente acreditada. A su juicio, los hechos ya fueron corregidos y no tienen la gravedad que se les atribuye en la resolución sancionatoria. Asegura que no puede considerarse que la conducta tuvo una magnitud suficiente como para justificar la sanción impuesta.
Finalmente, solicita que, en aplicación de los criterios de atenuación legalmente establecidos, se valore que: (i) no obtuvo ningún beneficio con la conducta sancionada, (ii) no obstruyó la investigación, y (iii) no se rehusó al cumplimiento de las instrucciones de la entidad. Si bien reconoce que la sanción se encuentra dentro del marco legal, solicita que se aplique el rango mínimo posible en virtud del reconocimiento de los hechos y de las acciones correctivas adoptadas.
QUINTO. Que, la Dirección, mediante la Resolución No. 16 del 2 de enero de 2025, resolvió el recurso de reposición interpuesto, confirmando en su totalidad la Resolución No. 29069 del 5 de junio de 2024. En la decisión adoptada, se concluyó que la imposición y graduación de la sanción no responde a una decisión arbitraria, sino que se fundamenta en los parámetros establecidos en la ley y en los criterios definidos por la jurisprudencia aplicable.
La conducta de la investigada evidenció un incumplimiento claro del deber legal de comunicar previamente al titular antes de reportar información negativa, lo cual constituye una vulneración directa del derecho fundamental al habeas data. Adicionalmente, no se acreditó adecuadamente la aplicación del principio de responsabilidad demostrada conforme a la Ley 1266 de 2008, ya que los elementos aportados por la investigada se circunscriben al cumplimiento de obligaciones previstas en otra normativa, específicamente la Ley 1581 de 2012.
La intervención de esta Superintendencia fue necesaria para restablecer los derechos del titular, lo que refuerza la gravedad de la conducta y justifica la imposición de la medida sancionatoria.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) sobre cuyos argumentos pasa a pronunciarse, así: 6.1.
Respecto del principio de responsabilidad demostrada Esta Delegatura advierte que la estructura del recurso de apelación carece de un desarrollo argumentativo concreto, claro y dirigido específicamente a cuestionar el fundamento de la sanción impuesta. En concreto, el incumplimiento del deber de comunicar al titular de la información, con antelación al reporte negativo, en los términos establecidos en el artículo 12 de la Ley 1266 de 2008.
“Por la cual se resuelve un recurso de apelación” En efecto, el escrito de apelación se limita a exponer consideraciones generales y afirmaciones vagas relacionadas con otros deberes del responsable del tratamiento, como el de atender los requerimientos efectuados por esta Autoridad o el de incluir la leyenda de “reclamo en trámite” cuando corresponda, sin que tales manifestaciones sean pertinentes para controvertir el incumplimiento concreto que motivó la decisión sancionatoria.
No obstante esta deficiencia sustancial en la formulación del recurso, este Despacho procede al análisis de los argumentos expuestos por la recurrente, con el fin de dejar en evidencia que los mismos no tienen la entidad suficiente para desvirtuar ni los hechos que dieron lugar a la sanción, ni la afectación ocasionada al titular de la información como consecuencia del incumplimiento reprochado.
Por el contrario, como se verá, permiten ratificar que el recurso no logra controvertir de manera eficaz los elementos objetivos y subjetivos que sustentan la sanción impuesta, ni logra demostrar la inexistencia del daño causado al titular por la omisión del deber legal en cuestión. Respecto del principio de responsabilidad demostrada, introducido por los artículos 19A y 19B de la Ley 1266 de 2008 (modificados por la Ley 2157 de 2021), recuerda esta Delegatura que el mismo impone a los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios, la obligación de implementar y demostrar medidas apropiadas, efectivas y verificables que garanticen el cumplimiento de dicha ley.
Estas medidas deben ser proporcionales a la naturaleza jurídica y tamaño de la entidad, al tipo y naturaleza de los datos tratados, al tipo de tratamiento realizado y a los riesgos que dicho tratamiento pueda generar sobre los derechos de los titulares. Este principio implica que el cumplimiento de las obligaciones legales no se agota con la elaboración de documentos, políticas o manuales, sino que exige una gestión activa, constante y verificable en torno al adecuado tratamiento de los datos personales.
Las medidas adoptadas deben estar orientadas a la prevención de riesgos y ser objeto de evaluación periódica para comprobar su eficacia. Esta Delegatura ha advertido que la verificación del cumplimiento de este principio será tenida en cuenta para valorar la imposición o graduación de sanciones por infracción a las normas de protección de datos.
En este caso concreto, para que el principio de responsabilidad demostrada operase como un atenuante de la sanción, la sociedad recurrente debió acreditar que, al momento de ocurrencia de los hechos sancionados, había adoptado medidas útiles, efectivas y verificables, orientadas al cumplimiento del deber de comunicar previamente al titular antes de reportar información negativa, de acuerdo con lo dispuesto en el artículo 12 de la Ley 1266 de 2008.
Asimismo, debía demostrar que dichas medidas estaban diseñadas para prevenir la conducta que dio lugar a la sanción. Sin embargo, tras el análisis del acervo probatorio, este Despacho concluye que la sociedad solo allegó los documentos: “Políticas y procedimientos para el tratamiento y protección de datos personales” y el “Aviso de privacidad”, los cuales, si bien son parte del marco general de cumplimiento de la normativa de protección de datos, no guardan relación directa con el deber específico incumplido.
Tampoco se aportó evidencia que permita verificar la existencia, contenido o fecha de implementación del supuesto “programa integral de protección de datos personales”. Ni tampoco se demostraron medidas específicas útiles y efectivas orientadas al cumplimiento del deber de notificación previa. En consecuencia, no se demostró que tales instrumentos estuvieran vigentes antes de los hechos ni que fueran eficaces para prevenirlos.
Por lo anterior, es claro que no se cumplieron los mandatos del principio de responsabilidad demostrada en el caso bajo estudio, y por tanto el mismo no puede ser valorado como criterio atenuante de la sanción. Se resalta que el cumplimiento de este principio no se limita a la existencia formal de documentos, sino que requiere una implementación real y efectiva en todas las prácticas organizacionales relacionadas con el tratamiento de datos personales, y en el caso de alegarse frente al incumplimiento de un deber, la demostración de las “Por la cual se resuelve un recurso de apelación” medidas pertinentes, útiles y eficaces debe estar orientada a conjurar, específicamente, las posibilidades de su ocurrencia. Finalmente, en cuanto al argumento expuesto por la sociedad recurrente, según el cual “si bien pudieron presentarse fallas puntuales y aisladas, la organización ha adoptado medidas pertinentes, útiles y eficaces para asegurar el cumplimiento del derecho a la protección de datos personales”, este Despacho insiste, como ya se indicó en párrafos anteriores, que la sola afirmación de “haber adoptado medidas” no tiene el poder de desvirtuar la infracción cometida, ni constituye una justificación válida frente al incumplimiento concreto del deber legal de comunicar al titular previamente al reporte de información negativa, conforme lo exige el artículo 12 de la Ley 1266 de 2008, y como se evidenció en la sustanciación del presente asunto.
Y mucho menos si, como se observa en este caso, las medidas mencionadas por la sociedad no guardan relación directa ni específica con el deber objeto de la sanción, lo que refuerza la ineficacia del argumento presentado para desvirtuar la conducta infractora. Ahora bien, en gracia de discusión, este Despacho procede a analizar el argumento de la sociedad, según el cual se trató de una falla “puntual y aislada”, respecto del deber objeto de sanción. Frente a este argumento, esta Delegatura pudo constatar, a partir de lo contenido en el expediente, que la recurrente ha sido sancionada en al menos cinco (5) ocasiones por la misma conducta vulneratoria, esto es, por reportar información negativa sin haber efectuado previamente la comunicación exigida en el artículo 12 de la Ley 1266 de 2008.
Esta demostrada y documentada reincidencia en la comisión de la infracción evidencia que la conducta no es aislada, y de paso pone de manifiesto la ineficacia de los mecanismos internos adoptados por la sociedad para garantizar el cumplimiento del deber legal correspondiente. La reincidencia en esta conducta infractora desvirtúa cualquier alegato tendiente a minimizar la gravedad del hecho o a presentarlo como un evento accidental.
Por el contrario, permite inferir la ausencia de controles efectivos para el cumplimiento de los deberes legales. En este sentido, la existencia de antecedentes sancionatorios por la misma infracción no solo agrava la situación de la sociedad, sino que refuerza la validez de la sanción impuesta en esta oportunidad. En virtud de lo expuesto, para esta Delegatura es claro que dicho incumplimiento comprometió directamente el interés jurídico tutelado por la Ley 1266 de 2008, y el derecho fundamental al habeas data del denunciante, titular de la información. La omisión del deber de comunicación previa al reporte negativo no puede considerarse un hecho menor, pues no solo vulnera el derecho del titular directamente afectado, sino que expone a todos los titulares cuyos datos son tratados por la fuente de información a un riesgo permanente de afectación ilegítima.
La práctica de reportar información negativa sin cumplir con los requisitos legales está prohibida de manera rotunda y configura una actuación negligente que desconoce las garantías mínimas previstas en el marco normativo de protección de datos personales. 6.2. Sobre los requerimientos de la Superintendencia de Industria y Comercio Los argumentos presentados por la sociedad recurrente en relación con los requerimientos efectuados por esta Superintendencia resultan completamente ajenos al incumplimiento que fue objeto de sanción, razón por la cual no son idóneos para desvirtuar la validez de la Resolución impugnada.
Tal como se expuso previamente, la conducta reprochada en este caso y que fundamentó la sanción no está fundamentada en el incumplimiento de órdenes o requerimientos formulados por esta Autoridad; sino con la omisión del deber legal de comunicar previamente al titular de la información antes de efectuar un reporte negativo, conforme a lo establecido en el artículo 12 de la Ley 1266 de 2008.
“Por la cual se resuelve un recurso de apelación” Asimismo, respecto de las 81 órdenes mencionadas por la sociedad recurrente con las que pretende sustentar la tesis de que el incumplimiento observado corresponde a un “hecho aislado” en el marco del cumplimiento de requerimientos y órdenes impartidas por esta Superintendencia, es preciso reiterar que dicha conducta no sirvió de fundamento a la sanción impuesta, razón por la cual la referencia a dichas órdenes resulta impertinente para desvirtuar la conducta efectivamente sancionada.
En este contexto, los argumentos de la sociedad no guardan relación con el reproche formulado y, por tanto, por impertinentes, no tienen la virtud para controvertir la decisión adoptada. Finalmente, en relación con el argumento expuesto por la recurrente, según el cual existe un supuesto “compromiso de mejora”, este Despacho precisa que tales manifestaciones se refieren exclusivamente al deber de atender los requerimientos efectuados por esta Superintendencia, el cual no fue objeto de la sanción impuesta.
En consecuencia, dichos argumentos resultan irrelevantes frente a la infracción efectivamente cometida, esto es, la omisión del deber legal de comunicar al titular con antelación al reporte negativo y, por lo tanto, no constituyen circunstancias que atenúen o puedan atenuar la gravedad de la conducta sancionada. 6.3. Sobre la proporcionalidad de la sanción impuesta Esta Delegatura advierte que la sociedad recurrente al invocar un supuesto desconocimiento del principio de proporcionalidad por parte de la Dirección, se refiere al cumplimiento de deberes distintos a aquel que motivó la imposición de la sanción, como son: la atención de requerimientos efectuados por esta Superintendencia y la inclusión de la leyenda “reclamo en trámite” ante los operadores de información. En ese sentido, el reconocimiento de la omisión de dichos deberes, la adopción de medidas para garantizar su cumplimiento futuro, así como la afirmación de que no se generaron daños al interés jurídico tutelado, resultan ajenos al análisis de proporcionalidad de la sanción impuesta y no desvirtúan la infracción efectivamente sancionada.
Sin embargo, pese a que los argumentos presentados por la recurrente no guardan relación con los hechos que fundamentan la sanción, ni contienen elemento alguno orientado a desvirtuar el daño causado, la reincidencia demostrada o el reconocimiento expreso de la conducta infractora, esta Delegatura considera pertinente aclarar que la sanción impuesta no desconoce el principio de proporcionalidad.
El artículo 18 de la Ley 1266 de 2008 otorga a la Superintendencia de Industria y Comercio la facultad de imponer sanciones a operadores, fuentes y usuarios de la información. Estas sanciones pueden consistir en multas, de carácter tanto personal como institucional, cuya cuantía máxima puede alcanzar hasta dos mil (2.000) salarios mínimos legales mensuales vigentes al momento de su imposición, por violaciones a la ley o por el incumplimiento de órdenes e instrucciones impartidas por la autoridad.
Sobre este punto, la Corte Constitucional, en la Sentencia C-1011 del 16 de octubre de 2008, puntualizó lo siguiente: “Los preceptos que concurren a estructurar, de manera precisa y determinada, la norma de conducta del tipo administrativo, contienen prescripciones categóricas a cargo de los operadores del sistema, orientadas a salvaguardar los diversos ámbitos que integra el derecho fundamental del hábeas data (efectividad de las facultades de conocimiento, actualización y rectificación) de las prácticas indebidas por parte de quienes detentan el poder informático.
La violación a esas prescripciones explícitamente definidas en la ley, es lo que integra el supuesto de hecho de la sanción de multa contemplada en el párrafo segundo del artículo 18. De tal manera que en lo que concierne a la hipótesis “violación de la ley” de hábeas data, como supuesto de hecho para la imposición de la sanción de multa, “Por la cual se resuelve un recurso de apelación” la conducta que da lugar a la imputación de responsabilidad administrativa es perfectamente determinable a partir de la integración de la expresión mencionada del párrafo segundo del artículo 18, con el contenido deontológico de los artículos 7, 8 y 9 de la misma norma estatutaria”.
En consecuencia, el desconocimiento de cualquiera de las disposiciones establecidas en la Ley 1266 de 2008 habilita a esta Superintendencia para ejercer su potestad sancionatoria, siempre que ello sea resultado de una actuación administrativa que constate la infracción, especialmente cuando se trata del incumplimiento de deberes atribuibles a las fuentes de información. Dicha potestad debe ejercerse de forma razonable y proporcional, garantizando que la sanción impuesta guarde correspondencia con la finalidad de la norma infringida y con la gravedad de la conducta sancionada.
En este sentido, se ha comprobado que la sociedad recurrente incurrió en el incumplimiento de lo dispuesto en el artículo 12 de la Ley 1266 de 2008, que establece lo siguiente: “ARTÍCULO 12. Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley.
El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta.” (Negrilla fuera de texto).
Sobre esta obligación, la Corte Constitucional en Sentencia C-1011 de 2008 precisó: “El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato. En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin de que la incorporación del reporte incluya esos motivos de inconformidad.
La previsión de trámites de esta naturaleza, que facilitan la preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. (…) La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable.
En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.
Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5º del artículo 8º del Proyecto de Ley”. (Negrilla fuera de texto) “Por la cual se resuelve un recurso de apelación” De conformidad con lo anterior, resulta claro que, en caso de incumplimiento de las obligaciones por parte del titular, las fuentes de información únicamente pueden reportar datos negativos a los operadores una vez hayan enviado una comunicación previa al titular, con el propósito de permitirle ejercer su derecho de contradicción, realizar el pago de la obligación, o controvertir aspectos como el monto, la cuota, la fecha de exigibilidad, o incluso la existencia misma de la obligación. El cumplimiento de este deber de comunicación previa constituye un presupuesto esencial para la validez del reporte de información negativa ante los operadores, y, por tanto, para la legitimidad del tratamiento de datos personales asociado a dicho reporte.
En el presente caso, se comprobó que la RECURRENTE incurrió en una actuación negligente al reportar negativamente la obligación No. 576400 ante los operadores de información en septiembre de 2013, sin el lleno de los requisitos de ley. La comunicación efectuada al titular no cumplió con el requisito de antelación de 20 días, ya que fue enviada hasta octubre de 2018, es decir, 5 años después del reporte negativo.
Esto constituye una infracción directa al deber legal de comunicar previamente al titular, vulnerando su derecho fundamental al habeas data, al impedirle ejercer oportunamente su derecho a controvertir la información, cuestionar el monto o la fecha de exigibilidad, o incluso efectuar el pago antes de que su historial crediticio resultara afectado.
Con fundamento en el incumplimiento previamente acreditado, este Despacho procede a verificar el monto de la sanción conforme a lo dispuesto en el artículo 19 de la Ley 1266 de 2008, el cual establece los criterios que deben considerarse para tal fin, en cuanto resulten aplicables, así: “ARTÍCULO 19. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Sobre estos criterios, la Corte Constitucional en la misma Sentencia C-1011 de 2008, señaló: “Criterios de graduación de las sanciones (Art. 19).
En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;
(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) De lo anterior se desprende que no es necesario ponderar todos los criterios en cada caso, sino únicamente aquellos para los cuales existan elementos probatorios que permitan su aplicación. “Por la cual se resuelve un recurso de apelación” En esa medida, los criterios agravantes establecidos en los literales a), b), c), d) y e) están diseñados para incrementar el monto de la sanción y no pueden ser utilizados como elementos de atenuación, como lo pretende la sociedad recurrente.
En cambio, el literal f) es el único criterio con efecto atenuante, siempre que exista un reconocimiento expreso de la infracción por parte del investigado antes de la imposición de la sanción. En el presente caso, se aplicaron los criterios agravantes establecidos en los literales a) y c): • • Literal a) por demostrarse el daño o peligro al interés jurídico tutelado, el derecho fundamental al habeas data.
Literal c) por la reincidencia en la conducta vulneratoria, evidenciada en al menos cinco oportunidades. En cuanto al criterio atenuante del literal f), no se encontró aplicable, ya que la sociedad recurrente únicamente reconoció la comisión de conductas distintas a las que dieron lugar a la sanción, específicamente en relación con deberes respecto de los cuales se profirieron órdenes administrativas, mas no sanciones.
Por lo tanto, en relación con el deber específico de comunicar previamente al titular antes de efectuar un reporte negativo, consagrado en el numeral 10 del artículo 8 y el artículo 12 de la Ley 1266 de 2008, no hubo en este caso un reconocimiento expreso de la infracción. Finalmente, se destaca que la vulneración del derecho de hábeas data no solo afecta al titular directamente involucrado, sino que también pone en riesgo los derechos de toda la sociedad.
Por esto, la sanción impuesta no puede ni debe tratarse como una cuestión insignificante o de poca relevancia, ni mucho menos como si las incidencias del proceso lo conviertan en uno de indemnización de daños y perjuicios. Sobre este punto esta Delegatura resalta que la sanción impuesta equivale al 12.6% del máximo legal permitido y cumple con los principios de razonabilidad y proporcionalidad.
Esta no solo garantiza un efecto disuasorio adecuado, sino que también asegura la protección efectiva del derecho fundamental al habeas data. Su propósito no es únicamente sancionar la conducta individual, sino además prevenir la reiteración de la infracción tanto por esta sociedad ahora recurrente, como por cualquier otra que adelante este tipo de tratamiento de información personal.
La sanción impuesta es legítima y proporcionada frente a la infracción cometida, máxime si están, como efectivamente lo fueron, debidamente estimadas las causales de agravación. Por último, la confirmación de la sanción impuesta por la Dirección de Investigaciones a la que se procederá, esta Delegatura insiste, de ningún modo puede entenderse como que exima al deudor del deber de honrar sus obligaciones, o como que impida a la sociedad acreedora ejercer sus derechos de cobro conforme a la ley.
SÉPTIMO. Que esta Delegatura ha llegado a las siguientes conclusiones: • En el presente caso está plenamente demostrado el incumplimiento del deber establecido en el numeral 10, del artículo 8, de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita. En efecto, la sociedad no acreditó haber enviado efectivamente al titular la comunicación previa exigida por el artículo 12 de la Ley 1266 de 2008. • La sanción impuesta a CREDIVALORES - CREDISERVICIOS S.A. es legítima y proporcionada, busca proteger el derecho fundamental al habeas data, y tiene como fin prevenir infracciones al régimen de protección de datos.
“Por la cual se resuelve un recurso de apelación” • La sociedad no acreditó que, para la fecha de los hechos denunciados, tuviese implementadas medidas efectivas y verificables tendientes a cumplir el deber sancionado y a evitar sucesos como el denunciado. • La multa impuesta a CREDIVALORES - CREDISERVICIOS S.A. ($329.011.844), corresponde al 12.6% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 18 de la Ley 1266 de 2008). • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso y de la valoración y análisis de las causales de agravación previstas en la ley. • La conducta vulneratoria no solo afectó el derecho al habeas data del titular cuyos datos personales fueron objeto de tratamiento indebido, sino que también revela el riesgo de vulneración del derecho al habeas data de titulares indeterminados. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando la protección efectiva del derecho fundamental al habeas data.
Su objetivo no es solo sancionar la conducta individual, sino generar un efecto disuasorio que evite la repetición de la infracción. Por lo cual, esta Delegatura, de conformidad con el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, confirmará la resolución 29069 del 5 de junio de 2024 y, en mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 29069 del 5 de junio de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CREDIVALORES - CREDISERVICIOS S.A., identificada con NIT. 805.025.964-3 a través de su representante legal, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión al señor xxxx xxxxxxx xx xx xxx xxxxxx identificado con cédula de ciudadanía No. x.xxx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones, y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 19 de mayo 2025 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.05.19 10:55:49 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CREDIVALORES - CREDISERVICIOS S.A. Nit. 805.025.964-3 German Alonso Lozano Bonilla C.C. No. 80.202.036 Carrera 10 # 65 - 98 Piso 5 Bogotá D.C., Colombia impuestos@credivalores.com COMUNICACIÓN Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXX XXXXXXX XX XX XXX XXXXXX C.C. No. x.xxx.xxx.xxx xx xx xxxx xx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxx