Resolución sancionatoria N° 86471 de 2025

(24 de octubre de 2025) “Por la cual se impone una sanción administrativa” Radicación 22-206465 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que en virtud de la sentencia expedida por el Juzgado Primero Penal del Circuito Especializado de Yopal, Casanare del día 18 de mayo de 2022 dentro de la acción de tutela radicada bajo el número 850013107001-2022-00XXX-00, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. identificada con NIT. 901.181.211-1, con por lo que se decidió iniciar investigación administrativa en consideración a los siguientes hechos. 1.1 En diciembre de 2020 la señora XXXX XXXXX XXXXXXX XXXXXXX, realizó acuerdo de pago con la empresa COVINOC S.A. por valor de $X.XXX.XXX, quedando al día con la obligación adquirida por un crédito educativo con EDTECH SOLUCIONES DE COLOMBIA S.A.S; una vez realizado el pago, COVINOC S.A. emitió paz y salvo de la obligación suscrita. 1.2 Que el 14 de octubre de 2021, la denunciante ingresó con su usuario virtual de DATACREDITO, donde evidenció la presencia de un reporte negativo de parte de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., el cual refleja datos como valores de deudas, fechas de apertura, fechas de vencimiento y fechas de ultimo pago, entre otros datos básicos, sin mencionar la fecha exacta en que se genera el reporte negativo. 1.3 La titular señaló que el mismo día 14 de octubre de 2021, elevó reclamación ante EDTECH SOLUCIONES DE COLOMBIA S.A.S, mediante el cual solicitó “(…) EL DOCUMENTO Y/O COMUNICACIÓN, DONDE ME INFORMAN CON 20 DIAS DE ANTERIORIDAD QUE VOY A SER REPORTADA POR DICHA DEUDA, COMO LO ESTABLECE EL ARTICULO 12 DE LA LEY 1266 DE 2008, DE NO EXISTIR, LES EXIJO QUE SEA RETIRADO DICHO REPORTE NEGATIVO”. 1.4 Manifestó, que “El Dia 05 de Noviembre verifico mi correo electrónico donde CREDYTY emitió respuesta de mi reclamación pero no me allego lo solicitado en la misma, simplemente se limitó a contestar lo siguiente: ‘(…) reporte ratificado por mora vigente correctamente reportada para obtener soportes de mensajería enviada comunicarse con área de servicio al cliente (…)’. debo aclarar que todo el momento a (sic) permanecido el reporte negativo sin que a la fecha me allan (sic) enviado soporte de la notificación previa”. 1.5 Indicó, que desde el día 17 de noviembre de 2021, ha recibido llamadas y correos electrónicos de parte del área de cobranza de EDTECH SOLUCIONES DE COLOMBIA S.A.S., para revivir una deuda que ya había cancelado a COVINOC en diciembre de 2020, por valor de $X.XXX.XXX y “Por la cual se impone una sanción administrativa” que, por dicho pago, COVINOC emitió certificado de pago de fecha 08 de diciembre de 2020. 1.6 Informó, que el día 25 de noviembre de 2021, CREDYTY remitió a su correo electrónico una comunicación cuya referencia es “COMUNICACIÓN PREVIA.

ARTICULO 12 LEY 1266 DE 2008. De fecha 10 de noviembre de 2021”; correo que fue objetado por la Titular, porque “hasta años después de haber generado el reporte en centrales de riesgo, me lo pretenden comunicar y responden con mensajes evasivos y poco claros en la objeción que yo realice a la misma”. 1.7 Señaló, que el 12 de diciembre de 2021, verificando su correo, OBJETA la anterior comunicación que le envió EDTECH SOLUCIONES DE COLOMBIA S.A.S, toda vez que al momento en que le envían dicha comunicación, ya se encontraba reportada negativa de manera continua en las centrales.

Como soporte, anexó el pantallazo de la OBJECION que envió ante EDTECH SOLUCIONES DE COLOMBIA S.A.S, de la cual la respuesta que recibió fue la siguiente: “Buenas tardes, vamos a validar los pagos realizados, una vez tengamos la información le indicamos cuál es su saldo pendiente. Feliz tarde”. 1.8 Indicó, que el 16 de diciembre de 2021, recibe un correo electrónico por parte de EDTECH SOLUCIONES DE COLOMBIA S.A.S. mediante el cual se informó lo siguiente: “… Buen día Le confirmo que no se puede emitir un paz ya que en el momento la obligación no está paga en su totalidad y del crédito XXXXX presenta un saldo, es de aclarar que con los pagarés que le corresponde a Covinoc ya está al día y aplicados en su cuenta de credyty, por eso covinoc no emite un paz y salvo, si no que ellos emiten un certificado de pago al día y para saldar la obligación tiene que hacer el pago del saldo a hoy con credyty para cerrar la obligación..-“… 1.9 Que el 18 de diciembre EDTECH SOLUCIONES DE COLOMBIA S.A.S. remitió una comunicación a la titular, mediante la cual informó que la obligación que tiene pendiente con ellos es la pertinente al pagare N.º xxxXxxxx, sin señalar más especificaciones, como fecha de inicio de la deuda o el valor pendiente, a pesar de que la titular en reiteradas ocasiones le ha solicitado a la fuente que remita los documentos que soportan el reporte e información negativa.

SEGUNDO: Que, con el fin de establecer las circunstancias de tiempo, modo y lugar de los hechos narrados en la denuncia y, las normas vulneradas, el Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, inició una averiguación preliminar en la cual se llevaron a cabo las actuaciones y se recolectaron, entre otros, los elementos materiales probatorios que se enlistan a continuación: 2.1 Comunicación allegada por el operadore de información CIFIN S.A.S. el 23 de noviembre de 2022 mediante radicado 22-206465-18. 2.2 Comunicación allegada por el operadore de información EXPERIAN COLOMBIA S.A.S. el 24 de noviembre de 2022 mediante radicado 22206465-19.

TERCERO: Que, advirtiendo que se presentó una presunta violación de las normas de protección de datos personales, esta Dirección decidió iniciar una investigación administrativa en contra de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. identificada con NIT. 901.181.211, por medio de la Resolución N.º 27507 del 28 de mayo de 2024, en la cual se formuló cargos a la sociedad en mención, por la presunta infracción a lo dispuesto en: • El numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la norma precitada.

“Por la cual se impone una sanción administrativa” • El numeral 5 del artículo 8 de la Ley 1266 de 2008. • El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la citada Ley. • El numeral 9 del artículo 8 de la Ley 1266 de 2008. La mencionada resolución le fue notificada a la investigada mediante aviso N.º 9470 del 7 de junio de 20241 para que dentro de los quince (15) días hábiles siguientes a la notificación del presente acto administrativo, presentara descargos y aportara y/o solicitara las pruebas que pretendía hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada a la denunciante.

CUARTO: Que, mediante escrito radicado bajo el número 22-206465- -0002900016 del día 19 de junio de 2014, a través de su apoderado, la investigada dio respuesta a la formulación de cargos informando lo siguiente: 4.1 Que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., es una empresa de carácter comercial bajo la modalidad de “FINTECH” y denominada CREDYTY.

A su vez, informan que: “CREDYTY es un canal entre el SUSCRIPTOR/USUARIO y la Institución educativa. EL PORTAL CREDYTY le permite al SUSCRIPTOR/USUARIO, una comunicación a través de internet con CREDYTY, para que: 1) Obtenga información de sus productos o servicios financieros, 2) Realice las solicitudes financieras habilitadas o que se habiliten en el futuro, de acuerdo a las modalidades establecidas, junto con los convenios debidamente habilitados con los que cuente CREDYTY”2 4.2 Que la señora XXXX XXXXX XXXXXXX XXXXXXX, es Titular del crédito N.º XXXXX adquirido el día 19 de octubre de 2019 en la Fundación Universitaria del Área Andina (Areandina), por valor de CINCO MILLONES CIENTO NOVENTA Y DOS MIL PESOS MONEDA CORRIENTE PESOS M/CTE (COP $X.XXX.XXX), el cual, debía ser cancelado en 6 cuotas para financiar la Especialización en Auditoria en Salud. 4.3 Que el crédito contaba con una tabla de amortización o plan de pagos discriminado de la siguiente manera: “(…) (…)” 4.4 Que una vez la Titular entró en mora, se le envió comunicación previa, donde se le informaba el estado actual de su obligación y se le advertía que en la medida en que se mantenga la mora, sería reportada negativamente en las centrales de riesgos, conforme a lo establecido en el inciso 3 del artículo 12 de la Ley 1266 de 2008.

Dicha comunicación fue enviada al número de celular xxxxxxxxxxx y al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx. Radicado 22-206465 Consecutivo 28 Radicado 22-206465 Consecutivo 29 Página 16 Folio 1 “Por la cual se impone una sanción administrativa” 4.5 Que de acuerdo con el numeral 8 del artículo 8 de la Ley 1266 de 2008, en el año 2020 se procedió a reportar negativamente a la señora XXXXXXXX ante las centrales de riesgo. 4.6 Que asegura que a la fecha la obligación N.º XXXXX no cuenta con reporte negativo, situación que le ha sido informada a la Titular el 25 de octubre de 2022. 4.7 Que respecto al primer cargo formulado mediante Resolución N°. 27507 del 28 de mayo de 2024, informa que: “(…) para el año 2019 mi representada y la Fundación Universitaria del Área Andina (Areandina), suscribieron un contrato de Colaboración institucional, en donde la sociedad comercial EDTECH SOLUCIONES DE COLOMBIA era el canal entre el SUSCRIPTOR/USUARIO y la Institución educativa; y que por medio del PORTAL CREDYTY le permite al SUSCRIPTOR/USUARIO, una comunicación a través de internet con CREDYTY, para que: 1) Obtenga información de sus productos o servicios financieros, 2) Realice las solicitudes financieras habilitadas o que se habiliten en el futuro, de acuerdo a las modalidades establecidas, junto con los convenios debidamente habilitados con los que cuente CREDYTY, de igual forma entre mi representada, la Fundación Universitaria del Área Andina (Areandina) y COVINOC S.A, establecieron que la empresa COVINOC S.A seria quien afianzaba los créditos para respaldar la perdida incurrida de los créditos, la solicitud del cre´dito (sic) por medio de la plataforma “PORTAL CREDYTY” debía cumplir con lo estipulado en los TÉRMINOS DE FINANCIACIÓN, estos términos se pueden visualizar en https://credyty.com/terminos/terminos-de-financiacion ( )” 4.8 Que aclara que la empresa COVINOC S.A era quien afianzaba los créditos para el año 2019, por lo cual, las dos primeras cuotas correspondían CREDYTY, las cuales fueron saldadas, y las cuatro cuotas restantes pertenecían a la empresa COVINOC S.A, por cesión de la obligación, como se puede observar en la siguiente imagen: “(…) (…)”4 4.9 Que pese a que la sociedad COVINOC S.A, era quien debía recuperar las 4 cuotas restantes, la sociedad CREDYTY es quien ostenta la calidad de beneficiaria del Título valor “Pagaré desmaterializado N° xxxxxxx ”, toda vez, que de acuerdo con el objeto contractual celebrado con la Fundación Universitaria del Área Andina (Areandina), fue la investigada quien originó el crédito, y teniendo en cuenta las cláusulas 3 y 22 de los Términos de Financiación y la cláusula 12 de los Términos y Condiciones la Titular autorizó a CREDYTY (en calidad de Fuente de información) a adelantar las gestiones necesarias para la recuperación de la cartera, y registrar el reporte negativo ante las centrales de riesgo de acuerdo con la Ley 1266 de 2008.

Radicado 22-206465 Consecutivo 29 Página 16 folio 3 Radicado 22-206465 Consecutivo 29 Página 16 folio 5 “Por la cual se impone una sanción administrativa” 4.10 Que respecto del requerimiento realizado por esta Superintendencia el día 3 de noviembre de 2022, no se respondió dentro de los términos establecidos debido a que para esa fecha, las sociedad se encontraba en una restructuración y respecto al requerimiento del 14 de diciembre de 2022, informan que para dicha fecha no había ningún empleado en sus oficinas, toda vez que hubo atención hasta el 12 de diciembre de 2022, no obstante, aclara que para noviembre de 2022 se procedió con la eliminación del reporte negativo generado ante el operador Experian Colombia S.A., a nombre de la Titular. 4.11 Que el “Pagaré desmaterializado N° xxxxxxx” respecto del cual el beneficiario era la Fundación Universitaria del Área Andina (Areandina), no fue endosado a favor de la sociedad COVINOC S.A., razón por la cual, es CREDYTY la fuente de información en cumplimiento de lo mencionado en el numeral 1 del artículo 8 de la Ley 1266 de 2008. 4.12 Que respecto del segundo cargo indica que la Titular realizó a través de la plataforma de la página web www.credity.com la validación de su cédula, datos que fueron almacenados y tratados únicamente posterior a que se hiciera la aceptación de los términos y condiciones y términos de financiación establecidos en la plataforma “Portal Credyty”. 4.13 Que en el “Parágrafo primero” Cláusula tercera parágrafo tercero de los Términos de Financiación la Titular autorizó: “comunicar estados de cuenta, notificaciones y/o avisos previos reportes a centrales de riesgo, gestión de cobranza, realizar comunicaciones publicitarias y demás comunicaciones que CREDYTY considere relevantes.

“(…) “Cláusula 3.- CANALES DE COMUNICACIÓN ENTRE LAS PARTES. Los BENEFICIARIOS aceptan los canales electrónicos que a su disposición pone CREDYTY como medios legítimos de comunicación entre ambas PARTES y se comprometen a monitorear y atender, de forma regular, la plataforma web que CREDYTY pone a su disposición. Los canales de comunicación que serán puestos a disposición de los BENEFICIARIOS por CREDYTY incluyen, entre otros: (i) los contactos de servicio al cliente (SAC) como son los correos electrónicos y chat en línea vía landing que se encuentran publicados en la página web de CREDYTY;

(ii) la red de embajadores y asesores de CREDYTY; (iii) la plataforma web que ofrece CREDYTY denominada “Portal Credyty” para realizar el monitoreo o seguimiento de las solicitudes realizadas por los BENEFICIARIOS; y (v) cualquier otro medio que esté habilitado para la comunicación de ambas PARTES. A través de estos canales de comunicación, CREDYTY podrá comunicar estados de cuenta, notificaciones y/o avisos previos reportes a centrales de riesgo, gestión de cobranza, realizar comunicaciones publicitarias y demás comunicaciones que CREDYTY considere relevantes.

En todo caso, durante la totalidad de la vigencia de este ACUERDO, CREDYTY mantendrá a los BENEFICIARIOS al tanto sobre todos los temas pertinentes relacionados con los PRODUCTOS o SERVICIOS FINANCIEROS, incluyendo: fechas clave, monto adeudado, estado de transacciones y cambios a la naturaleza del ACUERDO. En caso de presentar cualquier inquietud sobre los canales de comunicación disponibles, los BENEFICIARIOS podrán consultar los Términos y Condiciones de la plataforma web de CREDYTY en el siguiente enlace: https://credyty.com/legal/terminos-y-condiciones“Texto resaltado y en negrilla.

( )5. Radicado 22-206465 Consecutivo 29 Página 16 Folio 8 “Por la cual se impone una sanción administrativa” 4.14 Que la señora XXXXXXXX canceló las dos primeras cuotas, sin embargo, incumplió con el pago con los siguientes pagos, razón por la cual, se procedió a enviar comunicación previa con 20 días de antelación a través de la plataforma Masivapp de Masivian S.A.S al número de celular xxxxxxxxxxx y al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx. 4.15 Que los mensajes donde se le informó a la Titular el estado actual de su obligación y se le advirtió del posible reporte en centrales de riesgo, fueron enviados y entregados, por lo cual, la reclamante tuvo la oportunidad de normalizar el cumplimiento de sus obligaciones. 4.16 Que respecto de los requerimientos realizados por esta Superintendencia en los últimos 2 años han sido resueltos. 4.17 Que solicita a este Despacho, que no se imponga ningún tipo de sanción, toda vez que para la fecha en que esta Superintendencia envió los requerimientos, el reporte negativo generado ante el operador Experian a nombre de la señora XXXX XXXXX XXXXXXX XXXXXXX había sido eliminado.

QUINTO: Que, a través de la Resolución N.º 73039 del 26 de noviembre de 2024, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente, radicado bajo el número 22-206465, con el valor legal que les corresponda; y decretó las pruebas que consideró necesarias para tener los elementos de juicio suficientes para decidir la presente investigación.

SEXTO: Que, la Resolución N.º 73039 del 26 de noviembre de 2024 le fue comunicada a la sociedad investigada el 27 de noviembre de 2024, de conformidad con la certificación del 3 de diciembre de 2024, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22206465- 36.

SÉPTIMO: Que, mediante oficio radicado bajo el numero 22-206465-38 el 6 de octubre se dio traslado a la sociedad investigada para que presentara alegatos de conclusión, los cuales fueron allegados el 21 de octubre de 2025 reiterando los argumentos expuestos en el escrito de descargos.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio frente a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) (ii) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

Que exista una sanción cuyo contenido material esté definido en la ley; “Por la cual se impone una sanción administrativa” (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica.

En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cual es la conducta ordenada o prohibida o cual es la sanción especifica aplicable. (…)”.6 Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: a) El artículo 8º de la Ley 1266 de 2008 establece los deberes que les asisten a las fuentes de la información respecto del debido tratamiento de los datos personales de los titulares.

El incumplimiento de tales deberes dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la misma norma. b) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las siguientes normas: • El numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la norma precitada. • El numeral 5 del artículo 8 de la Ley 1266 de 2008. • El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la citada Ley. • El numeral 9 del artículo 8 de la Ley 1266 de 2008.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones 9.2.1 Respecto del deber que la sociedad investigada ostenta en su calidad de Fuente de la información de garantizar que la información sea veraz y comprobable.

El deber de veracidad se encuentra vinculado a la obligación que tienen las fuentes de informar de forma periódica y oportuna a los operadores todas las novedades, sobre los datos que previamente se encuentren reportados ante la base que administran y propender porque la misma se mantenga actualizada. En efecto, el deber de veracidad del dato, implica que la información que suministre la Fuente a los Operadores de los bancos de datos sea veraz, completa, exacta, actualizada y comprobable, toda vez que la información está destinada entre otros fines, a ofrecer a terceros datos útiles para el cálculo del riesgo crediticio, además que la misma debe reflejar el comportamiento de pago y en general crediticio del titular, por lo que incluir o reportar información errónea, de la cual no se tiene soportes o certeza, está incompleta, o no corresponde a la realidad, afecta gravemente al titular de los datos.

Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. F.J:3.6.2 “Por la cual se impone una sanción administrativa” En este punto, vale la pena recordarle a la investigada que debe cumplir con lo establecido en la Ley 1266 del 2008, especialmente en el caso que nos atañe, en relación con lo dispuesto en el numeral 1) del artículo 8, en concordancia con el literal a) del artículo 4 de la norma en mención, que indican que: “Artículo 8°.

Deberes de las fuentes de la información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable.

(…) ARTÍCULO 4o. PRINCIPIOS DE LA ADMINISTRACIÓN DE DATOS. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establece a) Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error” Puesto que el asunto materia de decisión tiene relación con el principio de veracidad de la información, vale la pena traer a colación el pronunciamiento realizado por la Corte Constitucional en la sentencia C-1011 de 2008, mediante la cual se revisó la constitucionalidad del proyecto de ley estatutaria de Hábeas Data: “Existe, a partir del contenido de la norma estatutaria, una garantía dual de veracidad del dato financiero negativo.

De un lado, las normas que estipulan los deberes exigibles de las fuentes obligan a que la información remitida al operador cumpla con condiciones de certeza e integridad, de modo que ante la existencia de un error en el dato, la fuente está compelida a corregirlo previamente al envío. De otro, se disponen de una serie de dispositivos e instancias para que el titular de la información, con anterioridad o luego de incorporarse la información en el banco de datos, pueda ejercer las competencias de actualización y rectificación de la información personal”.

Ahora bien, para efectos de entender quienes ostentan la calidad de Fuente de la información, el literal b) del artículo 3 de la Ley 1266 de 2008, define a la fuente como aquella “persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final (…)” (subraya fuera del texto).

En ese mismo orden, el Titulo V de la Circular Única de la Superintendencia de Industria y Comercio establece que: “(…) 1.3.1. Deber de garantizar la calidad de la información que las fuentes suministran a los operadores de los bancos de datos y/o a los usuarios. Las fuentes de información deberán observar los siguientes lineamientos, tendientes a garantizar la calidad de la información que suministran a los operadores de los bancos de datos y/o a los usuarios: a) Las personas, entidades u organizaciones que actúen como fuentes de información deben tener un vínculo comercial, de servicio o de cualquier otra índole con el titular cuya información reporta y, además, tener disponibles las pruebas necesarias para demostrarlo.

“Por la cual se impone una sanción administrativa” b) La información que reporten a los operadores debe corresponder a las condiciones reales de la obligación al momento del reporte, por lo que la información suministrada debe ser veraz, completa, exacta, actualizada y comprobable y estar sustentada mediante los soportes que permitan demostrar la existencia y las condiciones de la obligación a su favor.

No puede reportarse información que carezca de los soportes que demuestren el origen, existencia y condiciones de la obligación. En caso de haberse efectuado el reporte sin contar con los soportes que permitan acreditar la existencia y condiciones de la obligación, deberá eliminarse la información una vez surtido el trámite del reclamo respectivo.

(…)¨ De los preceptos legales antes citados, se desprende que la información suministrada por las Fuentes debe ser veraz, completa, exacta, actualizada y comprobable, a fin de cumplir con el principio de calidad del dato. Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 27507 del 28 de mayo de 2024 que: “(…) Atendiendo lo anterior, mediante radicados números 22-206465-9 del 3 de noviembre de 2022 y 22-206465-20 de 14 de diciembre de 2022, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas, requirió a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. para que, entre otras cosas, acreditara la fecha exacta en que se constituyó en mora de la obligación reportada y remitiera copia del documento donde constara la existencia de la obligación a nombre de la reclamante y/o relación comercial con éste.

Vencido el término concedido en el requerimiento, LA INVESTIGADA guardó silencio y no ejerció su derecho de defensa y contradicción, tal y como se evidencia en los considerandos 3.5 y 3.9 del presente acto administrativo; por ende, no allegó prueba que acredite la existencia de la obligación a nombre de la Titular XXXX XXXXX XXXXXXX XXXXXXX.

De lo anterior, se puede concluir de manera preliminar que, LA INVESTIGADA allegó copia del pagaré presuntamente suscrito por el Titular donde se observan los datos personales del mismo; sin embargo, el respectivo documento no se encuentra debidamente firmado por el Titular. En consecuencia, se infiere, preliminarmente, que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., en calidad de Fuente de Información, no cumplió con el deber de suministrar a los bancos de datos información veraz, completa, exacta y comprobable y comprensible, conducta que se subsume típicamente en una presunta transgresión al deber consagrado en el numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la norma precitada.

(…)” En cuanto al acervo probatorio, se evidencia lo siguiente: En el caso en concreto, se encuentra que la denunciante, mediante radicado 22206465-0 del 24 de mayo del 2022, indicó que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S, reportó información negativa en las centrales de riesgo respecto de la obligación N.º XXXXX la cual se encuentra al día, toda vez que la gestión de cobro la hizo la sociedad COVINOC y que una vez se realizó un acuerdo de pago la misma fue cancelada.

Con su queja aportó las siguientes pruebas: (i) Respuesta a derecho de petición con fecha del 24 de febrero de 2022 por parte de la sociedad COVINOC S.A.7 (ii) Pagaré y endoso.8 Radicado 22-206465 Consecutivo 0 Página 3 Radicado 22-206465 Consecutivo 0 Página 4 “Por la cual se impone una sanción administrativa” (iii) Certificado emitido por la sociedad COVINOC S.A. Por su parte este Despacho, requirió la sociedad investigada, para que se pronunciara sobre los hechos materia de queja y allegara entre otros: “1.

Acrediten la fecha exacta en que se constituyó en mora de la obligación reportada. 2. Alleguen copia del documento donde conste la existencia de la obligación a nombre de la reclamante y/o relación comercial con ésta”9 de igual manera, aportara constancia de la cadena de cesión o endoso del crédito a su favor, en caso de que aplique. No obstante, la sociedad investigada, guardó silencio a los requerimientos realizados dentro de la indagación preliminar y solo en virtud de la formulación de cargos, el día 9 de mayo de 2022, presentó a través de su apoderado los respectivos descargos, donde indica lo siguiente: “(…) Para el año 2019 mi representada y la Fundación Universitaria del Área Andina (Areandina), suscribieron un contrato de Colaboración institucional, en donde la sociedad comercial EDTECH SOLUCIONES DE COLOMBIA era el canal entre el SUSCRIPTOR/USUARIO y la Institución educativa; y que por medio del PORTAL CREDYTY le permite al SUSCRIPTOR/USUARIO, una comunicación a través de internet con CREDYTY, para que: 1) Obtenga información de sus productos o servicios financieros, 2) Realice las solicitudes financieras habilitadas o que se habiliten en el futuro, de acuerdo a las modalidades establecidas, junto con los convenios debidamente habilitados con los que cuente CREDYTY, de igual forma entre mi representada, la Fundación Universitaria del Área Andina (Areandina) y COVINOC S.A, establecieron que la empresa COVINOC S.A seria quien afianzaba los créditos para respaldar la perdida incurrida de los créditos, la solicitud del cre´dito (sic) por medio de la plataforma “PORTAL CREDYTY” debía cumplir con lo estipulado en los TÉRMINOS DE FINANCIACIÓN, estos términos se pueden visualizar en https://credyty.com/terminos/terminosde-financiacion ( )”10.

De igual manera, aclara que la empresa COVINOC S.A era quien afianzaba los créditos para el año 2019, por lo cual, las dos primeras cuotas correspondían a EDTECH SOLUCIONES DE COLOMBIA S.A.S, las cuales fueron saldadas, y las cuatro cuotas restantes pertenecían a la empresa COVINOC S.A, como se puede observar en la siguiente imagen: “(…) (…)”11 A su vez, informó que la sociedad COVINOC S.A, era quien debía recuperar las 4 cuotas restantes, sin embargo, la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. ostenta la calidad de beneficiaria del Título valor (Pagaré desmaterializado N° xxxxxxx), toda vez, que de acuerdo con el objeto Radicado 22-206465 Consecutivos 9 y 20 Radicado 22-206465 Consecutivo 29 Página 16 folio 3 Radicado 22-206465 Consecutivo 29 Página 16 folio 5 “Por la cual se impone una sanción administrativa” contractual celebrado con la Fundación Universitaria del Área Andina (Areandina), fue la investigada quien originó el crédito, y teniendo en cuenta las cláusulas 3 y 22 de los Términos de Financiación y la cláusula 12 de los Términos y Condiciones, la Titular autorizó a EDTECH SOLUCIONES DE COLOMBIA S.A.S. (en calidad de Fuente de información) a adelantar las gestiones necesarias para la recuperación de la cartera, y registrar el reporte negativo ante las centrales de riesgo de acuerdo con la Ley 1266 de 2008.

Ahora bien, para este Despacho es importante aclarar que según lo establecido en los artículos del 1959 al 1972 del Código Civil respecto de los créditos personales se pueden ceder ciertos derechos, por lo que la cesión de créditos es un acto en virtud del cual, el cedente de una manera libre lo traslada a favor de un tercero, denominado cesionario del crédito, o cesión de derechos personales haciéndose necesario que el cesionario acepte el crédito y que el cedente le entregue el título para que la cesión sea válida.

Por lo tanto, la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., en calidad de fuente de información, se encuentra en el deber legal de acreditar que posee algún vínculo que la faculte o legitime para reportar la información de la titular. De ahí que, este Despacho procedió a valorar las pruebas obrantes en el plenario y evidencia que la sociedad investigada allegó: (i) Respuesta a derecho de petición con fecha del 24 de febrero de 2022 por parte de la sociedad COVINOC S.A.12 donde se informa a la titular que las obligaciones fueron cedidas por la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. a favor de la sociedad COVINOC S.A. (ii) Pagaré y endoso.13, (iii) Pagaré a favor de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. con su respectiva carta de instrucciones, tal y como se evidencia en las siguientes imágenes: “(…) Radicado 22-206465 Consecutivo 0 Página 3 Radicado 22-206465 Consecutivo 0 Página 4 “Por la cual se impone una sanción administrativa” (…)” “Por la cual se impone una sanción administrativa” (…)”14 Por su parte, el operador de información EXPERIAN COLOMBIA S.A. manifestó que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. reportó la obligación N.º XXXXX a nombre de la titular XXXX XXXXX XXXXXXX XXXXXXX, desde el mes de diciembre de 2019, y el primer reporte de información negativa fue realizado en el mes de febrero de 2020, de igual manera señaló que al 16 de noviembre de 2022, la sociedad investigada no había solicitado la eliminación de la información negativa de la obligación. Así mismo, informó que la obligación no ha sido sujeta de procesos de migración y por lo tanto la única fuente que ha reportado la información en la historia de crédito de la titular respecto a la obligación mencionada, es la sociedad investigada.

Ahora bien, en la formulación de cargos se indica que en el pagaré solo se evidencian los datos de la titular mas no se encuentra su firma y por lo tanto no se puede evidenciar el consentimiento de la misma. No obstante, al revisar la información consignada en el pagaré N.º xxxxxxx, se observa que la señora XXXX XXXXX XXXXXXX XXXXXXX firmó de manera electrónica el titulo valor.

Ahora bien, de acuerdo con la Ley Ley 527 de 1999 “cuando una firma digital haya sido fijada en un mensaje de datos se presume que el suscriptor de aquella tenía la intención de acreditar ese mensaje de datos y de ser vinculado con el contenido del mismo”, así mismo, el Decreto 2364 de 2012 señala que “Salvo prueba en contrario, se presume que los mecanismos o técnicas de identificación personal o autenticación electrónica según el caso, que acuerden utilizar las partes mediante acuerdo, cumplen los requisitos de firma electrónica”, y teniendo en cuenta que, dentro de las manifestaciones realizadas por la denunciante, no se niega ni se desconoce la firma del pagaré, este Despacho deberá presumir su legalidad y con ello la manifestación de voluntad de la titular.

De otra parte, una vez valoradas las pruebas aportadas al expediente este Despacho encuentra que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. endosó el pagare N.º xxxxxxx el día 14 de enero de 2022 a la sociedad COVINOC S.A., lo anterior, de acuerdo con el certificado de valores en depósito Radicado 22-206465 Consecutivo 0 Página 3 y 4 y Consecutivo 29 Página 2 “Por la cual se impone una sanción administrativa” antes mencionado, por lo cual a partir de dicha fecha debió realizarse la migración de la información en el reporte de la obligación N.º XXXXX realizado en la historia de crédito de la titular, no obstante, los datos siguieron siendo reportados por la sociedad investigada hasta el mes de diciembre de 2022, de acuerdo con lo informado por la misma sociedad, cuando indicó: “(…) Cabe aclarar que a la fecha el crédito XXXXX, no cuenta con reporte negativo, toda vez que mediante comunicación interna vía correo electrónico por parte de la empresa COVINOC S.A, el 25 de octubre del 2022 a las 8:51 informo que la solicitante se encontraba al día con el pago de su obligación, ver Prueba N° 2 (Correo de Credyty - XXXX XXXXX XXXXXXX XXXXXXX) razón por la cual mi representada procedió a la eliminación de dicha obligación ante centrales de riesgo, en donde la solicitante quedó NOTIFICADA vía correo electrónico el día 01 de noviembre del 2022, a las 11:27 am, esta eliminación se podría ver reflejada a partir del mes de diciembre del 2022 (negrita y subrayado fuera del texto)”.

De conformidad con lo anterior, queda demostrado que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. violó las disposiciones contenidas en la ley 1266 de 2008, vulnerando el derecho de habeas data de la titular, toda vez que no le garantizó que la información registrada en los bancos de datos fuera veraz, actualizada, completa, exacta, comprensible y comprobable, pues independientemente de que el titulo valor que garantiza la existencia de la obligación, hubiese sido suscrito originalmente por la sociedad investigada, este presenta un endoso y por tal motivo desde la firma de la cesión de crédito EDTECH SOLUCIONES DE COLOMBIA S.A.S. no podía seguir reportando información ante las centrales de riesgo toda vez que ya no tenia la condición de acreedor de la obligación. En este punto, es pertinente traer a colación los dispuesto en el numeral 1.3.1 del Título V de la Circular única de la Superintendencia de Industria y comercio que indica lo siguiente: “1.3.1.

Deber de garantizar la calidad de la información que las fuentes suministran a los operadores de los bancos de datos y/o a los usuarios Las fuentes de información deberán observar los siguientes lineamientos, tendientes a garantizar la calidad de la información que suministran a los operadores de los bancos de datos y/o usuarios: a) Las personas, entidades u organizaciones que actúen como fuetes de información deben tener un vínculo comercial, de servicio o de cualquier otra índole con el titular cuya información reporta y además, tener disponibles las pruebas necesarias para demostrarlo.

(…)”. (Negrita y subrayado fuera del texto) Por tal motivo, se encuentra plenamente demostrado en el plenario, que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., reportó información negativa ante el operador EXPERIAN COLOMBIA S.A. en el historial crediticio de la Titular XXXX XXXXX XXXXXXX XXXXXXX, careciendo de los soportes documentales que acreditaran la calidad de acreedor que predica respecto de la de la obligación XXXXX; situación que se traduce en el incumplimiento de su deber legal de garantizar que la información suministrada a los Operadores de bancos de datos y a los Usuarios sea veraz, completa, exacta, actualizada y comprobable.

En consecuencia, se encuentra probado el incumplimiento por parte de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., respecto de lo establecido en el numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la misma disposición, normativa con base en la cual esta Dirección formuló el cargo en su contra; por tal motivo se impondrá la correspondiente sanción. “Por la cual se impone una sanción administrativa” 9.2.2 Respecto del deber de solicitar y conservar copia o evidencia de la respectiva autorización otorgada por el Titular de la información y de abstenerse de suministrar a los Operadores de Información. El artículo 15 de la Constitución Política establece lo siguiente: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En relación con la importancia constitucional de la autorización previa, la Corte en Sentencia C - 1011 de 16 de octubre de 2008, Magistrado Ponente Doctor Jaime Córdoba Triviño, que efectúa el control de constitucionalidad de la Ley 1266 de 2008, sostuvo: “La segunda condición que se infiere del análisis sistemático de los preceptos analizados, está relacionada con la vigencia del principio de libertad en la administración de datos personales que, como se ha insistido en esta decisión, se concreta en la autorización que realiza el titular ante la fuente para la incorporación de sus datos personales en archivos y bancos de datos administrados por los operadores de información. A este respecto, debe recabarse en que la autorización previa, libre, específica y suficiente es un atributo que debe concurrir siempre (en ausencia de mandato judicial), en función de la efectividad de la garantía de autodeterminación de la persona.

Además, debe reiterarse que el otorgamiento de consentimiento por parte del titular no exime al sistema de administración del dato financiero de asegurar el cumplimiento de los demás principios, como el de finalidad legítima, compatible con aquella para la cual los datos han sido recogidos”. Así mismo, de forma previa, la Corporación en Sentencia T-060 de 30 de enero de 2003, Magistrado Ponente, Doctor Eduardo Montealegre Lynnet, señaló: “El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los “derechos fundamentales”, no deja duda acerca de la categoría de tal reconocida al derecho en referencia. Respecto de su protección, el constituyente indicó adicionalmente que ‘(e)n la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución’ […]”.

(Subraya fuera de texto original). De esta manera la Corte ha establecido que el núcleo esencial del derecho de habeas data está integrado por el derecho a la libertad y a la autodeterminación informática en general, y por la libertad económica en particular, pues, como lo ha establecido, éste podría verse vulnerado al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizados por parte del Titular o por la Ley.

Así, la autodeterminación es la posibilidad de que dispone el Titular para permitir que sus datos se almacenen, circulen y sean usados conforme la regulación legal y su autorización. De igual modo, hace parte del derecho al habeas data la previa autorización expresa y voluntaria que debe dar el Titular de la información, para que la Fuente de la información pueda disponer de esta, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarla, actualizarla o revocarla.

Como se advierte, el precepto constitucional establecido en el artículo 15 de la Constitución Política determina que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos se recaude pueda ser incluida en un banco de datos.

En consecuencia, la ausencia de dicha “Por la cual se impone una sanción administrativa” autorización implica necesariamente que los datos personales asociados al Titular, no podrán ser reportados a un Operador de información. Así pues, a cargo de la Fuente, se encuentra la obligación de solicitar y conservar copia o evidencia de la respectiva autorización otorgada por el Titular de la información, y asegurarse de no suministrar a los Operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo establecido en el numeral 5 del artículo 8 de la Ley 1266 de 2008.

Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 27507 del 28 de mayo de 2024 que: “(…) En el caso en concreto, se tiene que la Titular manifiesta, mediante escrito radicado con los números 22-206465-0 de 24 de mayo de 2022 y 22206465-1 de 26 de mayo de 2022, que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. no demostró que cuenta con los documentos soporte de la obligación, a través de los cuales acredite ser el acreedor legítimo de la obligación No. XXXXX, pues no allegó el formulario de vinculación, la autorización previa y expresa contentiva de las finalidades, el contrato suscrito, y el titulo valor junto a la carta de instrucciones.

De ahí que, este Despacho remitió requerimientos bajo radicados números 22-206465-9 de 3 de noviembre de 2022 y 22-206465-20 de 14 de diciembre de 2022, a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., donde se solicitó entre otros, que aportara “2. (…) copia del documento donde conste la existencia de la obligación a nombre de la reclamante y/o relación comercial con ésta. 3.

(…) copia de la autorización previa y expresa otorgada por la Titular de la Información para realizar reportes ante los Operadores de Información (…)”. Al respecto, se tiene que una vez vencido el término concedido en los requerimientos a LA INVESTIGADA., esta guardó silencio y no ejerció su derecho de defensa y contradicción, por ende no allegó prueba que acredite el cumplimiento del deber establecido en el numeral 5 del artículo 8 de la Ley 1266 de 2008.

Conforme a lo anterior, esta Dirección establece de manera presuntiva que LA INVESTIGADA no dio cumplimiento al deber que ostenta en su calidad de Fuente de la Información de solicitar y conservar la copia de la autorización previa y expresa del Titular, para ser reportados en las bases de datos de los Operadores de Información, contemplada en la Ley 1266 de 2008, articulo 8 numeral 5.

(…)” Por su parte, el operador de información Experian Colombia S.A., a través de comunicación con radicado 22-206465-19 del 23 de noviembre de 2022 informó que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. registró reportes positivos y negativos respecto de la obligación N.º XXXXX en la historia de crédito de la señora XXXX XXXXX XXXXXXX XXXXXXX.

Ahora bien, vale la pena resaltar que los días 3 de noviembre15 y 14 de diciembre de 202216 este Despacho, requirió a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. con el fin de que “3. Alleguen copia de la autorización previa y expresa otorgada por la Titular de la Información para realizar reportes ante los Operadores de Información”, y solo mediante el escrito de descargos presentado en respuesta del 19 de junio de 2024 la sociedad investigada indicó que la Titular realizó a través de la plataforma establecida en la página web www.credty.com la validación de su identidad con cédula de ciudadanía por lo cual, los datos de la reclamante fueron almacenados y tratados únicamente posterior a que se hiciera la aceptación de los TÉRMINOS Y CONDICIONES y TÉRMINOS DE FINANCIACIÓN estipulados de la plataforma “Portal Credyty”.

Radicado 22-206465 Consecutivo 9 Radicado 22-206465 Consecutivo 20 “Por la cual se impone una sanción administrativa” Aseguró que, en los términos de financiación, la titular otorgó autorización de la siguiente manera: “ ( ) “Cláusula 22.- AUTORIZACIONES. CONSULTA Y REPORTE EN CENTRALES DE RIESGO. Los BENEFICIARIOS autorizan a CREDYTY y a sus terceros aliados para que solicite información y realice reportes relativos a su comportamiento financiero ante centrales de riesgo, de conformidad con la autorización otorgada para tal efecto durante la solicitud del producto o servicio financiero en la plataforma web “Portal Credyty” REPORTE EN ASEGURADORAS Y AFIANZADORAS, APLICA PARA LINEA DE CREDITO DIRECTO AFIANZADO Los BENEFICIARIOS autorizan a CREDYTY y a sus terceros aliados a transferir la información recolectada a aseguradoras y afianzadoras para su evaluación del riesgo de otorgarles un servicio de cualquier clase en razón de este ACUERDO ( )”17 De igual manera, mediante comunicado allegado el 17 de diciembre de 2024, la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. aseguró que la señora XXXX XXXXX XXXXXXX XXXXXXX solicitó un (1) crédito el cual con el número XXXXX, con fecha de formalización 19 de octubre del 2019, a las 10:35 para financiar la Especialización en Auditoria en Salud con la Universidad Fundación Universitaria del Área Andina (Areandina).

Para acreditar la autorización la investigada señaló lo siguiente: “se presenta la siguiente información y documentación que respalda las autorizaciones otorgadas por la señora XXXX XXXX XXXXXX XXXXXX, en el marco de su relación contractual con Edtech Soluciones de Colombia S.A.S. (CREDYTY), (…) Pruebas de la autorización para reportes y comunicaciones previas: 1.

Aceptación de los Términos y Condiciones de Suscripción al Portal Credyty: • Fecha y hora de aceptación: 3 de octubre de 2019, 16:11. • Contenido relevante: La titular aceptó que CREDYTY tratara sus datos personales y financieros, incluyendo la consulta y reporte de información financiera ante operadores de bases de datos. Adicionalmente, autorizó el uso de medios electrónicos para notificaciones previas, como correo electrónico y mensajes de texto. 2.

Aceptación de los Términos de Financiación: • Fecha y hora de aceptación: 19 de octubre de 2019, 10:35. • Contenido relevante: En la Cláusula 22, la titular autorizó explícitamente a CREDYTY para realizar reportes financieros. En la Cláusula 3, aceptó recibir notificaciones previas a través de los canales electrónicos proporcionados: correo electrónico registrado (xxxxxxxxxxxxxxxxxxxxxxxxxx) y número de celular (xxxxxxxxxxx). 3.

Prueba de registro de aceptación: • Los logs de actividad de la plataforma Portal Credyty evidencian la aceptación de ambos documentos mediante un proceso validado electrónicamente, en las fechas y horas mencionadas. • Estos registros incluyen: Radicado 22-206465 Consecutivo 29 Página 16 Folio 9 “Por la cual se impone una sanción administrativa” Fecha y hora de aceptación. (…)”.

Los logs allegados son los siguientes: Ahora bien, una vez analizadas las pruebas antes señaladas, es importante mencionar que el numeral 5 del artículo 8 de la Ley 1266 de 2008, no solo exige la obligación de solicitar la autorización a los titulares, si no también se requiere que la fuente conserve copia y evidencia, y respecto de estas directrices, el Despacho no observa el cumplimiento de dicho deber por parte de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., puesto que no existe dentro del expediente; pese a las constantes solicitudes que ha realizado el Despacho a la investigada, una prueba idónea y conducente que demuestre el consentimiento de la señora XXXX XXXXX XXXXXXX XXXXXXX.

El argumento anterior cobra sentido si se analizan las pruebas aportadas, toda vez que los términos de financiación allegados son solo un escrito que no puede asociarse a los logs allegados, pues estos únicamente señalan presuntamente la fecha de aceptación de los términos, pero no permiten comprobar que la titular fue la que aceptó dichas condiciones en ese momento.

Finalmente, es necesario precisar, que la existencia de la autorización previa expresa y voluntaria no solo es un simple requisito impuesto por la ley, por el contrario, es el núcleo esencial del derecho fundamental de Habeas Data, ya que significa la expresión de la voluntad del titular del derecho frente al tercero para el manejo de su información, es decir, su consentimiento.

Entonces, es claro que, si no se puede demostrar que la autorización fue suscrita por la titular, no es posible determinar que se cumple con el requisito impuesto por la ley. Por lo anterior, esta Superintendencia encuentra que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., violó el deber contenido en el numeral 5 del artículo 8 de la Ley 1266 de 2008, razón por la cual se impondrá la correspondiente sanción. 9.2.3 Del deber de remitir una comunicación previa al reporte negativo ante los Operadores de la información. El numeral 10 del artículo 8 de la Ley 1266 de 2008 establece lo siguiente: “Artículo 8.

Deberes de las Fuentes de la información. Las Fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 10. Los demás que se deriven de la Constitución o de la presente ley. (…)”. En concordancia con lo anterior, el artículo 12 de la Ley 1266 de 2008 y el artículo 2.2.2.28.2 del Decreto 1074 del 2015, establecen un deber especial para las fuentes de información en los siguientes términos: “Por la cual se impone una sanción administrativa” “Artículo 12.

Requisitos especiales para Fuentes. Las Fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y ésta aún no haya sido resuelta.” (Destacado fuera del texto original) (…)

ARTÍCULO 2. 2.2.28.2. Reporte de Información Negativa. En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible.

Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente.

En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial. Al respecto de dicho deber especial, la Corte Constitucional en la sentencia C1011 de 2008 señaló que el procedimiento establecido en el artículo 12 de la Ley 1266 de 2008 se configura como una herramienta adecuada para que el titular pueda ejercer sus derechos de actualización y rectificación de los datos, siendo enfática al analizar este requisito establecido para las fuentes y señalando que: “El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad.

La preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. (…) La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la “Por la cual se impone una sanción administrativa” existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.

( )”18. (Negrilla fuera del texto original). Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 27507 del 28 de mayo de 2024 que: “En el caso bajo examen, dentro de la denuncia presentada mediante radicados números 22- 206465-0 de 24 de mayo de 2022 y 22-206465-1 de 26 de mayo de 2022, la Titular XXXX XXXXX XXXXXXX XXXXXXX manifiesta que el día 14 de octubre de 2021, elevó reclamación ante CREDYTY, donde solicita “…EL DOCUMENTO Y/O COMUNICACIÓN, DONDE ME INFORMAN CON 20 DIAS DE ANTERIORIDAD QUE VOY A SER REPORTADA POR DICHA DEUDA, COMO LO ESTABLECE EL ARTICULO 12 DE LA LEY 1266 DE 2008, DE NO EXISTIR, LES EXIJO QUE SEA RETIRADO DICHO REPORTE NEGATIVO” y, que, LA INVESTIGADA no le suministró respuesta a la solicitud.

Frente a ello, este Despacho el día 3 de noviembre de 2022, bajo radicado número 22- 206465-9 y, el 14 de diciembre de 2022, con radicado número 22-206465-20 solicitó a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., entre otras cosas, que suministrara respuesta siguiente punto: “(…) 5.Alleguen copia de la(s) comunicación(es) previa(s) remitida(s) al reclamante antes del reporte de información negativa, junto con la prueba de envío a la dirección física y/o electrónica informada por el Titular de conformidad a lo establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008 y/o en el parágrafo 2 del artículo 3 de la Ley 2157 de 2021 (…)”.

Frente al anterior interrogante, LA INVESTIGADA, una vez vencido el término concedido en los requerimientos, guardó silencio y no ejerció su derecho de defensa y contradicción, por ende, no allegó prueba que acredite el cumplimiento del envío de la comunicación previa a la Titular xxxxxxxxxxxxxxxxxxxxxxxxxx, con el propósito de advertir el reporte negativo realizado en el mes de febrero de 2020.

Ahora bien, según la información allegada a esta Dirección, por el operador de información EXPERIAN COLOMBIA S.A., mediante comunicación radicada con el número 22-206465-19 del 24 de noviembre de 2022, se encontró preliminarmente que, de cara al histórico de crédito de la Titular denunciante relativo a la obligación, el primer reporte negativo de la obligación XXXXX por parte de la Fuente de Información, fue en el mes de febrero de 2020 con fecha corte el mes de enero de 2021,no obstante en el mes de mayo de 2022 la obligación aún presentaba mora.

Así las cosas, esta Dirección establece de manera presuntiva que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. no dio cumplimiento al deber que ostenta en su calidad de Fuente de la Información, de comunicar previamente a la Titular de la información, el reporte negativo ante Operadores de Información con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad, conforme a la Ley 1266 de 2008 articulo 8 numeral 10, en concordancia con el artículo 12 de la misma Ley”.

Por su parte, mediante escrito de descargos presentados el 19 de junio del 202419, la sociedad investigada manifestó lo siguiente: “(…) La solicitante efectuó los pagos de las cuotas numero 1 y 2 en las fechas acordadas, pero incumplió con los siguientes, que habían sido acordados en las siguientes fechas: Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. Radicado 22-206465 Consecutivo 29 Página 16 Folio 11 “Por la cual se impone una sanción administrativa” - Primer pago: el 22 de octubre de 2019. - Segundo pago: 20 de noviembre de 2019. - Tercer pago: 20 de diciembre de 2019. - Cuarto pago: 20 de enero de 2020. - Quinto pago: 20 de febrero de 2020. - Sexto y último pago: 20 de marzo de 2020.

De acuerdo a lo anterior, previa autorización expresa de la solicitante mediante la aceptación de los TÉRMINOS Y CONDICIONES y TÉRMINOS DE FINANCIACIÓN estipulados en la plataforma “Portal Credyty”, en concordancia con las cláusulas tercera y veintidós de los TÉRMINOS DE FINANCIACIÓN y la cláusula segunda de los TÉRMINOS Y CONDICIONES, se envió notificación previa con mínimo 20 días de antelación. Esto se puede evidenciar en las notificaciones remitidas exitosamente a través de la plataforma Masivapp de Masivian S.A.S, comunicaciones que fueron enviadas al número de celular xxxxxxxxxxx y al correo xxxxxxxxxxxxxxxxxxxxxxxxxx ver Prueba N° 6 (Comunicaciones CR), Prueba N° 7 (Comunicaciones CR) Prueba N° 8 (Comunicaciones CR) Prueba N° 9 (Comunicaciones CR), Prueba N° 10 (Comunicaciones CR) proporcionados por la solicitante al momento de registrarse en la plataforma “Portal Credyty”.

En las comunicaciones emitidas, es posible visualizar en la columna “Estado”, que los mensajes fueron enviados y entregados correctamente a la solicitante. Es decir que la solicitante tuvo oportunidad de normalizar el cumplimiento de sus obligaciones y de debatir la información antes de que ésta fuese reportada. De igual manera, mediante comunicación allegada el 17 de diciembre de 2024 la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. indicó lo siguiente: “En atención al requerimiento formulado, se presenta información detallada sobre la comunicación previa enviada a la señora XXXX XXXXX XXXXXXX XXXXXXX antes de realizar un reporte en bases de datos de operadores de información, así como las acciones emprendidas para garantizar que esta notificación cumpliera con los requisitos establecidos en la normatividad vigente.

Autorización previa para notificaciones electrónicas: De acuerdo con la aceptación expresa de los Términos y Condiciones el día 03/10/2019 a las 16:11 y los Términos de Financiación el día 19/10/2019 a las 10:35, la titular autorizó a Edtech Soluciones de Colombia S.A.S. (CREDYTY) a utilizar los canales electrónicos (mensajes de texto) para realizar notificaciones previas a cualquier reporte en centrales de riesgo. • Cláusulas relevantes: o Términos de Financiación: ▪ Cláusula 3: Define los medios electrónicos como canales legítimos de comunicación entre las partes.

“Por la cual se impone una sanción administrativa” ▪ o Cláusula 22: Autoriza expresamente a CREDYTY para realizar reportes financieros y prevé la notificación previa al titular. Términos y Condiciones: ▪ Cláusula 12: Establece el compromiso de CREDYTY de realizar notificaciones previas y faculta el uso de los medios de contacto proporcionados por la titular.

Prueba de la comunicación previa y su envío: De acuerdo con lo anterior, previa autorización expresa de la solicitante mediante la aceptación de los Términos y Condiciones y Términos de Financiación estipulados en la plataforma “Portal Credyty”, y en concordancia con las cláusulas tercera y veintidós de los Términos de Financiación y la cláusula segunda de los Términos y Condiciones, se envió notificación previa con mínimo 20 días de antelación. • Notificación previa: o La comunicación fue remitida exitosamente al número de celular registrado (xxxxxxxxxxx) mediante la plataforma Masivapp de Masivian S.A.S, proveedor de servicios de mensajería electrónica contratado por CREDYTY para el año 2020. o Las pruebas de estas comunicaciones fueron aportadas en respuesta a los descargos anteriores, bajo la Resolución 27507 del 2024 identificadas como: ▪ Prueba N° 6 (Comunicaciones CR) ▪ Prueba N° 7 (Comunicaciones CR) ▪ Prueba N° 8 (Comunicaciones CR) ▪ Prueba N° 9 (Comunicaciones CR) ▪ Prueba N° 10 (Comunicaciones CR) • Detalles del envío: o Los registros de la plataforma Masivapp muestran que la comunicación fue enviada y entregada exitosamente. o En las evidencias aportadas, puede verificarse que la titular recibió la notificación con suficiente antelación, garantizando su derecho a conocer y controvertir la información antes de cualquier reporte.

Gestión adicional para verificar la información: Teniendo en cuenta que para el año 2020 Masivian S.A.S era el proveedor encargado de enviar las notificaciones electrónicas, y con el fin de corroborar la totalidad de los registros relacionados con dichas comunicaciones, el pasado 03 de diciembre de 2024 se realizó una compra de información adicional a Masivian bajo la Factura Electrónica de Venta xxxxxxx.

Los días 14 y 16 de diciembre de 2024, la empresa Masivian S.A.S remitió un consolidado de la información solicitada, en el cual se evidencia la autenticidad y veracidad de las pruebas aportadas en la contestación titulada ‘PRESENTACIÓN DESCARGOS - Resolución N°27507 del 28 de mayo de 2024’. Dicho consolidado refleja el compromiso y la diligencia con la que mi representada ha actuado frente a la Superintendencia de Industria y Comercio, realizando el respectivo descargue y revisión del archivo.

Como resultado de este proceso, se corroboró que el día 10 de enero de 2020, se envió una notificación mediante un mensaje SMS al número de contacto registrado por la solicitante (xxxxxxxxxxx), cuyo contenido fue el siguiente: “PRESENTAS MORA CON TU CRÉDITO N°XXXXX. CANCELA ANTES DEL 30/01/2020 Y EVITA REPORTES NEGATIVOS EN CENTRALES DE RIESGO.

SI TIENES DUDAS, LLÁMANOS AL 6348584.” Dicha información se encuentra debidamente documentada y puede verificarse en la hoja 3 del archivo ‘Data 2020 Credyty SMS’, contenido en el Anexo 11 denominado ‘Consolidado SMS - Correos Crédito XXXXX’. De esta manera, mi representada ha aportado evidencia suficiente que respalda el envío oportuno y efectivo de la notificación, demostrando su cumplimiento con las obligaciones de comunicación frente a sus usuarios y el debido proceso en la gestión de dicha información”.

“Por la cual se impone una sanción administrativa” Las pruebas, mencionadas por la sociedad son las siguientes: Por su parte, el operador de información EXPERIAN COLOMBIA S.A. manifestó que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. reportó la obligación N.º XXXXX a nombre de la titular XXXX XXXXX XXXXXXX XXXXXXX, desde el mes de diciembre de 2019, y el primer reporte de información negativa fue realizado en el mes de febrero de 2020, de igual manera señaló que al 16 de noviembre de 2022, la sociedad investigada no había solicitado la eliminación de la información negativa de la obligación y dicho reporte se mantuvo sin interrupción alguna.

Ahora bien, una vez revisadas las pruebas que obran en el expediente este Despacho entra a analizar cada uno de los presupuestos establecidos en el deber de comunicar previamente el reporte de información negativa a la titular, y verificar si la sociedad investigada dio cumplimiento a los mismos. 1. El reporte de la información negativa debe realizarse transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación. De acuerdo con las pruebas, se observa que la sociedad investigada mediante la plataforma Masivapp de la empresa Masivian S.A.S, presuntamente envío mensajes de texto con la comunicación previa al número de teléfono de la titular, dichos mensajes fueron realizados el 10 de enero, 10 de febrero y 3 de marzo de 2020, es decir que se cumple con la antelación requerida por la ley de los 20 días calendario previo al reporte, teniendo en cuenta que este fue realizado en el mes de febrero de 2020 de acuerdo con lo indicado por el operador de información. 2.

Que la comunicación sea enviada en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información. Ahora bien, respecto a esta exigencia es pertinente hacer unas precisiones legales antes de analizar si la sociedad investigada cumple con este requisito. Al respecto, la Corte Constitucional mediante la sentencia C-282 de 2021 realizó la revisión previa de constitucionalidad a la Ley 2157 de 2021, y señaló que: “(…) Para este tribunal es claro que en el artículo 2º del PLE, el Legislador estatutario aclaró que las reglas aplicables a la comunicación previa son las contenidas en ambos ordenamientos legales.

De esta manera, indicó que el artículo 12 de la Ley 1266 de 2008, y las disposiciones aplicables en materia de mensajes de datos de la Ley 527 de 1999, constituyen una delimitación para los operadores, en cuanto a la reglamentación con la que se implemente dicha disposición. Igualmente, considera la Corte que la inclusión de la Ley 527 de 1999 permite dar uso a otros medios de “Por la cual se impone una sanción administrativa” comunicación, lo cual redunda en garantías para hacer efectiva la comunicación al titular, y genera una trazabilidad en garantía de los derechos de las partes.

Asimismo, es importante destacar que la adición a la Ley 527 de 1999 ya se encuentra incluida en el Decreto 2952 de 2010 “Por el cual se reglamentan los artículos 12 y 13 de la Ley 1266 de 2008” (Art. 2) compilado en el Decreto 1073(sic) de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”.

Específicamente, en el artículo 2.2.2.28.2. se señala que “Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente”.

Al respecto, precisa la Sala que cualquier desarrollo normativo reglamentario de la comunicación previa al titular deberá garantizar el núcleo esencial del derecho a conocer, actualizar y rectificar la información objeto de reporte. (…) Finalmente, respecto al reproche de algunos intervinientes, en relación con la lectura de la norma frente a los demás artículos de la Ley 1266 de 2008, es claro se está haciendo referencia a la comunicación previa del reporte negativo, dada la adición al artículo 12 de dicha ley.

Lo anterior, encuentra pleno sustento, como se mencionó, como una garantía de los principios de finalidad, veracidad y calidad. Teniendo presente, también, que, ante todo, el titular de la información debe dar una autorización previa y libre (principio de libertad y autodeterminación informativa) -salvo que por mandato legal o judicial se releve a la fuente de dicha obligación” (negrita y subrayado fuera del texto).

Por su parte, el Decreto 2952 de 2010 en su artículo segundo señala que: “(…) el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible.

Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente (negrita y subrayado fuera del texto).

En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación correspondiente a la mora inicial”. Retomando el caso particular, este Despacho encuentra dentro del acervo probatorio que la comunicación previa fue presuntamente enviada por mensajes de datos allegados al teléfono de la titular, y esto en virtud de los reportes allegados por la sociedad investigada que fueron aportados por la empresa contratada para el efecto, De igual manera, la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., manifestó que el mensaje también fue enviado por de correo electrónico, no obstante de esto no obra ningún registro de envío en el expediente.

Por lo tanto, esta Dirección entra a valorar solo los mensajes de datos enviados y al respeto encuentra; tal como se analizó en el numeral anterior, que la sociedad investigada no pudo probar contar con el consentimiento del titular respecto de la aceptación expresa de los términos de financiación donde “Por la cual se impone una sanción administrativa” se acepta el envió de la comunicación previa por mensajes de datos.

Por ende, no se puede demostrar que la fuente y la titular hayan pactado este mecanismo previamente. Por virtud de lo expuesto, a juicio de esta Dirección la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S en su calidad de Fuente de Información, incumplió el deber contemplado en el numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma Ley, al no demostrar el envío de la comunicación previa al reporte negativo efectuado ante el Operador de Información en el historial de crédito de la Titular en cumplimiento de los requisitos legales, motivo por el que se impondrá la respectiva sanción pecuniaria. 9.2.4 Del deber como fuente de información de cumplir con las instrucciones impartidas por esta Superintendencia El artículo 8 de la Ley 1266 de 2008 establece los deberes de las fuentes de información, dentro de los cuales se encuentra el de cumplir con las instrucciones impartidas por esta Superintendencia, así lo dispone el numeral 9 de este artículo, veamos: Artículo 8°.

Deberes de las fuentes de la información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 9. Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley.

(…)” Sobre el particular, la Corte Constitucional en su sentencia C-1011 de 2008 prevé lo siguiente: “La obligación de cumplir con las instrucciones de la autoridad de control hace parte de la relación jerárquica de seguimiento y vigilancia a que está supeditada la actividad del tratamiento de datos por disposición del Proyecto de Ley. Por ende, no hay tacha de constitucionalidad de este precepto. ”20 Una vez mencionada la normatividad aplicable al caso concreto, es necesario aludir a los hechos de la presente investigación administrativa: En atención a las circunstancias denunciadas por la señora XXXX XXXXX XXXXXXX XXXXXXX bajo el radicado número 22-206465- 0 del 24 de mayo de 2022, el Grupo de Trabajo de Investigaciones Administrativas, a través de oficios radicados bajo el número N.º 22-206465- 09-000 del 3 de noviembre de 202 y 22-206465-20 del 14 de diciembre de 2022, solicitó a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. adjuntar la siguiente información: “(…) 1.

Acrediten la fecha exacta en que se constituyó en mora de la obligación reportada. 2. Alleguen copia del documento donde conste la existencia de la obligación a nombre de la reclamante y/o relación comercial con ésta. 3. Alleguen copia de la autorización previa y expresa otorgada por la Titular de la Información para realizar reportes ante los Operadores de Información. 4.

Alleguen copia de la(s) comunicación(es) previa(s) remitida(s) al reclamante antes del reporte de información negativa, junto con la prueba Corte Constitucional, Magistrado Ponente Doctor Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008). “Por la cual se impone una sanción administrativa” de envío a la dirección física y/o electrónica informada por el Titular de conformidad a lo establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008 y/o en el parágrafo 2 del artículo 3 de la Ley 2157 de 2021. 5.

Alleguen cadena de cesión o endoso del crédito a su favor, en caso de que aplique. 6. Informen acerca de la respuesta a la(s) suministrada(s) a la(s) reclamación(es) presentada(s) por la Titular junto con la guía y/o soporte que demuestre el envío de la(s) misma(s). 7. Remitan documento en el que se evidencie que informó al operador de información que la obligación "se encuentra en discusión por parte del titular" en los términos del numeral 8 del artículo 8 de la Ley 1266 de 2008, en caso de que el reclamo se hubiese efectuado con posterioridad al 1 de julio de 2009.

(…)”. Estos requerimientos no fueron contestados por parte de la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., y una vez estudiados los hechos de la presente investigación. En consecuencia, una vez adelantadas las averiguaciones preliminares previstas en el artículo 4712 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inicio investigación administrativa de carácter sancionatorio mediante la Resolución N.º 27507 del 28 de mayo de 2024, y sustentó este cargo en las siguientes consideraciones: “En desarrollo de la investigación, y con el fin de aclarar los hechos narrados en la denuncia, este Despacho remitió requerimientos radicados con los números 22-206465-9 de 3 de noviembre de 2022 y 22-20646520 de 14 de diciembre de 2022, solicitando a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. que “se pronunciara sobre los hechos materia de la queja y aportara las pruebas que pretendiera hacer valer dentro del referido trámite (…)”, a lo cual, vencido el término concedido en el requerimiento, LA INVESTIGADA no ejerció su derecho de defensa y contradicción. Frente a lo anterior, se deja de presente que las comunicaciones se remitieron el 03 de noviembre de 2022, a la dirección de correo electrónico para notificación judicial ‘notificacionesjudiciales@credyty.com’ y el 14 de diciembre de 2022, a la dirección física de la sociedad ‘Carrera 14 # 94A – 24 Of 205’, ambas direcciones registradas en el Certificado de Existencia y Representación Legal de la Cámara de Comercio de Bogotá, tal y como se evidencia en las siguientes imágenes: “Por la cual se impone una sanción administrativa” En atención a las anteriores consideraciones, esta Dirección concluyó: “Conforme a lo anterior, encontramos que, para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, ésta no se pronunció ni aportó la documentación solicitada por este Despacho, razón por la cual esta Dirección establece de manera presuntiva que LA INVESTIGADA no dio cumplimiento al deber de dar respuesta a los requerimientos formulados por la Superintendencia de Industria y Comercio, contemplada en la Ley 1266 de 2008, articulo 8 numeral 9.

(Subrayado y Negrita fuera del texto original) Dejando claro lo anterior, en cuanto a los argumentos de defensa la sociedad investigada mediante radicado bajo el número 22-206465- -00029-00016 del día 19 de junio de 2014 señaló que respecto del requerimiento realizado por esta Superintendencia el día 3 de noviembre de 2022, no se respondió dentro de los términos establecidos debido a que para esa fecha, la sociedad se encontraba en una restructuración y respecto al requerimiento del 14 de diciembre de 2022, informan que para dicha fecha no había ningún empleado en sus oficinas, toda vez que hubo atención hasta el 12 de diciembre de 2022.

En este contexto, vale la pena recordar que la Superintendencia de Industria y Comercio al ejercer funciones de vigilancia respecto de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, según el “Por la cual se impone una sanción administrativa” artículo 17 de la Ley 1266 de 200821, requiere información de las fuentes, usuarios y operadores, para poder ejercer su labor, y si bien es cierto que los requerimientos que no fueron atendidos, no pueden considerarse instrucciones, y por tal motivo este cargo debe ser archivado, se EXHORTA a LA INVESTIGADA a cumplir oportunamente los requerimientos que realice esta Superintendencia en futuras oportunidades, so pena de imponer las sanciones previstas en el artículo 51 de la Ley 1437 de 2011.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18.22 Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 223, 424 y 625 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo26.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”27 (Negrita fuera del texto original) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “ARTÍCULO

17. FUNCIÓN DE VIGILANCIA. La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley.

En los casos en que la fuente, usuario u operador de información sea una entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá la vigilancia e impondrá las sanciones correspondientes, de conformidad con las facultades que le son propias, según lo establecido en el Estatuto Orgánico del Sistema Financiero y las demás normas pertinentes y las establecidas en la presente ley.

Para el ejercicio de la función de vigilancia a que se refiere el presente artículo, la tendrán en adición a las propias las siguientes facultades…” Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida). Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) “Artículo 6.

Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014) Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2 “Por la cual se impone una sanción administrativa” “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso - tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional28.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994 el cual dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción”.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1266 de 2008, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 UVT vigente 2022 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional9 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND “Por la cual se impone una sanción administrativa” sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).

De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”29 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.30 La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas “Por la cual se impone una sanción administrativa” de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”31.Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia.32 La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 1833 de la misma ley. Asimismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1.

Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura del artículo 19 de la Ley 1266 de 2008, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley.

La norma, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por la legislación, entre otros, la protección del derecho fundamental a la protección de datos personales y habeas data. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Por la cual se impone una sanción administrativa” En el caso sub-examine, con base en el literal (a) del artículo 19 de la Ley 1266 de 2008, esta Dirección evidencia que tres (3) de los cuatro cargos formulados se encuentran comprobados en contra de la sociedad investigada y afectaron de forma real y concreta los derechos fundamentales de la denunciante.

Así las cosas, frente al primer cargo relacionado con el deber de garantizar que la información suministrada a los Operadores sea veraz y comprobable esta Dirección impondrá, dentro del margen que le otorga el artículo 18 de la Ley 1266 de 2008, una multa de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE ($53.601.280), por la violación la Ley 1266 de 2008 artículo 8 numeral 1, en concordancia con el artículo 4 literal a) de la misma Ley.

Frente al segundo cargo relacionado con el deber de solicitar y conservar copia o evidencia de la respectiva autorización otorgada por el Titular de la información y de abstenerse de suministrar a los Operadores de Información esta Dirección impondrá, dentro del margen que le otorga el artículo 18 de la Ley 1266 de 2008, una multa de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE ($53.601.280), por la violación a la Ley 1266 de 2008 artículo 8 numeral 5.

Frente al tercero cargo relacionado con el deber de remitir una comunicación previa al reporte negativo ante los Operadores de la información esta Dirección impondrá, dentro del margen que le otorga el artículo 18 de la Ley 1266 de 2008, una multa de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE ($53.601.280), por la violación del numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma Ley. 10.1.2 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO PRIMERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S., identificada con NIT. 901.181.211-1, con el correo electrónico de notificación notificacionesjudiciales@credyty.com.co quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-206465. “Por la cual se impone una sanción administrativa” La entidad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S, identificada con NIT. 901.181.211-1, CIENTO VEINTE (120) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a TRECE MIL NOVECIENTOS VEINTE (13920) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SESENTA MILLONES OCHOCIENTOS TRES MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($160.803.840), por la vulneración a los deberes contemplados en: • El numeral 1 del artículo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la norma precitada. • El numeral 5 del artículo 8 de la Ley 1266 de 2008. • El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la citada Ley.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta N.º 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico N.º 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a sociedad EDTECH SOLUCIONES DE COLOMBIA S.A.S. identificada con NIT. 901.181.211-1, a través de su representante legal y/o apoderado, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 3: COMUNICAR a la señora XXXX XXXXX XXXXXXX XXXXXXX, identificado con la cédula de ciudadanía N.º XXXXXXX, el contenido de la presente decisión.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co “Por la cual se impone una sanción administrativa” - Sede Principal: Calle 24 # 7-43 local 108 en la Ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 24 de octubre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.10.24 13:40:53 GARCIA MOLINA Fecha: -05'00' Proyectó: CP Revisó: AC Aprobó: CG CAROLINA GARCÍA MOLINA