Sanción 52195 de 2024 — SIC

(09 de septiembre de 2024) “Por la cual se impone una sanción” Radicado 23-208952 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CREDIVALORES – CREDISERVICIOS S.A., identificada con NIT. 805.025.964-3, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 24754 del 8 de mayo de 2023, por medio de la cual se formularon cargos a la sociedad en mención, por la presunta infracción a lo dispuesto en: i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. ii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso 1° del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. iii) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem. iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. v) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 ejusdem.

La mencionada resolución le fue notificada a la investigada de forma electrónica el día 9 de mayo de 2023, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23208952-6 del 17 de mayo de 2023, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación a la denunciante.

SEGUNDO: Que, la sociedad CREDIVALORES – CREDISERVICIOS S.A. aportó escrito de descargos, junto con anexos, bajo el radicado número 23208952-7 del 31 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: “(…) II. DESCARGOS Cargo primero: “Por la cual se impone una sanción” “La presunta infracción por parte de LA INVESTIGADA en su calidad de responsable del Tratamiento, del deber de garantizar a la Titular el pleno y efectivo ejercicio del derecho de hábeas data, que se deriva del literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015” Respecto al cargo en mención solicito se desestime por los hechos que permito motivar a continuación: Mi representada no vulnero (sic) la normatividad mencionada toda vez que con el reclamo de la quejosa realizado el 27 de enero mi representada realizo (sic) las eliminaciones correspondientes como me permito demostrar con las siguientes capturas de pantalla de los aplicativos de mi representada en los cuales se evidencia que el abonado telefónico fue eliminado de todas las bases existentes.

Se demuestra así que mi representada si permitió el pleno derecho de habeas data permitiendo la exclusión del dato telefónico. (…) Cargo segundo: “: (sic) La presunta infracción por parte de LA INVESTIGADA en su calidad de Responsable del Tratamiento, del deber de conservar y solicitar a la Titular autorización previa, expresa e informada para el Tratamiento de sus datos personales, que se deriva del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, que preceptúan lo siguiente:” (…) Respecto al cargo su señoría mi representada se acoge a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic).

Además, su señoría le ruego tenga como atenuante que mi representada elimino (sic) el abonado telefónico como se soporta anteriormente y no se benefició económicamente con la infracción, además, téngase en cuenta que, aunque no se dio respuesta a la autoridad de los requerimientos hechos si (sic) se generaron respuestas a la denunciante dejando en claro la eliminación del abonado telefónico.

Cargo tercero: “: (sic) La presunta infracción por parte de LA INVESTIGADA, en su calidad de Responsable del Tratamiento, del deber de tramitar las consultas y reclamos interpuestos por la Titular, que se deriva del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 5 ejusdem, que preceptúan lo siguiente::” (…) Respecto al cargo en mención solicito se desestime por los hechos que permito motivar a continuación: Mi representadas dio respuesta a la quejosa mediante oficio 3722480 la cual fue enviada al correo de la quejosa xxxxxxxxxxxxxxxxx.

Con la presente allego la respuesta demostrando que no se incumplió la normatividad en mención. Cargo cuarto: “: (sic) La presunta infracción por parte de LA INVESTIGADA, en su calidad de Responsable del Tratamiento, del deber de adoptar un Manual de Políticas de Seguridad, que se deriva del literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, que preceptúan lo siguiente: (…) “Por la cual se impone una sanción” Respecto al cargo en mención solicito se desestime por los hechos que permito motivar a continuación: Mi representadas (sic) desde el año de la promulgación de la ley cuenta con una política de tratamiento de datos la cual ha sido constantemente actualizada, a hoy esta es publica (sic) y se encuentra en nuestra pagina (sic) web en el siguiente enlace https://www.credivalores.com.co/politica-manejo-datos, igualmente con la presente la allego demostrando que no se incumple con la normatividad referenciada.

Cargo quinto: “: (sic) La presunta infracción por parte de LA INVESTIGADA, en su calidad de Responsable del Tratamiento, del deber de cumplir los requerimientos y órdenes impartidos por la Superintendencia de Industria y Comercio, que se deriva del literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 ejusdem, que preceptúan lo siguiente:” (…) Respecto al requerimiento efectuado por esta Superintendencia a través del oficio con número de radicado 21-200800-5 del 16 de junio de 2021, mi representada se acoge a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic).

Respecto al cumplimiento de las órdenes impartidas por este Despacho a través de la Resolución No. 58034 del 09 de septiembre de 2021. Como se demostró anteriormente mi representada ya había eliminado el abonado telefónico de la quejosa por tanto lo único que se le puede indilgar a mi representada es la omisión de informar dicho cumplimiento incluso antes de la orden impartida.

Por tanto, a la totalidad del cargo, mi representada se acoge parcialmente a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic), por lo ya expuesto. Además, su señoría le ruego tenga como atenuante que mi representada elimino (sic) el abonado telefónico como se soporta anteriormente y no se benefició económicamente con la infracción, además, téngase en cuenta que, aunque no se dio respuesta a la autoridad de los requerimientos hechos si se generaron respuestas a la denunciante dejando en claro la eliminación del abonado telefónico.

(…)”1.

TERCERO: Que, mediante Resolución No. 36865 del 30 de junio de 2023 se incorporaron unas pruebas y se decretó de oficio la siguiente: “(…)

ARTÍCULO 2: ABRIR periodo probatorio y DECRETAR de oficio la siguiente prueba: Requerir a la sociedad CREDIVALORES - CREDISERVICIOS S.A, con el fin de que informe: (i) el nombre de la base de datos desde la cual eliminó el número celular XXXXXXXXX y los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXXX, identificada con C.C. No. XXXXXXXX;

(ii) si existe replicación de la información contenida en la base de datos donde se encuentran los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXXXX en otra(s) bases de datos o centros de datos alternos; y (iii) que aporte la grabación del procedimiento de eliminación de los datos personales de la titular, desde donde se extrajeron las capturas de pantalla aportadas y las pruebas que considere pertinente para acreditar la fecha de eliminación de los datos personales de la titular.

(…)”. 1 Radicado No. 23-276810-12 del 14 de agosto de 2023. “Por la cual se impone una sanción”

CUARTO: Que, este Despacho requirió a la sociedad CREDIVALORES CREDISERVICIOS S.A., por medio de oficio con radicado número 23-20895212 del 31 de octubre de 2023, para que aportara la siguiente información: “(…) 1. Informen a este Despacho el nombre de la base de datos de la cual se eliminó el número celular XxXXXXXXXX y los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXX, identificada con la cédula de ciudadanía No. xxxxxxxxxx. 2.

Indiquen al Despacho si existe replicación de la información contenida en la base de datos donde se encuentran los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXX, en otras bases de datos o centro de datos alternos. 3. Aporten la grabación del procedimiento de eliminación de los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXX, desde donde se extrajeron las capturas de pantalla aportadas y aporten las pruebas que consideren pertinentes para acreditar la fecha de eliminación de los datos personales de la titular.

(…)”.

QUINTO: Que, la sociedad CREDIVALORES - CREDISERVICIOS S.A. dio respuesta al requerimiento referido anteriormente, por medio de comunicación con radicado 23-208952-14 y 23-208952-15 del 16 de noviembre de 2023, en los siguientes términos: “(…) (i) Nombre de la base de datos desde la cual eliminó el número celular XXXXXXXXX y los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXxxXX, identificada con C.C. No. xxxxxxxxx;

Base de gestión interna de Credivalores Crediservicios S.A: Masiv – SAC – PREDICTIVOS ALIADOS (ii) Si existe replicación de la información contenida en la base de datos donde se encuentran los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXxxX en otra(s) bases de datos o centros de datos alternos; No registra replicación de la información; por lo cual es necesario reiterar que la línea telefónica fue proporcionada por un Cliente directo de la Entidad, quien no informó el cambio de número; es importante resaltar que, la gestión de cobro se realizó a dicho número acorde al principio de buena fe y en cumplimiento al artículo 8 de la Ley 1581 de 2012 “Derechos de los Titulares.” “a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.

Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”. (iii) Que aporte la grabación del procedimiento de eliminación de los datos personales de la titular, desde donde se extrajeron las capturas de pantalla aportadas y las pruebas que considere pertinente para acreditar la fecha de eliminación de los datos personales de la titular Al presente escrito se anexa video explicativo de la gestión interna realizada por la Entidad respecto a la eliminación del número de línea telefónica.

“Por la cual se impone una sanción” Para efectos de una mayor ilustración y teniendo en cuenta su solicitud, me permito allegar Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de Bogotá. (…)”.

SEXTO: Que, mediante oficio radicado el 8 de julio de 2024 bajo el número 23208952-16, este Despacho cerró la etapa probatoria y corrió traslado a la sociedad investigada para que presentara alegatos de conclusión.

SÉPTIMO: Que, la sociedad CREDIVALORES - CREDISERVICIOS S.A. presentó escrito de alegatos de conclusión, por medio de comunicación con radicado número 23-208952-17 del 23 de julio de 2024, en el que reiteró lo manifestado en el escrito de descargos y agregó lo siguiente: “(…) Mi representada Credivalores S.A., ha demostrado el cumplimiento de la Ley 1581 de 2012 y los derechos de protección de datos.

En su momento se procedió a suprimir los datos en los términos y condiciones indicadas en la Resolución 58034 del 09 de septiembre del 2021, garantizando de esta manera los derechos del titular de la información en mención. Es de anotar que la entidad representada cuenta con mecanismos internos rigurosos que aseguran el cumplimiento de la protección de datos y para el caso específico de la demandante, se tomaron las medidas necesarias para suprimir los datos.

Además, se informó a la titular sobre las acciones tomadas para la supresión de tales datos. (…) Respecto a la presunta infracción del derecho de Habeas Data, conforme al literal a del articulo 57 y literal del artículo 8 de la ley 1581 del 2012 y el Decreto Único Reglamentario 1074 de 2015, Credivalores una vez recibe comunicación con radicado 21-200800-0 del 14 de mayo de 2021 de la demandante, inicia el proceso para brindar una respuesta efectiva y de fondo a la solicitud, tal y como se puede apreciar en las pruebas decretadas y allegadas al proceso, se han resuelto de forma completa las peticiones elevadas por la demandante.

Una vez la sociedad demandada detecto la situación se tomaron las medidas para resolver el requerimiento, demostrando la buena fe, responsabilidad y compromiso con los derechos de los titulares. (…) Credivalores, tomo(sic) las medidas tendientes a proteger los datos de la titular, se eliminando (sic) en su momento el número del celular en mención. En consecuencia, no se registra replicación de la información del titular tal como se refleja en el video adjuntado en la comunicación del 16 de noviembre del 2023.

(…) ▪ Credivalores no incurre en ninguno de las infracciones mencionadas en la RESOLUCIÓN NÚMERO 24754 del 2023 “Por medio de la cual se inicia una investigación administrativa y se formulan cargos”. ▪ No se pudo demostrar que CREDIVALORES- CREDISERVICIOS S.A le hubiera generado algún tipo de daño a la demandante y tampoco que por parte del demandado se le hubiera vulnerado su derecho a la intimidad, el Habeas Data y la protección de datos. ▪ Dentro de las pruebas allegadas al proceso, se evidencia la existencia de: - Política de seguridad Computación en la Nube Manual - Política de seguridad de la información Manual - Política para uso adecuado de internet Manual - Política para uso de usuarios y claves Manual - Política de escritorio y pantalla limpia Manual - Política de protección contra software malicioso Manual “Por la cual se impone una sanción” - Política de acceso remoto Manual - Política de relación con proveedores Manual - Política para la configuración y modificación de equipos Manual - Política para el manejo de medios removibles de almacenamiento Manual - Política de acceso físico Manual - Política de uso de controles criptográficos Manual - Control de usuarios y perfiles en aplicativos Manual - Gestión de acceso y asignación de usuarios Procedimiento - Procedimiento Gestión de accesos a usuarios privilegiados (…)”.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

NOVENO: Análisis del caso 9.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 2011, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”2.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo consagrado en: • • • • El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso 1° del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem.

El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 2 Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032. “Por la cual se impone una sanción” • El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 ejusdem.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción, para lo cual se deberá́ tener en cuenta los hechos narrados por la denunciante, las razones de hecho y de derecho aducidas por la investigada en sus escritos de descargos y alegatos de conclusión, así́ como el conjunto de pruebas allegadas al expediente. 9.2.

Valoración probatoria y conclusiones 9.2.1. Respecto del deber de garantizar al Titular el pleno y efectivo ejercicio del derecho de hábeas data El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los Responsables del tratamiento, entre los que se encuentra el siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…)”. A su turno, el literal e) del artículo 8 del cuerpo normativo en cita, señala lo siguiente: "Artículo 8.

Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: ( ) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

(…)”. En relación con los artículos en cita, la Corte Constitucional, mediante sentencia C-748 de 2011, realizó las siguientes precisiones: “En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular, en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares.” ‘Examen del ordinal e) Esta disposición establece en Colombia el llamado derecho a la oposición. La norma señala que el Titular del dato podrá revocar la autorización y/o solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales y (ii) siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. (…) “Por la cual se impone una sanción” Entonces, el interesado o individuo titular del dato, bajo el estándar Europeo, tiene derecho a oponerse a su utilización: (i) por razones personales, si no existe ninguna obligación legal que le imponga la permanencia del dato, (ii) en cualquier momento cuando el dato ha sido tratado sin su consentimiento;

(iii) el tratamiento es utilizado para fines distintos a los establecidos inicialmente y, (iv) cuando es tratado con fines de prospección de mercadeo por parte de terceras personas. Es decir, cuando se utiliza para fines publicitarios, y el Titular del dato ya no desea recibir más información sobre el producto.” (Subraya fuera del texto original) Por su parte, el Decreto Único Reglamentario 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.6.

Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de facil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” “Artículo 2.2.2.25.4.3.

Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento.” De la normatividad y los extractos jurisprudenciales en cita, se tiene que, de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de Habeas Data permite a los Titulares solicitar la exclusión de información que haya sido recogida en bases de datos, pues el Titular podrá solicitar la supresión del dato cuando, además de que no se respeten los principios, derechos y garantías constitucionales y legales, no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos y sea su voluntad no permanecer en ella.

Por lo anterior, en el mes de enero de 2021 la Titular interpuso un reclamo ante LA INVESTIGADA, solicitando la eliminación de su número telefónico de las bases de datos de la sociedad, con la finalidad de que ésta “desvinculara mi número telefónico del nombre del señor XXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX” y no continuara comunicándose con ella.

Sin embargo, la Titular informó que LA INVESTIGADA no atendió su reclamo. Respecto a lo anterior, esta Dirección, a través del Grupo de Trabajo de Hábeas Data, remitió a LA INVESTIGADA oficio con número de radicado 21-200800-5 del 16 de junio de 2021, dirigido a la dirección electrónica impuestos@credivalores.com (registrada dentro del Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial), para que, entre varios temas, acreditara “prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular”; sin embargo, habiéndose cumplido el término de QUINCE (15) días hábiles otorgado por esta Dirección para brindar contestación, LA INVESTIGADA no se pronunció. Por lo tanto, teniendo en cuenta que LA INVESTIGADA no remitió prueba que acreditara la eliminación de los datos personales de la Titular de sus bases de datos, se tiene entonces que, preliminarmente LA INVESTIGADA no garantizó a la Titular el pleno y efectivo ejercicio del derecho de hábeas data.

Esta conducta se subsume típicamente en una presunta infracción al deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8° ejusdem, y con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. (…)”. Adicionalmente, en escrito de descargos, la sociedad CREDIVALORES – CREDISERVICIOS S.A., radicado bajo el número 23-208952-7 del 31 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: “(…) Mi representada no vulnero (sic) la normatividad mencionada toda vez que con el reclamo de la quejosa realizado el 27 de enero mi representada realizo (sic) las eliminaciones correspondientes como me permito demostrar con las siguientes capturas de pantalla de los aplicativos de mi representada en los cuales se evidencia que el abonado telefónico fue eliminado de todas las bases existentes.

Se demuestra así que mi representada si permitió el pleno derecho de habeas data permitiendo la exclusión del dato telefónico. (…) “Por la cual se impone una sanción” (…)”. Por otra parte, y en virtud de la prueba de oficio decretada por medio de la Resolución No. 36865 del 30 de junio de 2023, este Despacho requirió a la sociedad CREDIVALORES - CREDISERVICIOS S.A., por medio de oficio con radicado número 23-208952-12 del 31 de octubre de 2023, para que aportara la siguiente información: “(…) “Por la cual se impone una sanción” 1.

Informen a este Despacho el nombre de la base de datos de la cual se eliminó el número celular xxxxxxxxxxx y los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXX, identificada con la cédula de ciudadanía No. XXXXXXXXX. 2. Indiquen al Despacho si existe replicación de la información contenida en la base de datos donde se encuentran los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXX, en otras bases de datos o centro de datos alternos. 3.

Aporten la grabación del procedimiento de eliminación de los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXX, desde donde se extrajeron las capturas de pantalla aportadas y aporten las pruebas que consideren pertinentes para acreditar la fecha de eliminación de los datos personales de la titular. (…)”. En respuesta al requerimiento anteriormente referido, la sociedad CREDIVALORES - CREDISERVICIOS S.A., por medio de comunicación con radicados 23-208952-14 y 23-208952-15 del 16 de noviembre de 2023, en la que manifestó lo siguiente: “(…) (i) Nombre de la base de datos desde la cual eliminó el número celular xxxxxxxxxxx y los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXXXX, identificada con C.C. No. XXXXXXXX;

Base de gestión interna de Credivalores Crediservicios S.A: Masiv – SAC – PREDICTIVOS ALIADOS (ii) Si existe replicación de la información contenida en la base de datos donde se encuentran los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXXXX en otra(s) bases de datos o centros de datos alternos; No registra replicación de la información; por lo cual es necesario reiterar que la línea telefónica fue proporcionada por un Cliente directo de la Entidad, quien no informó el cambio de número; es importante resaltar que, la gestión de cobro se realizó a dicho número acorde al principio de buena fe y en cumplimiento al artículo 8 de la Ley 1581 de 2012 “Derechos de los Titulares.” “a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.

Para efectos de una mayor ilustración y teniendo en cuenta su solicitud, me permito allegar Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de Bogotá. (…)”. “Por la cual se impone una sanción” De conformidad con las pruebas aportadas al expediente, este Despacho encontró que la Titular XXXXXXXXXXXXXXXXXXXXXXXX solicitó, en enero de 2021, que: (i) su número celular fuera desvinculado de la cuenta del señor XXXX xxxxxxxxxxxxxxxxxxxxxxx y (ii) que su número celular fuera eliminado de las bases de datos de la sociedad CREDIVALORES – CREDISERVICIOS S.A. Cuestiones frente a las cuales, la Titular manifestó no haber recibido respuesta alguna por parte de la investigada.

Por su parte, la sociedad CREDIVALORES – CREDISERVICIOS S.A. manifestó, en escrito de descargos radicado bajo el número 23-208952-7 del 31 de mayo de 2023, que el número celular de la Titular XXXXXXXXXXXXXXXXX XXXXXXX fue efectivamente eliminado de sus bases de datos desde el día 27 de enero de 2021 y que, en consecuencia, se permitió el pleno ejercicio de su derecho de Habeas Data al eliminar el dato, de conformidad con su solicitud.

Imagen No. 1. Tomada del radicado número 23-208952-7 del 31 de mayo de 2023. A su vez, la sociedad CREDIVALORES – CREDISERVICIOS S.A. aportó un vídeo, por medio de comunicación con radicado número 23-208952-14 del 16 de noviembre de 2023, en el que se explica la gestión interna realizada por la sociedad para la eliminación del número celular xxxxxxxxxxx, correspondiente a la Titular XXXXXXXXXXXXXXXXXXXXXxXXX, en el que presuntamente se evidencia que la eliminación del dato no se realizó en el mes de enero de 2021.

Una vez analizado este vídeo, este Despacho encuentra pertinente realizar las siguientes precisiones: - El video se centra en demostrar que la cédula de ciudadanía de la señora XXXXXXXXXXXXXXXXXXXXXxXXX no se encuentra registrada en las bases de datos de la sociedad investigada, lo cual no es un tema para estudiar dentro de este expediente, pues ya bien ha quedado claro que la titular no tiene ningún vínculo comercial con la sociedad CREDIVALORES – CREDISERVICIOS S.A. y, adicionalmente, el dato que la titular solicitó eliminar fue su número celular. - En el vídeo se observa que al momento de buscar el número celular XXX XXXXXX en las bases de datos de la sociedad investigada, este se encuentra vinculado a la cuenta del señor XXXXXXXXXXXXXXXXXXXX XXXXX, como se evidencia en la siguiente imagen: “Por la cual se impone una sanción” Imagen No. 2.

Captura de pantalla tomada del video aportado en el radicado número 23-208952-14 del 17 de noviembre de 2023. - En la pestaña de ‘Gestiones’ de la cuenta del señor xxxxxxxxxxxxxx xxxxxxxxxxxxxxx, se evidencian todas las acciones que se han realizado sobre esta, en la que se encuentra que la última llamada realizada al número celular XXXXXXXXXX se realizó el día 8 de enero de 2022, día en el cual se dejó la anotación ‘XXXXXXXX número equivocado’, como se observa en la siguiente imagen: Imagen No. 3.

Captura de pantalla tomada del video aportado en el radicado número 23-208952-14 del 17 de noviembre de 2023. - En la pestaña ‘Dir y tel’ de la cuenta del señor XXXXXXXXXXXXXXXXXXXX XXXXX, se evidencia que el número celular XXXXXXXXXX fue marcado con la observación ‘número errado reclamación por pqr’ y se observa que esta actualización fue realizada el día 2 de noviembre de 2023, como se evidencia en la siguiente imagen: “Por la cual se impone una sanción” Imagen No. 4.

Captura de pantalla tomada del video aportado en el radicado número 23-208952-14 del 17 de noviembre de 2023. Una vez analizadas las pruebas obrantes en el expediente de la referencia, este Despacho encuentra que la Titular XXXXXXXXXXXXXXXXXXXXXXXX solicitó la eliminación de su número celular XXXXXXXXXX desde el mes de enero de 2021 y, aun cuando la sociedad CREDIVALORES – CREDISERVICIOS S.A. afirmó que la supresión del dato se realizó desde el 27 de enero de 2021, en el vídeo aportado por la sociedad investigada se evidencia que la gestión del cobro se siguió realizando a este número celular, por lo menos, hasta el día 8 de enero de 2022, fecha en la cual el número celular fue marcado como ‘número equivocado’.

Adicionalmente, se evidenció en el video aportado por la sociedad investigada que el número celular referido fue marcado como ´numero errado reclamación por pqr´ el día 02 de noviembre de 2023, es decir, en una fecha ampliamente posterior a la solicitud de eliminación realizada en enero de 2021 por parte de la Titular XXXXXXXXXXXXXXXXXXXXXXXX.

Así las cosas, se evidencia que la sociedad investigada no atendió oportunamente la solicitud de eliminación del dato realizada por la Titular XXXXXXXXXXXXXXXXXXXXXXXX y, aun cuando conocía que este número no pertenecía a la cuenta del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, continuó realizando la gestión del cobro a este número celular, por lo menos hasta el día 8 de enero de 2022.

En consecuencia, este Despacho evidencia el incumplimiento por parte de la sociedad CREDIVALORES – CREDISERVICIOS S.A. del deber de garantizar al titular el pleno y efectivo ejercicio del derecho de habeas data; razón por la cual se impondrá una sanción pecuniaria por el incumplimiento del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma, y los artículo 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. 9.2.2.

Respecto al deber de solicitar y conservar la copia de la respectiva autorización otorgada por el Titular En primer lugar, el literal b) del artículo 17 de la Ley 1581 de 2012, indica lo siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)”. “Por la cual se impone una sanción” Por su parte, el literal c) del artículo 4 de la Ley 1581 señala cómo para salvaguardar el principio de libertad se requiere que el tratamiento de los datos se haga contando con la autorización previa, expresa e informada del Titular: “Artículo 4. Principios para el tratamiento de datos personales.

En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

(…)”. En armonía con lo anterior, el artículo 9 de la Ley 1581 de 2012 reitera que para el Tratamiento se requiere autorización previa e informada del Titular, así: “Artículo 9. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Así mismo, el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, indica particularmente en relación con la autorización lo siguiente: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos personales que serán recolectados así como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento. Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tengan acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.

En caso de haber cambios sustanciales en el contenido de las políticas de Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” Por su parte, la Corte Constitucional, en la sentencia C- 748 de 2012 señaló lo que se transcribe en relación con el deber bajo estudio: “(…) De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de “Por la cual se impone una sanción” éste se entiende incluida la posibilidad de consentimiento y de limitar el plazo de su validez. retirar el (…) En el examen del artículo 9 no se presentan reparos de constitucionalidad, y por el contrario, se reitera lo explicado en relación con el consentimiento, al desarrollar el principio de libertad.

En consecuencia, los datos personales sólo pueden ser registrado y divulgados con el consentimiento libre, previo, expreso e informado del titular. Las únicas excepciones posibles serán las establecidas en el artículo 10 del proyecto de ley bajo examen. (…) El artículo 10 desarrolla los casos en que no es necesaria su autorización, específicamente cuando la información es requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, los datos de naturaleza pública, los casos de urgencia médica o sanitaria, tratamiento autorizado por la Ley para fines históricos, estadísticos o científicos y datos relacionados con el registro civil de las personas.

El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales. En concordancia con lo expuesto frente al ―principio de libertad‖, en el manejo de los datos no podrá existir una autorización tácita. En relación con la posibilidad de excepcionar el consentimiento, en estos casos existen importantes intereses constitucionales que justifican tal limitación. (…) En lo que se relaciona con los plazos y el registro civil de las personas, su naturaleza hace que no estén sujetos al principio de autorización. La información pública es aquella que puede ser obtenida sin reserva alguna, entre ella los documentos públicos, habida cuenta el mandato previsto en el artículo 74 de la Constitución Política.

Esta información puede ser adquirida por cualquier persona, sin necesidad de autorización alguna para ello. (…) Finalmente, cabe señalar que la Defensoría del Pueblo solicita la inexequibilidad del último párrafo del artículo 10 por cuanto se traduciría en una autorización general para el acceso a los datos personales, sin consentimiento del titular.

Sin embargo, una lectura de la norma permite interpretar que lo que busca el legislador estatutario es que en los casos taxativos permitidos por el artículo 10, en los que no es necesario el consentimiento del Titular, el uso del dato también debe sujetarse a todos los principios y limitaciones consagrados en la Ley. Por el contrario, jamás podría interpretarse como una autorización abierta para que se accedan a datos personales sin consentimiento de su titular.

(…)”. En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo por la presunta vulneración al deber de solicitar y conservar la copia de la respectiva autorización otorgada por el Titular, mediante la Resolución No. 24754 del 8 de mayo de 2023, al considerar que: “(…) En el caso objeto de estudio, la Titular XXXXXXXXXXXXXXXXXX XXXXXXX informó a esta Superintendencia que, LA INVESTIGADA “Por la cual se impone una sanción” vinculó su número telefónico XXXXXXXXXX con el tercero XXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX y procedió a comunicarse telefónicamente con la Titular, a pesar de no existir relación comercial entre ambos y tampoco autorización de la Titular a LA INVESTIGADA para el Tratamiento de sus datos personales.

Por lo anterior, en el mes de enero de 2021 la Titular interpuso un reclamo ante LA INVESTIGADA solicitando la eliminación de su número telefónico de sus bases de datos, con la finalidad de que ésta “desvinculara mi número telefónico del nombre del señor XXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX” y no continuara comunicándose con ella. Sin embargo, la Titular informó que LA INVESTIGADA no atendió su reclamo.

Con base en lo anterior, este Despacho, a través del Grupo de Trabajo de Hábeas Data, remitió a LA INVESTIGADA el oficio con número de radicado 21-200800-5 del día 16 de junio de 2021, dirigido a la dirección electrónica impuestos@credivalores.com (registrada dentro del Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial), para que, entre otras cosas, acreditara “prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales”; no obstante, transcurrido el término de QUINCE (15) días hábiles otorgado a LA INVESTIGADA para que se pronunciara, esta no remitió respuesta alguna.

Teniendo en cuenta que LA INVESTIGADA no remitió prueba de la autorización previa, expresa e informada otorgada por la Titular, se presumen como ciertos los hechos mencionados por la señora XXXXXXXXXXXXXXXXXXXXXXXX en su queja relacionados con que, LA INVESTIGADA no solicitó autorización previa, expresa e informada a la Titular para el Tratamiento de sus datos personales.

En conclusión, se tiene que preliminarmente, LA INVESTIGADA no contaba con autorización previa, expresa e informada de la Titular para realizar el Tratamiento de sus datos personales, específicamente su número telefónico. Esta conducta se subsume típicamente en una presunta infracción al deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso 1° del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

(…)”. Adicionalmente, en escrito de descargos, la sociedad CREDIVALORES – CREDISERVICIOS S.A., radicado bajo el número 23-208952-7 del 31 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: (…) Respecto al cargo su señoría mi representada se acoge a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic). Además, su señoría le ruego tenga como atenuante que mi representada elimino (sic)el abonado telefónico como se soporta anteriormente y no se benefició económicamente con la infracción, además, téngase en cuenta que, aunque no se dio respuesta a la autoridad de los requerimientos hechos si se generaron respuestas a la denunciante dejando en claro la eliminación del abonado telefónico.

(…)”. En el presente caso, se encuentra que la Titular XXXXXXXXXXXXXXXXXX XXXXXX presentó en enero de 2021, una solicitud de eliminación de su número celular de las bases de datos la sociedad CREDIVALORES – CREDISERVICIOS S.A., puesto que han realizado gestiones de cobro a nombre del señor Xxxxx xxxxxxxxxxxxxxxxxxxxxxx y, adicionalmente, la titular manifestó que no otorgó su autorización para el tratamiento de este dato.

“Por la cual se impone una sanción” En relación con la autorización para el tratamiento de datos personales, la sociedad CREDIVALORES – CREDISERVICIOS S.A. únicamente manifestó en escrito de descargos, radicado bajo el número 23-208952-7 del 31 de mayo de 2023, que se acoge a lo establecido en el artículo 19 de la Ley 1266 de 2008. Ahora bien, este Despacho encuentra pertinente aclarar que la presente investigación se encuentra regida por las disposiciones contenidas en la Ley 1581 de 2012, puesto que esta se encuentra relacionada con el dato personal correspondiente al número celular, y no se trata de datos financieros o crediticios, los cuales sí se encuentran regidos bajo la Ley 1266 de 2008 y sus disposiciones reglamentarias.

Sin embargo, este Despacho encuentra que la sociedad investigada se refiere a los criterios de graduación de las sanciones, criterios que también se encuentran establecidos en el artículo 24 de la Ley 1581 de 2012. Teniendo en cuenta que, por una parte, la Titular de los datos afirmó no haber otorgado autorización a la sociedad investigada para el tratamiento de sus datos personales, y, por otra parte, que la sociedad CREDIVALORES – CREDISERVICIOS S.A. reconoció que no cuenta con la autorización otorgada por la Titular para el tratamiento de sus datos personales y que, en consecuencia, solicitó la aplicación de criterio de atenuación consistente en la aceptación expresa sobre la comisión de la infracción; este Despacho encuentra suficientemente acreditado que, la sociedad CREDIVALORES – CREDISERVICIOS S.A. incumplió el deber de solicitar conservar la autorización por parte del titular para el tratamiento de sus datos personales.

Razón por la cual, se impondrá una sanción pecuniaria por el incumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la precitada norma, y los artículos 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 9.2.3. Respecto del deber de tramitar las consultas y reclamos formulados en los términos señalados en la ley El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los Responsables del tratamiento, entre los que se encuentra el siguiente: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…)”. Por su parte, el principio de transparencia establecido en el artículo 4 de la Ley 1581 de 2012 se define así: “Artículo 4.

Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;

(…)”. “Por la cual se impone una sanción” Por otro lado, los artículos 14 y 15 de Ley 1581 de 2012, establece el término máximo con el que cuentan los Responsables y Encargados del tratamiento para atender las peticiones de los titulares de la siguiente manera: “Artículo 14. Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado.

El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular. La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Artículo 15.

Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” Tal precepto señala que los titulares o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión pueden presentar un reclamo ante el Responsable y/o Encargado del tratamiento, quienes contarán con el término de quince (15) días hábiles para atenderlo, contados a partir de la fecha de recibo del mismo, plazo que podrá prorrogarlo por el término de ocho (8) días hábiles más, previa comunicación al reclamante.

Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la sentencia C-748 de “Por la cual se impone una sanción” 2011, cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, se manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargados del tratamiento, señalando lo siguiente: “Este articulo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data”.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de habeas data. Por tanto, es deber de los Responsables y Encargados del tratamiento garantizar el ejercicio del derecho de habeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las preguntas y solicitudes de los titulares, sin dilaciones ni atrasos y especialmente, de manera completa y de fondo.

Por lo anterior, en el mes de enero de 2021 la señora XXXXXXXX XXXXXXXXXXXXXXXXXX interpuso un reclamo ante LA INVESTIGADA, solicitando la eliminación de su número telefónico de las bases de datos de la sociedad, con la finalidad de que ésta “desvinculara mi número telefónico del nombre del señor XXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXX” y no continuara comunicándose con ella.

Sin embargo, la Titular informó que LA INVESTIGADA no atendió su reclamo. Como consecuencia de lo anterior, este Despacho, a través del Grupo de Trabajo de Hábeas Data, remitió a LA INVESTIGADA el oficio con número de radicado 21-200800-5 del día 16 de junio de 2021, dirigido a la dirección electrónica impuestos@credivalores.com (registrada dentro del Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial), con el objetivo de que, entre otras cosas, LA INVESTIGADA informara “si el Titular ha presentado una reclamación o petición (…), en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta” y “(e)n caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular”.

Sin embargo, transcurrido el término otorgado por este Despacho, LA INVESTIGADA no se pronunció. “Por la cual se impone una sanción” Por lo tanto, se tiene que, preliminarmente LA INVESTIGADA no atendió el reclamo interpuesto por la Titular en el mes de enero de 2021. La anterior conducta se subsume típicamente en una presunta infracción al deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem.

(…)”. Adicionalmente, en escrito de descargos, la sociedad CREDIVALORES – CREDISERVICIOS S.A., radicado bajo el número 23-208952-7 del 31 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: “(…) Respecto al cargo en mención solicito se desestime por los hechos que permito motivar a continuación: Mi representadas dio respuesta a la quejosa mediante oficio xxxxxxxx la cual fue enviada al correo de la quejosa xxxxxxxxxxxxxxx.

Con la presente allego la respuesta demostrando que no se incumplió la normatividad en mención. (…)”. En el presente caso, se encuentra que la Titular XXXXXXXXXXXXXXXXX XXXXXXX indicó, en su escrito de denuncia, que presentó una petición en el mes de enero de 2021 en la que le solicitó a la sociedad CREDIVALORES – CREDISERVICIOS S.A. que desvinculara su teléfono de la cuenta del señor xxxxxxxxxxxxxxxxxxxxxx, puesto que ha recibido llamadas en relación con este último.

Aunado a esto, afirma que: (i) no ha tenido ningún vínculo comercial o contractual con esta sociedad y que no ha otorgado su autorización para el tratamiento del dato correspondiente al número de teléfono celular y (ii) que la sociedad investigada no dio respuesta a su solicitud. En relación con la solicitud en mención, la sociedad CREDIVALORES – CREDISERVICIOS S.A. indicó, en escrito de descargos, radicado bajo el número 23-208952-7 del 31 de mayo de 2023, que sí dio respuesta a la petición referida, por medio de oficio número 3722480 del 15 de julio de 2021, así: Imagen No. 5.

Tomada del radicado número 23-208952-7 del 31 de mayo de 2023. “Por la cual se impone una sanción” En relación con lo anterior, este Despacho encuentra que la sociedad CREDIVALORES – CREDISERVICIOS S.A. aportó la presunta respuesta a la petición remitida por la Titular XXXXXXXXXXXXXXXXXXXXXXXX, en la que le informó que su número telefónico había sido eliminado de las bases de datos y adjuntó un certificado en el que se demuestra que la titular no tiene ningún vínculo comercial con la sociedad referida.

La sociedad CREDIVALORES – CREDISERVICIOS S.A. afirma que la mencionada respuesta fue enviada a la dirección de correo electrónico ‘xxxxxxxxxxxxxxxxxx’; sin embargo, este Despacho evidencia que no se aportó la prueba de envío de la respuesta referida, razón por la cual no se encuentra probado que el oficio número XXXXXX del 15 de julio de 2021 haya sido recibido por la Titular CREDIVALORES – CREDISERVICIOS S.A. y, en consecuencia, no se demostró que la petición del mes de enero de 2021 fue contestada.

Por otro lado, encuentra este Despacho pertinente aclarar que la Titular XXXXXXXXXXXXXXXXXXXXXXXX radicó la petición en enero de 2021 y la respuesta emitida por medio de oficio número XXXXXX es del día 15 de julio de 2021, lo cual indica que, aun cuando la sociedad investigada hubiese aportado prueba de la certificación de envío, lo cierto es que aun así la respuesta se habría dado de manera ampliamente extemporánea, de conformidad con lo establecido por el artículo 15 de la Ley 1581 de 2012, el cual señala un término de quince (15) días para atender los reclamos remitidos por los titulares de la información. Sumado a lo hasta aquí expuesto, no puede perderse de vista que, ante la ausencia de material probatorio que acreditara que la sociedad investigada dio respuesta a la solicitud en cita, en armonía con los demás elementos de juicio, esta Superintendencia impartió una orden administrativa, mediante Resolución No. 58034 del 9 de septiembre de 2021, con miras a que la sociedad CREDIVALORES – CREDISERVICIOS S.A. tramitara de fondo la petición elevada por la Titular.

Cuestión que de ninguna manera resulta menor, en la medida que no debería mediar la intervención de esta Superintendencia para que esta compañía cumpla con el deber de tramitar, conforme a la ley, los reclamos presentados por los Titulares, específicamente, en materia de habeas data. Así las cosas, este Despacho evidencia el incumplimiento por parte de la sociedad CREDIVALORES – CREDISERVICIOS S.A. del deber de tramitar los reclamos formulados por los titulares; razón por la cual se impondrá una sanción pecuniaria por el incumplimiento del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 de la precitada norma. 9.2.4.

Respecto al deber de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley, en especial, para la atención de consultas y reclamos El literal k) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…)”. A su turno, el literal g) del artículo 4 de la Ley 1581 de 2012 establece: “Por la cual se impone una sanción” “Artículo 4. Principios Para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Adicionalmente, el Decreto Único Reglamentario 1074 de 2015 dispone, respecto de la demostración de la implementación de las medidas apropiadas y efectivas para el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012, lo siguiente: “Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.” En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: (Decreto 1377 de 2013, art. 26)” El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada no sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición; normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “(…) Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su “Por la cual se impone una sanción” adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencia, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)”3. En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el Régimen de Protección de Datos Personales.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo por la presunta vulneración al deber de adoptar un manual de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012, mediante la Resolución No. 24754 del 8 de mayo de 2023, al considerar que: “(…) En el caso sub iúdice, mediante la comunicación con número de radicado 21-200800-0 del 14 de mayo de 2021 la Titular XXXXXXX XXXXXXXXXXXXXXXXX informó a esta Superintendencia que, LA INVESTIGADA vinculó su número telefónico xxxxxxxxxxx con el tercero XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX y procedió a comunicarse telefónicamente con la Titular, a pesar de no existir relación comercial entre ambos y tampoco autorización de la Titular a LA INVESTIGADA para el Tratamiento de sus datos personales.

Por lo anterior, en el mes de enero de 2021 la Titular interpuso un reclamo ante LA INVESTIGADA, solicitando la eliminación de su número telefónico de las bases de datos de la sociedad, con la finalidad de que ésta “desvinculara mi número telefónico del nombre del señor XXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX” y no continuara comunicándose con ella.

Sin embargo, la Titular informó que LA INVESTIGADA no atendió su reclamo. En vista de lo anterior, este Despacho, a través del Grupo de Trabajo de Hábeas Data, remitió a LA INVESTIGADA el oficio con número de radicado 21-200800-5 del día 16 de junio de 2021, dirigido a la dirección electrónica impuestos@credivalores.com (registrada dentro del Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial), con el objetivo de que entre otras cosas, LA INVESTIGADA informara “las políticas internas de seguridad bajo las cuales conservan la información del Titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

No obstante, transcurrido el término otorgado a LA INVESTIGADA para brindar respuesta, ésta no remitió copia de dichas políticas que, demostrara la adopción y desarrollo de tal documento. Corte Constitucional. Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub. “Por la cual se impone una sanción” Por lo tanto, se concluye preliminarmente que LA INVESTIGADA no cumplió con su deber de adoptar un Manual de Políticas de Seguridad de la Información personal de los Titulares.

Esto constituye una presunta infracción al deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 (…)”. Por otra parte, en escrito de descargos, la sociedad CREDIVALORES – CREDISERVICIOS S.A., radicados bajo el número 23-208952-7 del 31 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: “(…) Respecto al cargo en mención solicito se desestime por los hechos que permito motivar a continuación: Mi representadas desde el año de la promulgación de la ley cuenta con una política de tratamiento de datos la cual ha sido constantemente actualizada, a hoy esta es publica y se encuentra en nuestra pagina (sic) web en el siguiente enlace https://www.credivalores.com.co/politica-manejo-datos, igualmente con la presente la allego demostrando que no se incumple con la normatividad referenciada.

(…)”. En el caso bajo análisis, este Despacho le solicitó a la sociedad CREDIVALORES – CREDISERVICIOS S.A., por medio de oficio con radicado número 21200800-5 del 16 de junio de 2021, que allegara las políticas internas de seguridad bajo las cuales se conserva la información para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; sin embargo, la sociedad en comento no remitió la información requerida.

Posteriormente, en escrito de descargos, radicado bajo el número 23-208952-7 del 31 de mayo de 2023, la sociedad CREDIVALORES – CREDISERVICIOS S.A. manifestó que si cuenta con una política de tratamiento de datos y que esta se encuentra publicada en la página web. Este Despacho encuentra que en la página web de la sociedad CREDIVALORES – CREDISERVICIOS S.A. se encuentra publicado el documento denominado ´Políticas y procedimientos para el tratamiento y protección de datos personales’, en el cual se evidencia una sección denominada ‘Seguridad de la información personal’, donde se establece lo siguiente: “(…) 2.13.

Seguridad de la información personal Credivalores – Crediservicios S.A. ha incorporado diferentes niveles de seguridad adecuados con el fin proteger los datos personales de todos los titulares frente a posibles pérdidas accidentales y accesos, tratamientos o modificaciones no autorizadas, lo anterior de acuerdo al estado de la tecnología, el tipo y naturaleza de los datos que se encuentran en nuestras bases de datos y los riesgos a que están expuestos.

Así mismo se asegura que los terceros involucrados en su operación realicen el tratamiento de la información en reserva y confidencialidad, comprometiéndose a guardar el debido secreto respecto de los mismos y garantizando el deber de almacenarlos adoptando medidas necesarias que eviten su alteración, pérdida y tratamiento o acceso no autorizado de acuerdo con lo establecido en la legislación aplicable.

(…)”. “Por la cual se impone una sanción” Una vez analizado el documento denominado ´Políticas y procedimientos para el tratamiento y protección de datos personales’, este Despacho encuentra que en este únicamente se encuentra una mención a la implementación de varios niveles de seguridad y se menciona que los terceros involucrados en el tratamiento de los datos personales se rigen bajo la reserva y la confidencialidad.

En el documento ´Políticas y procedimientos para el tratamiento y protección de datos personales’, encuentra este Despacho que en este documento no se detallan las medidas técnicas y humanas de seguridad implementadas en el tratamiento de datos personales con el fin de evitar la adulteración, pérdida, consulta o uso no autorizado de la información; razón por la cual no puede inferir este Despacho que las medidas de seguridad implementadas sean pertinentes para salvaguardar la integridad de la información. En la página web de la sociedad CREDIVALORES – CREDISERVICIOS S.A. no se encuentra ningún otro manual que haga referencia a las medidas de seguridad implementadas en el tratamiento de datos personales, razón por la cual este Despacho infiere que la sociedad investigada no ha implementado las medidas de seguridad pertinentes para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado a los datos personales contenidos en sus bases de datos.

Por otra parte, en el escrito de alegatos de conclusión, presentado con el radicado número 23-208952-17 del 23 de julio de 2024, la sociedad CREDIVALORES – CREDISERVICIOS S.A. afirmó que desarrolló e implementó un Manual de Seguridad, en donde se encuentran los lineamientos e instrucciones definidos con el objetivo de salvaguardar la integridad de la información. Así mismo, afirmó que en el desarrollo de su actividad comercial implementó los siguientes manuales: - Política de seguridad Computación en la Nube Manual - Política de seguridad de la información Manual - Política para uso adecuado de internet Manual - Política para uso de usuarios y claves Manual - Política de escritorio y pantalla limpia Manual - Política de protección contra software malicioso Manual - Política de acceso remoto Manual - Política de relación con proveedores Manual - Política para la configuración y modificación de equipos Manual - Política para el manejo de medios removibles de almacenamiento Manual - Política de acceso físico Manual - Política de uso de controles criptográficos Manual - Control de usuarios y perfiles en aplicativos Manual - Gestión de acceso y asignación de usuarios Procedimiento - Procedimiento Gestión de accesos a usuarios privilegiados Sin embargo, aun cuando la sociedad CREDIVALORES – CREDISERVICIOS S.A. indica que cuenta con el Manual de Seguridad y una serie de políticas para la protección de la información, este Despacho no encontró en el contenido del expediente que estos manuales y políticas hayan sido aportados por la sociedad investigada; razón por la cual, se hace imposible verificar su contenido y determinar si, en efecto, esta sociedad ha implementado las medidas de seguridad adecuadas para salvaguardar la información personal de los titulares.

Adicionalmente, tampoco se encuentra prueba siquiera sumaria que le permita concluir a este Despacho que efectivamente estas política y manuales hayan sido implementados en el desarrollo de la actividad comercial de la sociedad. Ahora bien, es menester recordarle a la sociedad investigada que no debe confundirse la Política de Tratamiento de la Información con las políticas de seguridad de la información, en la medida que: Las políticas de tratamiento de la información, las cuales deben contener, como mínimo, lo siguiente: “Por la cual se impone una sanción” - - - Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del responsable del tratamiento de los datos.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando no se haya informado mediante aviso de privacidad. Derechos que tiene el titular de la información. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y/o revocar la autorización. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento de datos personales debe ser comunicado oportunamente a los titulares de una manera eficiente, antes de implementar las nuevas políticas. La política de tratamiento de información personal debe ser puesta en conocimiento de los titulares. Para ello, la organización o responsable de los datos, podrá utilizar documentos, formatos electrónicos, medios verbales o cualquier otra tecnología, siempre y cuando garantice y cumpla con el deber de informar al titular.

Frente a las medidas de seguridad, desde antes que se recolecte información y durante todo el ciclo de vida de la misma, se deberían adoptar medidas preventivas de diversa naturaleza (tecnológica, organizacional, humana, procedimental, entre otras) con el objeto de evitar vulneraciones al derecho a la privacidad o a la confidencialidad de la información, así como fallas de seguridad o indebidos Tratamientos de datos personales.

Esto, debido a que, sin seguridad, no habrá debido Tratamiento de los mismos. Destacando que las medidas de seguridad implementadas por la organización deben ser objeto de revisión, evaluación y mejora permanente. Las políticas de seguridad de la información adoptadas e implementadas por la compañía, en su calidad de Responsable del Tratamiento, se constituyen como una herramienta que le garantiza a los Titulares que sus datos estarán protegidos por las medidas técnicas, administrativas y humanas, pertinentes y necesarias para salvaguardar la integridad de los datos para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Ahora bien, para claridad de la sociedad investigada, para la implementación de dicha herramienta de seguridad se deben tener en cuenta los siguientes aspectos: Las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos técnicos de acceso no autorizado o fraudulento por parte de terceros que pueden hacer uso no autorizado de los datos personales de los Titulares, los relativos a la falta de disponibilidad de la información y los que afecten la integridad de los datos personales.

Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía. Por su parte, las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.

Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que este realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales. “Por la cual se impone una sanción” Así las cosas, este Despacho evidencia el incumplimiento por parte de la sociedad CREDIVALORES – CREDISERVICIOS S.A. del deber de adoptar un manual interno de políticas y procedimientos de seguridad de la información, en aras de garantizar el adecuado cumplimiento del Régimen General de Protección de Datos Personales; razón por la cual, se impondrá una sanción pecuniaria por el incumplimiento del deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 9.2.5.

Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio El literal o) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la A su turno, los literales b), e) y f) del artículo 21 del cuerpo normativo en cita señalan lo siguiente: “ARTÍCULO 21.

FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

(…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” Este Despacho encuentra pertinente resaltar la naturaleza de esta entidad y sus funciones, de conformidad con el artículo 25 del Decreto 2974 del 03 de diciembre de 1968, por el cual se creó la Superintendencia de Industria y Comercio, esta entidad tiene la obligación legal de ejercer funciones de vigilancia y control de acuerdo con las normas vigentes que le corresponden.

Así las cosas, en concordancia con el Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Política de 1991. En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar la información que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías “Por la cual se impone una sanción” constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma.

Así mismo, esta Superintendencia, a través de esta Dirección de Investigacioones de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados del Tratamiento y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así́ se determine dentro de la investigación. Igualmente, resulta importante traer a colación el concepto de “ley estatutaria”, la cual, de acuerdo con la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad.

Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá como estatutaria cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratarse de un derecho fundamental.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo por la presunta vulneración al deber de solicitar y conservar la copia de la respectiva autorización otorgada por el Titular, mediante la Resolución No. 24754 del 8 de mayo de 2023, al considerar que: “(…) Como consecuencia de lo anterior, este Despacho, a través del Grupo de Trabajo de Hábeas Data, remitió a LA INVESTIGADA el oficio con número de radicado 21-200800-5 del día 16 de junio de 2021, dirigido a la dirección electrónica impuestos@credivalores.com (registrada dentro del Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial), con el objetivo de que, entre otras cosas, brindara respuesta a los siguientes puntos: a) LA INVESTIGADA remitiera prueba de la autorización otorgada por la Titular para el Tratamiento de sus datos personales. b) Aportara prueba de que informó a la Titular sobre las finalidades del Tratamiento y los derechos que le asistían en/por virtud de la autorización otorgada. c) Aclarara si actuaba en calidad de Responsable o Encargado del Tratamiento. d) Informara si la Titular había presentado reclamos ante ellos, aportando copia de la respuesta a estos. e) Informara las políticas de seguridad de la información para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. f) Acreditara prueba que demostrara que eliminó, actualizó o corrigió la información de la Titular.

Sin embargo, transcurrido el término de QUINCE (15) días hábiles otorgados por este Despacho para suministrar respuesta, LA INVESTIGADA no se pronunció. “Por la cual se impone una sanción” Con fundamento en lo anterior, esta Dirección expidió la Resolución No. 58034 del 09 de septiembre de 2021, ordenando a LA INVESTIGADA que: (i) eliminara los datos personales de la Titular XXXXXXXX XXXXXXXXXXXXXXXX, en particular su número telefónico xxxxxxx xxxx; y (ii) brindara respuesta completa y de fondo a la petición interpuesta por la Titular en el mes de enero de 2021.

La notificación de este acto administrativo se efectuó el 21 de septiembre de 2021 a través del Aviso No. 23211, dirigido a la dirección electrónica impuestos@credivalores.com (establecida dentro del Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial). Sin embargo, cumplido el plazo, LA INVESTIGADA no acreditó el cumplimiento de las órdenes impartidas.

Por lo anterior, de manera preliminar se concluye lo siguiente:

1. LA INVESTIGADA no dio contestación al requerimiento efectuado por esta Superintendencia a través del oficio con número de radicado 21-200800-5 del 16 de junio de 2021.

2. LA INVESTIGADA no cumplió las órdenes impartidas por este Despacho a través de la Resolución No. 58034 del 09 de septiembre de 2021. Las anteriores conductas se subsumen típicamente en una presunta infracción al deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 ejusdem.

(…)”. Por otra parte, en escrito de descargos, la sociedad CREDIVALORES – CREDISERVICIOS S.A., radicado bajo el número 23-208952-7 del 31 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: “(…) Respecto al requerimiento efectuado por esta Superintendencia a través del oficio con número de radicado 21-200800-5 del 16 de junio de 2021, mi representada se acoge a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic).

Por tanto, a la totalidad del cargo, mi representada se acoge parcialmente a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008, por lo ya expuesto. Además, su señoría le ruego tenga como atenuante que mi representada elimino (sic) el abonado telefónico como se soporta anteriormente y no se benefició económicamente con la infracción, además, téngase en cuenta que, aunque no se dio respuesta a la autoridad de los requerimientos hechos si se generaron respuestas a la denunciante dejando en claro la eliminación del abonado telefónico.

(…)”. En el presente caso se tiene que, en virtud de la denuncia presentada por la Titular XXXXXXXXXXXXXXXXXXXXXXXXXX, este Despacho requirió a la sociedad CREDIVALORES – CREDISERVICIOS S.A., por medio de oficio con radicado número 21-200800-5 del 16 de junio de 2021, el cual fue enviado a la dirección de correo electrónico ‘impuestos@credivalores.com’, la cual se encontraba registrada en el Certificado de Existencia y Representación Legal “Por la cual se impone una sanción” para efectos de notificación judicial.

La sociedad investigada no dio respuesta a este requerimiento. Por otra parte, se tiene que esta Superintendencia, en relación con los hechos ocurridos en el caso de la señora XXXXXXXXXXXXXXXXXXXXXXXXX, impartió una orden administrativa contenida en la Resolución No. 58034 del 9 de septiembre de 2021, de la siguiente manera: “(…)

ARTÍCULO PRIMERO: Ordenar a la sociedad CREDIVALORES CREDISERVICIOS S.A., identificada con el Nit. 805.025.964-3, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, adelante el procedimiento pertinente para que en la base de datos de esta se eliminen los datos personales de la señora xxxxxxxxxxxxxxxxxxxxxxxx, identificada con C.C. No. xxxxxxxxxx, en particular su número de celular No. xxxxxxxxxx, en tanto que la sociedad posiblemente no dio cumplimiento al deber establecido en el literal a) del artículo 17 y en el literal e) del artículo 8 de la Ley 1581 de 2012.

(…)

ARTÍCULO SEGUNDO: Ordenar a la sociedad CREDIVALORES CREDISERVICIOS S.A., identificada con el Nit. 805.025.964-3, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, adelante el procedimiento pertinente y brinde respuesta completa y de fondo a la petición elevada por la señora xxxxxxxxxxxxxxxxxxxxxxx en el mes de enero del año 2021, en tanto que la sociedad posiblemente no dio cumplimiento al deber establecido en el artículo 15 de la Ley 1581 de 2012.

PARÁGRAFO PRIMERO: La sociedad CREDIVALORES CREDISERVICIOS S.A., deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento (…)”. La Resolución No. 58034 del 9 de septiembre de 2021 fue efectivamente notificada a la sociedad CREDIVALORES – CREDISERVICIOS S.A. por medio de aviso No. 23211 del 21 de noviembre de 2021, de conformidad con el certificado expedido por el Grupo de Notificaciones y Certificaciones, radicado bajo el número 21-200800-15 del 22 de septiembre de 2021.

El término que tenía la sociedad investigada para interponer los recursos de ley vencía el 5 de octubre de 2021, de modo que el mencionado acto administrativo quedó en firme a partir del 6 de octubre de 2021. El plazo para acatar las órdenes impartidas por el Despacho, mediante Resolución No. 58034 del 9 de septiembre de 2021, y acreditar su cumplimiento venció el 21 de octubre de 2021.

No obstante, la sociedad investigada no realizó pronunciamiento alguno al respecto dentro del plazo otorgado para el efecto. Así las cosas, este Despacho evidencia el incumplimiento por parte de la sociedad CREDIVALORES – CREDISERVICIOS S.A. del deber de cumplir las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio; razón por la cual se impondrá una sanción pecuniaria por el incumplimiento del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la precitada norma.

DÉCIMO: Imposición y graduación de la sanción “Por la cual se impone una sanción” 10.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Articulo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “(…) Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual ‘(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes’, y que ‘sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores’, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental ( )”.

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional4. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. 4 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-.

El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVBaplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico “Por la cual se impone una sanción” -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la Ley 1581 de 2012, en su artículo 24, señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así́: “Artículo 24.

Criterios para Graduar las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por otro lado, y en relación con la imposición de la sanción, el artículo 24 de la misma norma establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 295 de la Constitución Política de Colombia y que, por lo tanto, esta Dirección deberá analizar el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012 proferida por la Corte Constitucional, hacen referencia a cinco “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio.

En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” “Por la cual se impone una sanción” circunstancias de agravación, entre los literales a) y e); y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señaló: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad (…)”6. Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la misma norma. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, entre otros.

Del mismo modo, la vulneración del derecho fundamental de Habeas Data no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”7. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia8. 6 Corte Constitucional. Sentencia C-125 del 18 de febrero de 2003. M.P. Marco Gerardo Monroy Cabra. Expediente D-4059. 7 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 8 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción” Por lo tanto, atendiendo a los criterios establecidos por el artículo 24 de la Ley 1581 de 2012, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1.

Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infración al Régimen General de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de moso que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”9. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso quedó demostrado lo siguiente: Frente al cargo primero, se evidenció que la sociedad CREDIVALORES – CREDISERVICIOS S.A. vulneró el derecho de hábeas data de la titular y actuó negligentemente al no atender la solicitud de eliminación de datos personales realizada por la Titular XXXXXXXXXXXXXXXXX XXXXXXX.

Así las cosas, como sanción frente al primer cargo relacionado con el deber de garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data, esta Dirección impondrá una sanción pecuniaria de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO 9 Corte Constitucional.

Sentencia C-125 de 2003. Dieciocho (08) de febrero de dos mil tres (2003). Expediente D-4059. M.P. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción” – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640), por la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

Frente al cargo segundo, se estableció que la sociedad CREDIVALORES – CREDISERVICIOS S.A. no solicitó la autorización por parte de la Titular XXXXXXXXXXXXXXXXXXXXXXXX para el tratamiento de sus datos personales. Así las cosas, como sanción frente al segundo cargo relacionado con el deber de solicitar y conservar la copia de la autorización otorgada por el titular para el tratamiento de sus datos personales, esta Dirección impondrá una sanción pecuniaria de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640), por la infracción a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso 1° del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Frente al cargo tercero, se evidenció que la sociedad CREDIVALORES – CREDISERVICIOS S.A. actuó de manera negligente al no dar respuesta a la petición realizada por parte de la Titular XXXXXXXXXXXXXXXXX XXXXXXX en enero de 2021. Así las cosas, como sanción frente al tercer cargo relacionado con el deber de solicitar y conservar la copia de la autorización otorgada por el titular para el tratamiento de sus datos personales, esta Dirección impondrá una sanción pecuniaria de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640), por la infracción a lo dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem.

Frente al cargo cuarto, quedó demostrado que la sociedad CREDIVALORES – CREDISERVICIOS S.A. no tiene implementado un Manual de Seguridad en donde se establezcan las medidas bajo las cuales se conserva la información personal de los titulares. Así las cosas, como sanción frente al cuarto cargo relacionado con el deber de cumplir con las instrucciones y requerimientos que imparta la sanción pecuniaria de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640), por la vulneración del deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

“Por la cual se impone una sanción” Frente al cargo quinto, se evidenció que la sociedad CREDIVALORES – CREDISERVICIOS S.A. no contestó el requerimiento realizado por esta Superintendencia mediante oficio con número de radicado 21-200800-5 del 16 de junio de 2021 y no dio cumplimiento a la orden impartida por medio de la Resolución No. 58034 del 09 de septiembre de 2021.

Así las cosas, como sanción frente al quinto cargo relacionado con el deber de cumplir con las instrucciones y requerimientos que imparta la sanción pecuniaria de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640), por la vulneración del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 ejusdem. 10.1.2.

Literal f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción. El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará, respecto del segundo y quinto cargo, pues en escrito de descargos presentado por la sociedad CREDIVALORES – CREDISERVICIOS S.A., radicado bajo el número 23-208952-7 del 31 de mayo de 2023, reconoció parcialmente la comisión de la infracción y manifestó lo siguiente: (…) Cargo segundo: (…) Respecto al cargo su señoría mi representada se acoge a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic).

Además, su señoría le ruego tenga como atenuante que mi representada elimino (sic) el abonado telefónico como se soporta anteriormente y no se benefició económicamente con la infracción, además, téngase en cuenta que, aunque no se dio respuesta a la autoridad de los requerimientos hechos si se generaron respuestas a la denunciante dejando en claro la eliminación del abonado telefónico.

(…) Cargo quinto: (…) Respecto al requerimiento efectuado por esta Superintendencia a través del oficio con número de radicado 21-200800-5 del 16 de junio de 2021, mi representada se acoge a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008. Respecto al cumplimiento de las órdenes impartidas por este Despacho a través de la Resolución No. 58034 del 09 de septiembre de 2021.

Como se demostró anteriormente mi representada ya había eliminado el abonado telefónico de la quejosa por tanto lo único que se le puede indilgar a mi representada es la omisión de informar dicho cumplimiento incluso antes de la orden impartida. Por tanto, a la totalidad del cargo, mi representada se acoge parcialmente a lo normado en el literal f) del artículo 19 de la ley 1266 de 2008 (sic), por lo ya expuesto.

“Por la cual se impone una sanción” Además, su señoría le ruego tenga como atenuante que mi representada elimino (sic) el abonado telefónico como se soporta anteriormente y no se benefició económicamente con la infracción, además, téngase en cuenta que, aunque no se dio respuesta a la autoridad de los requerimientos hechos si se generaron respuestas a la denunciante dejando en claro la eliminación del abonado telefónico.

(…)”. En virtud de lo expuesto, se procederá a reducir el monto inicialmente calculado para cada uno de estos cargos, así: i) Frente al cargo segundo, reducir la sanción impuesta de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640) a un valor de VEINTE (20) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DOS MIL TRESCIENTAS VEINTE (2.320) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a VEINTICINCO MILLONES CUATROCIENTOS SEIS MIL TRESCIENTOS VEINTE PESOS M/CTE ($25.406.320). ii) Frente al cargo quinto, reducir la sanción impuesta de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTAS CUARENTA (4.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CINCUENTA MILLONES OCHOCIENTOS DOCE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($50.812.640) a un valor de VEINTE (20) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DOS MIL TRESCIENTAS VEINTE (2.320) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a VEINTICINCO MILLONES CUATROCIENTOS SEIS MIL TRESCIENTOS VEINTE PESOS M/CTE ($25.406.320). 9.1.3.

Literal c) la reincidencia en la comisión de la infracción Será tenido en cuenta el criterio en el literal c) del artículo 24 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad investigada ha sido sancionada en MÚLTIPLES ocasiones por la misma conducta violatoria de la ley, este es, que se ha generado reincidente en el incumplimiento del deber de: i) ii) iii) iv) Garantizar al titular el pleno y efectivo ejercicio de derecho de hábeas data, según lo establecido en el literal a) del artículo 17 de la Ley 1581 de 2012.

Solicitar y conservar la copia de la respectiva autorización otorgada por el titular, según lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012. Tramitar las consultas y reclamos formulados por los titulares, según lo establecido en el literal j) del artículo 17 de la Ley 1581 de 2012. Cumplir con las instrucciones de la Superintendencia, según lo establecido en el literal o) del artículo 17 de la Ley 1581 de 2012.

A continuación, se destacan las siguientes sanciones impuestas por la vulneración a los deberes referidos anteriormente, así: Radicado 18-26450 Por medio de la Resolución No. 46328 del 11 de agosto de 2020, este Despacho impuso una sanción pecuniaria a la sociedad CREDIVALORES – CREDISERVICIOS S.A. de trescientos siete millones doscientos diecisiete mil “Por la cual se impone una sanción” ciento noventa y seis pesos ($307.217.196), equivalente a ocho mil seiscientas veintiocho (8.628) Unidades de Valor Tributario (UVT), por el incumplimiento al deber contemplado en: i. El literal a) del artículo 17, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015; en tanto la sociedad investigada no eliminó oportunamente un dato errado de la información de la titular. ii.

El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; en tanto no demostró la implementación de las medidas de seguridad necesarias para conservar la integridad de la información personal. iii. El literal j) del artículo 17, en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012; en la medida en que no acreditó haber contestado la consulta radicada por la titular. iv.

El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012; en tanto no atendió el reclamo radicado por la titular. v. El literal o) del artículo 17 de la Ley 1581 de 2012; en tanto no atendió los requerimientos de esta Superintendencia. Radicado 19-163880 Por medio de la Resolución No. 68616 del 29 de noviembre de 2019, este Despacho impuso una sanción pecuniaria a la sociedad CREDIVALORES – CREDISERVICIOS S.A. de dieciséis millones quinientos sesenta y dos mil trescientos veinte pesos ($16.562.320), equivalente a veinte (20) salarios mínimos legales mensuales vigentes, por el incumplimiento al deber contemplado en: i. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; en tanto que no solicitó la autorización por parte de la titular para el tratamiento de sus datos personales. ii.

El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma; en la medida en que no atendió la petición radicada por la titular. iii. El literal o) del artículo 17 de la Ley 1581 de 2012; puesto que no respondió los requerimientos realizados por esta Superintendencia. Radicado 21-319731 Por medio de la Resolución No. 81381 del 13 de diciembre de 2021, este Despacho impuso una sanción pecuniaria a la sociedad CREDIVALORES – CREDISERVICIOS S.A. de ciento veintisiete millones setenta y ocho mil pesos ($127.078.000), equivalente a tres mil quinientas (3.500) unidades de valor tributario (UVT), por el incumplimiento al deber contemplado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la precitada norma; en la medida en que desconoció las ordenes impartidas por esta Superintendencia. Radicado 22-137655 Por medio de la Resolución No. 18050 del 12 de abril de 2023, este Despacho impuso una sanción pecuniaria a la sociedad CREDIVALORES – CREDISERVICIOS S.A. de ochenta y nueve millones sesenta y cinco mil doscientos pesos ($89.065.200), equivalente a dos mil cien (2.100) Unidades de Valor Tributario (UVT), por el incumplimiento al deber contemplado en: i. El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo dispuesto en el literal e) del artículo, y el artículo 9 de la misma norma; no atendió la solicitud de eliminación de datos radicada por la titular.

“Por la cual se impone una sanción” ii. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley; y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; en la medida en que no solicitó de manera oportuna la autorización para el tratamiento de datos de la titular. iii.

El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso tercero del artículo 14 y el numeral 5 del artículo 15 de la misma Ley; en tanto la sociedad investigada atendió la petición de la titular por fuera del término establecido por la ley. iv. El literal o) del artículo 17 de la Ley 1581 de 2012; en la medida en que no dio respuesta a los requerimientos realizados por esta Superintendencia. Por lo anterior, este Despacho procederá a aumentar la sanción por los siguientes cargos: − Cargo primero, en un valor equivalente a VEINTE (20) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DOS MIL TRESCIENTAS VEINTE (2.320) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a VEINTICINCO MILLONES CUATROCIENTOS SEIS MIL TRESCIENTOS VEINTE PESOS M/CTE ($25.406.320). − Cargo segundo, en un valor equivalente a VEINTE (20) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DOS MIL TRESCIENTAS VEINTE (2.320) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a VEINTICINCO MILLONES CUATROCIENTOS SEIS MIL TRESCIENTOS VEINTE PESOS M/CTE ($25.406.320). − Cargo tercero, en un valor equivalente VEINTE (20) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DOS MIL TRESCIENTAS VEINTE (2.320) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a VEINTICINCO MILLONES CUATROCIENTOS SEIS MIL TRESCIENTOS VEINTE PESOS M/CTE ($25.406.320). − Cargo quinto, en un valor equivalente a VEINTE (20) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DOS MIL TRESCIENTAS VEINTE (2.320) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a VEINTICINCO MILLONES CUATROCIENTOS SEIS MIL TRESCIENTOS VEINTE PESOS M/CTE ($25.406.320). 10.1.3.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iii) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Así las cosas, este Despacho impondrá una sanción pecuniaria a la sociedad CREDIVALORES – CREDISERVICIOS S.A. de DOSCIENTOS CUARENTA (240) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISIETE MIL OCHOCIENTOS CUARENTA (27.840) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a TRESCIENTOS CUATRO MILLONES OCHOCIENTOS SETENTA Y CINCO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($304.875.840) por la infracción a lo dispuesto en: “Por la cual se impone una sanción” − − − − − El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO PRIMERO: CONCLUSIONES La sociedad CREDIVALORES – CREDISERVICIOS S.A. incumplió los deberes que le asisten en calidad de Responsable de la información de la siguiente manera: - La sociedad CREDIVALORES – CREDISERVICIOS S.A. no atendió la solicitud de eliminación de datos incoada por la Titular XXXXXXXX XXXXXXXXX XXXXXXX en enero de 2021. - La sociedad CREDIVALORES – CREDISERVICIOS S.A. no solicitó y no conservó la copia de la autorización otorgada por la Titular XXXXXXXX XXXXXXXXX XXXXXXX para el tratamiento de sus datos personales.

La sociedad CREDIVALORES – CREDISERVICIOS S.A. no respondió la reclamación realizada por la Titular XXXXXXXX XXXXXXXXX XXXXXXX en enero de 2021. - - La sociedad CREDIVALORES – CREDISERVICIOS S.A. no acreditó tener desarrollado e implementado un Manual de Seguridad donde se describan las medidas de seguridad bajo las cuales se conserva la información personal de los titulares para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado. - La sociedad CREDIVALORES – CREDISERVICIOS S.A. no atendió los requerimientos realizados por esta Superintendencia, así como tampoco acreditó haber dado cumplimiento a la orden impartida por medio de la Resolución No. 58034 del 09 de septiembre de 2021.

DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CREDIVALORES - CREDISERVICIOS S.A., identificada con NIT. 805.025.964-3, con el correo electrónico de notificación judicial impuestos@credivalores.com quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 23-208952. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos “Por la cual se impone una sanción” Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad CREDIVALORES - CREDISERVICIOS S.A., identificada con NIT. 805.025.9643, de DOSCIENTOS CUARENTA (240) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISIETE MIL OCHOCIENTOS CUARENTA (27.840) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a TRESCIENTOS CUATRO MILLONES OCHOCIENTOS SETENTA Y CINCO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($304.875.840) por la vulneración al deber establecido en: a) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. b) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso 1° del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. c) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem. d) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. e) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 ejusdem.

Parágrafo. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CREDIVALORES - CREDISERVICIOS S.A., identificada con NIT. 805.025.964-3, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 3. COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXXXXXX identificada con la cédula de ciudadanía No. XXXXXXXXX, el contenido de la presente decisión. “Por la cual se impone una sanción”

ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31A - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 09 de septiembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA GARCIA CAROLINA MOLINA GARCIA MOLINA Fecha: 2024.09.09 11:39:30 -05'00' CAROLINA GARCÍA MOLINA Proyectó: MG Revisó: MF Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CREDIVALORES – CREDISERVICIOS S.A. NIT. 805.025.964-3 Jaime Francisco Buritica Leal 11.322.917 Carrera 7 No. 76-35.

Piso 7 Bogotá D.C. impuestos@credivalores.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX

Resolución sancionatoria N° 52195 de 2024

CONSIDERANDO

RESUELVE