(05 de septiembre de 2024) Radicado 21-405339 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO. Que, mediante escrito radicado con el número 21-405339-0 del 11 de octubre de 2021, la señora XXXXXXX XXXXX XXXXXX, identificada con la cédula de ciudadanía número XX.XXX.XXX, presentó una queja en contra de la EMPRESA ASOCIATIVA DE TRABAJO COIME, identificada con NIT. 900.035.185-1, en virtud de los siguientes hechos: 1.1. Manifestó que, “(…) LOS DIAS 31 DE AGOSTO Y 28 DE SEPTIEMBRE DE 2021,ME LLEGO UN CORREO DE TRANSUNION DONDE ME INFORMAN QUE MI ACTIVIDAD DE CREDITO FUE CONSULTADA POR NU COLOMBIA NIT 901.284.129-8 AL IGUAL QUE EMPRESA ASOCIATIVA DE TRABAJO COIME NIT 900.035.185-1, COMO A SU VEZ EN MI DATACREDITO SERVICIO QUE TAMBIEN PAGO MES A MES ME APARECEN DICHAS CONSULTAS,POR LO QUE AGRADEZCO Y SEAN RETIRADAS ESAS HUELLAS EN MI HISTORIAL CREDITICIO YA QUE LAS DESCONOZCO Y NO TENGO NINGUN VINCULO COMERCIAL CON ELLAS.” 1.2.
De igual forma aportó una captura de pantalla 1 del correo electrónico a través del cual el Operador de información CIFIN S.A.S. le comunicó sobre la consulta a su historial crediticio, así:
SEGUNDO. Que, dentro de la averiguación preliminar adelantada por el Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, se adelantaron las siguientes actuaciones y se recolectaron los elementos materiales probatorios que se enlistan a continuación: Radicado 21-405339-0, págs. 2 y 3 “Por la cual se impone una sanción” 2.1. 2.2.
Requerimiento de información dirigido a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME con número de radicado 21-405339-6 del 11 de noviembre de 2021 2. Requerimiento de información a tercero dirigido al Operador de Información CIFIN S.A.S. con número de radicado 21-405339-7 del 11 de noviembre de 2021 3. 2.3. Requerimiento de información a tercero dirigido al Operador de Información EXPERIAN DE COLOMBIA S.A. con número de radicado 21-405339-8 del 11 de noviembre de 20214. 2.4.
Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A con radicado número 21-405339-10 del 19 de noviembre de 20215 2.5. Respuesta al requerimiento de información por parte del operador de información CIFIN S.A.S con radicado número 21-405339-11 del 24 de noviembre de 2021 6. 2.6. Segundo requerimiento de información dirigido a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME con número de radicado 21-405339-13 del 24 de marzo de 20237. 2.7.
Tercer requerimiento de información dirigido a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME de fecha 24 de marzo de 2023 8 TERCERO. Que, mediante Resolución No. 57525 del 26 de septiembre de 2023 este Despacho, teniendo en cuenta los hechos denunciados y las pruebas recolectadas inició la presente actuación administrativa y formuló cargos en contra de la EMPRESA ASOCIATIVA DE TRABAJO COIME (en adelante LA INVESTIGADA), por la presunta vulneración de las normas de protección de datos personales, en especial las establecidas en: 3.1.
El numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma ley, y 3.2. El numeral 4 del artículo 9 de la Ley 1266 de 2008, en concordancia con el numeral 1 del artículo 17 ejúsdem. El citado acto administrativo le fue notificado a LA INVESTIGADA el día 6 de octubre de 2023 por medio de Aviso N°. 24546 de conformidad con la certificación radicada con el número 21405339-25 de fecha del 23 de octubre de 2023, suscrita por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia.
CUARTO. Que vencido el término para que LA INVESTIGADA presentara escrito de descargos, guardó silencio.
QUINTO. Que mediante Resolución No. 17314 del 11 de abril de 2024, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: 5.1. Denuncia presentada por la señora XXXXXXXX XXXX XXXXXX, de fecha 11 de octubre de 20219, con la cual se anexa el correo electrónico titulado “Tu Actividad de Crédito Notificación consulta de información crediticia cliente”10 5.2.
Requerimiento de información dirigido a LA INVESTIGADA de fecha 11 de noviembre de 202111 Radicado 21-405339-6, pág. 2 Radicado 21-405339-7, pág. 2 Radicado 21-405339-8, pág. 2 radicado 21-405339-10, pág. 3 radicado 21-405339-11, pág. 3 Radicado 21-405339-13, pág. 2 Radicado 21-405339-15, pag. 2 Radicado 21-405339-0 Radicado 21-405339-0, págs 2 y 3 Radicado 21-405339-6, págs 2 “Por la cual se impone una sanción” 5.3.
Oficio dirigido al Operador de Información CIFIN S.A.S del 11 de noviembre de 2021. 12 5.4. Oficio dirigido al Operador de Información EXPERIAN COLOMBIA S.A. del 11 de noviembre de 202113 5.5. Comunicación dirigida a la señora XXXXXX XXXXX XXXXXX de fecha 11 de noviembre del 202114 5.6. Respuesta del Operador de Información EXPERIAN COLOMBIA S.A. del 19 de noviembre de 202115 5.7.
Respuesta del Operador de Información CIFIN S.A.S. del 24 de noviembre de 2021 16 5.8. Segundo requerimiento de información dirigido a LA INVESTIGADA de fecha 18 de mayo de 202217, con su respectiva guía de envío No. RA373869277CO de fecha 31 de mayo de 2022 5.9. Tercer requerimiento de información dirigido a LA INVESTIGADA de fecha 24 de marzo de 202318 El citado acto administrativo le fue comunicado a la investigada el día 11 de abril del 2024 de conformidad con la certificación radicada con el número 21-405339-29 de fecha del 15 de abril de 2024, suscrita por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia.
SEXTO. Que, vencido el término otorgado por este Despacho, LA INVESTIGADA guardó silencio y no presentó escrito de alegatos de conclusión.
SÉPTIMO. Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
OCTAVO: Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 200819, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable [207] a partir de la aplicación de otras normas jurídicas;
(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.
(…)” Atendiendo los parámetros señalados por la citada jurisprudencia, el artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de información respecto del Radicado 21-405339-7, págs 2 Radicado 21-405339-8, págs 2 Radicado 21-405339-9, págs 2 Radicado 21-405339-10, págs 3 Radicado 21-405339-11, págs 3 Radicado 21-405339-13, págs 2 Radicado 21-405339-15, págs 2 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.
M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación “Por la cual se impone una sanción” manejo de los datos personales de los titulares, su incumplimiento dará lugar a la imposición de las sanciones definidas en el artículo 18 de la mencionada Ley. Así las cosas, de conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por LA INVESTIGADA, en su calidad de Usuario20 de la Información, se concreta en la posible vulneración de lo consagrado en: (i) El numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma ley, y (ii) El numeral 4 del artículo 9 de la Ley 1266 de 2008, en concordancia con el numeral 1 del artículo 17 ejúsdem.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, así como el conjunto de pruebas allegadas al expediente. 8.2. Valoración probatoria y conclusiones. 8.2.1.
Respecto del deber establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008. Establece el numeral 1 del artículo 9 de la Ley 1266 de 2008, lo siguiente: “ARTÍCULO 9o. DEBERES DE LOS USUARIOS. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1.
Guardar sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley”. Por su parte el artículo 15 de la citada Ley 1266 de 2008, dispone lo siguiente: “ARTÍCULO 15.
ACCESO A LA INFORMACIÓN POR PARTE DE LOS USUARIOS. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información”.
Este Despacho, conforme las pruebas allegadas a la presente actuación administrativa, se evidenció que LA INVESTIGADA realizó dos consultas a las historias de crédito de la señora xxxxxxxx xxxxx xxxxxx el día 22 de abril de 2021 ante el operador Experian Colombia S.A. y el día 28 de septiembre de 2021, ante Cifin S.A.S., sin contar con su autorización o haber estado amparadas en las finalidades legitimas.
Efectivamente, mediante Oficio No. 21-405339-10 de fecha 19 de noviembre de 2021, la Representante Legal Suplente de Experian Colombia informó lo siguiente: “Sobre el particular, nos permitimos informar que, la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME consultó el historial crediticio del titular en una (1) oportunidad, el día 22 de abril de 2021, bajo la huella de consulta E.A.T. COIME”. d) Usuario.
El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos.
En el caso en que el usuario a su vez entregue la información directamente a un operador, aquella tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos; “Por la cual se impone una sanción” Por su parte, la Representante Legal Suplente de TransUnion, mediante oficio No. 21-40533911 del 24 de noviembre de 2021, informó lo siguiente: “En el último año, hasta la fecha de nuestra respuesta, esto es 22 de noviembre de 2021 (…) le indicamos que la entidad EMPRESA ASOCIATIVA DE TRABAJO COIME identificada con Nit 900.035.185-1, consultó la historia de crédito de la titular en mención, únicamente el día 28 de septiembre de 2021”.
Sin embargo, a pesar de haber otorgado la oportunidad procesal a LA INVESTIGADA, ésta no ejerció su derecho a la defensa y no presentó el escrito descargos, como tampoco los alegatos de conclusión, de conformidad con lo establecido en los artículos 47 y 48 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Así las cosas, este Despacho al no contar con material que pruebe lo contrario, puede concluir que LA INVESTIGADA consultó la historia de crédito de la titular sin contar con su autorización, y sin tener una finalidad legal para ello, de conformidad con lo establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.
Frente a este aspecto, la Corte Constitucional mediante sentencia C - 1011 del 2008, manifestó lo siguiente: “Como se observa, el acceso a la información crediticia y comercial del sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral. Es decir, los usuarios del dato personal están interesados en conocer la información de un cliente potencial específico, a fin de celebrar contratos también definidos.
A su vez, ese cliente potencial también ha expresado su intención de acceder a determinado producto comercial o de crédito, lo que ha motivado que la entidad o empresa correspondiente realice una investigación sobre su historial de cumplimiento. Bajo esta perspectiva, para que exista necesidad del cálculo del riesgo crediticio debe concurrir un interés bilateral de las partes interesadas en el perfeccionamiento del contrato futuro”.
(Subrayado fuera del texto original). Este pronunciamiento, destaca que la consulta de la historia de crédito por parte de un usuario de información debe basarse en una actividad contractual de carácter bilateral. Quiere decir entonces que no basta con la voluntad de la empresa de realizar la venta de bienes y/o prestación de sus servicios, sino que es necesaria también la determinación del cliente de contratar los bienes y servicios ofertados.
Con base en esta voluntad mutua, es que LA INVESTIGADA puede hacer la investigación correspondiente y consultar la información de crédito. Partiendo de lo señalado por la Corte y de la propia alegación de la Titular, quien en su queja manifiesta que desconoce a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME y que NO tiene ninguna relación comercial con ésta, no existe justificación para que haya decidido realizar las consultas efectuadas a la historia de crédito de la Titular en las fechas 22 de abril de 2021 ante Experian Colombia; y 28 de septiembre de 2021 ante TransUnion.
Así las cosas, se evidencia el incumplimiento de la investigada del deber de utilizar la información únicamente para los fines para los que le fue entregada, razón por la cual se impondrá la sanción administrativa correspondiente. 8.2.2. Respecto del deber de cumplir con las instrucciones que imparta la autoridad de control Esta Dirección mediante Resolución No. 57525 del 26 de septiembre de 2026, este Despacho formuló a LA INVESTIGADA, el cargo relacionado con la presunta vulneración del deber establecido en el numeral 4 del artículo 9 de la Ley 1266 de 2008, teniendo en cuenta para ello las siguientes consideraciones: “Teniendo en cuenta que, a la fecha de expedición del presente acto administrativo, LA INVESTIGADA no atendió los requerimientos remitidos por este Despacho, mediante los oficios con radicados número 21-405339-6 del 11 de noviembre de 2021 y 21-405339-15 del 24 de marzo de 2023; conducta que se subsume típicamente en una presunta infracción al deber establecido en el numeral 4 del artículo 9 de la Ley 1266 de 2008, en concordancia con el numeral 1 del artículo 17 ejúsdem”.
“Por la cual se impone una sanción” Pues bien, el citado numeral cuarto del artículo 9 de la Ley 1266 de 2008 establece lo siguiente: “ARTÍCULO 9o. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: ( ) 4. Cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la presente ley.” (negrilla y subraya fuera de texto) En este estado de la actuación administrativa, y en lo que tiene que ver con el incumplimiento del citado deber por parte de LA INVESTIGADA en su calidad de usuario de la información, considera necesario realizar las siguientes consideraciones: En virtud del principio de tipicidad propio del derecho administrativo sancionador, la Corte Constitucional mediante sentencia C- 032 de 2017, señaló lo siguiente: “La regla vigente de la Corte Constitucional respecto del carácter flexible del principio de tipicidad, como componente del principio de legalidad en derecho administrativo sancionatorio, señala que se satisfacen los requerimientos normativos de dicho principio “cuando concurren tres elementos: (i) “Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas;
(ii) “Que exista una sanción cuyo contenido material esté definido en la ley”; (iii) “Que exista correlación entre la conducta y la sanción”. De todos modos, ha destacado la Corte Constitucional que “las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.
En igual sentido, la doctrina21 ha indicado que la motivación del acto sancionatorio debe comprender una descripción precisa y clara de cada uno de los supuestos de hecho a partir de los cuales la entidad adelanta el proceso de adecuación típica, que viene predeterminada desde la imputación formulada en el pliego de cargos. Tal congruencia facilita el adecuado ejercicio de los derechos de contradicción y de defensa en la actuación administrativa.
En este orden de ideas, el alcance, contenido y responsabilidades concretas del deber objeto de análisis debe ser concretado en cada caso puntual por la Administración como parte de ese proceso de razonamiento lógico – jurídico que caracteriza la adecuación típica de la conducta atribuida al investigado en la norma que la describe. Por ello, desde la formulación de cargos se debe determinar o encuadrar la conducta presuntamente infringida en las instrucciones incumplidas.
Nótese que el deber determinado en el numeral 4 del artículo 9 de la Ley 1266 del 2008 señala expresamente que los usuarios de información financiera y crediticia deben “cumplir con las instrucciones que imparta esta autoridad”. Sin embargo, al verificar el contenido de los requerimientos a los que se ha hecho referencia “no se impartieron instrucciones”, al contrario, se le solicitó indicar si había realizado consultas a la historia de crédito de la quejosa y si tenía su autorización para realizar dichas consultas, al tiempo que se le informó sobre el inicio de la presente actuación administrativa En este sentido, dado que, en la Resolución No. 57525 del 26 de septiembre de 2023 se determinó que la sociedad investigada no había dado respuesta a tres requerimientos de información, se arribó a la conclusión de que esta no había cumplido con las instrucciones del Despacho.
Al respecto, se debe señalar que en la mencionada Resolución no se determinó cómo la falta de respuesta a un requerimiento constituye no atender las instrucciones del Despacho, considerando además que, como parte de la garantía constitucional del debido proceso, la sociedad puede guardar silencio si así lo considera pertinente. Por ello, en la medida en que no se realizó una descripción precisa y clara de los supuestos de hecho a partir de los cuales se pueda adelantar el proceso de adecuación típica del deber objeto de análisis, en tanto no se determinó como la falta de respuesta a un requerimiento Laverde Álvarez Juan Manuel.
Manual de Procedimiento Administrativo Sancionatorio, Segunda Edición. Legis. 2018. “Por la cual se impone una sanción” constituye el presunto incumplimiento de las instrucciones que imparte esta autoridad, se archivará el cargo objeto de análisis.
NOVENO: CONCLUSIÓN 9.1. Frente al deber objeto de estudio relacionado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, la investigada no está legitimada para realizar las consultas en la historia de crédito de la Titular en la medida en que no tiene vinculo contractual con esta, razón por la que se impondrá la sanción correspondiente. 9.2.
En lo que tiene que ver con el deber relacionado en el numeral 4 del artículo 9 de la Ley 1266 de 2008, se archivará el cargo formulado en la Resolución No. 57525 del 26 de septiembre de 2023, teniendo en cuenta que, no se realizó una descripción precisa y clara de los supuestos de hecho a partir de los cuales se pueda adelantar el proceso de adecuación típica del deber objeto de análisis.
DÉCIMO: IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN 10.1. Facultad sancionatoria El artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.
“Por la cual se impone una sanción” La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional22.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. Ahora bien, la Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria, la cual se traduce en la manifestación del poder punitivo del Estado, derivado de los artículos 2 23, 424 y 625 de la Constitución, que, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo26.
La Corte Constitucional señaló sobre este asunto, lo siguiente: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”27 (negrita añadida) Así, de conformidad con lo establecido en el artículo 18 de la Ley 1266 de 2008, la Usuarios de información, previas explicaciones de acuerdo con el procedimiento aplicable, para este efecto, definió la multa como una de las sanciones que podrá ser impuesta:
ARTÍCULO 18. SANCIONES. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.
(negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).
Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción” <Inciso modificado por el artículo 14 de la Ley 2157 de 2021. El nuevo texto es el siguiente:> Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Respecto del citado artículo 18, la Corte Constitucional indicó lo siguiente: En lo que tiene que ver con las sanciones y los supuestos de hecho que las generan la Corte constata lo siguiente: La multa, que puede ser de carácter personal o institucional, hasta por el equivalente a 1.500 salarios mínimos legales vigentes, se impone por: (i) violación de la presente ley;
(ii) “normas que la reglamenten”,(iii) así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia”. La hipótesis (i) “violación de la presente ley”, debe ser complementada, acudiendo a un criterio sistemático, con el contenido de los artículos 7°; 8° y 9° del Proyecto examinado, las cuales establecen las obligaciones específicas que la ley impone a los diferentes agentes que participan en el proceso de administración de datos personales (los operadores, las fuentes y los usuarios), quienes son a su vez los destinatarios de la potestad disciplinaria que la ley radica en las Superintendencias - de Industria y Comercio y Financiera -.
Los preceptos que concurren a estructurar, de manera precisa y determinada, la norma de conducta del tipo administrativo, contienen prescripciones categóricas a cargo de los operadores del sistema, orientadas a salvaguardar los diversos ámbitos que integra el derecho fundamental del hábeas data (efectividad de las facultades de conocimiento, actualización y rectificación) de las prácticas indebidas por parte de quienes detentan el poder informático.
La violación a esas prescripciones explícitamente definidas en la ley, es lo que integra el supuesto de hecho de la sanción de multa contemplada en el párrafo segundo del artículo 18. De tal manera que en lo que concierne a la hipótesis “violación de la ley” de hábeas data, como supuesto de hecho para la imposición de la sanción de multa, la conducta que da lugar a la imputación de responsabilidad administrativa es perfectamente determinable a partir de la integración de la expresión mencionada del párrafo segundo del artículo 18, con el contenido deontológico de los artículos 7, 8 y 9 de la misma norma estatutaria.
De otra parte, el artículo 19 de la Ley 1266 de 2008 establece unos criterios de graduación, los cuales, con el fin de garantizar el debido proceso dentro de la actuación administrativa serán analizados para el caso concreto y así determinar cuáles debe tener en cuenta. Esos criterios, según la sentencia C – 1011 de 200828, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).
ARTÍCULO
19. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Efectivamente, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia Criterios de graduación de las sanciones (Art. 19). En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados;
(ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”; (v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”.
Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar. “Por la cual se impone una sanción” debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”29 En desarrollo del citado principio de proporcionalidad, para efectos de la dosificación de la sanción, se tiene en cuenta además de los citados criterios, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole sus disposiciones.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros30. La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.2.
Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.
De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.
Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-01003, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción” En el caso sub examine, con base en el literal a) del artículo 18 de la Ley 1266 de 2008, quedó probado, frente al cargo sobre el incumplimiento contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la misma norma, en la medida que LA INVESTIGADA consultó la historia de crédito de la titular sin contar con la autorización para ello o tener un vínculo comercial.
Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 18 de la Ley 1266 de 2008 una multa de DOS (2) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a DOSCIENTOS TREINTA Y DOS (232) Unidades de Valor Básico – UVB Vigentes para el año 2024, equivalentes a DOS MILLONES QUINIENTOS CUARENTA MIL SEISCIENTOS TREINTA Y DOS PESOS M/CTE ($2.540.632), por la vulneración a lo dispuesto en numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma ley.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 10.1.2. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho y (v) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
DÉCIMO PRIMERO. Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME, identificada con NIT. 900.035.185-1, con el correo electrónico de notificación judicial wilsoncuadros77@gmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-405339. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. IMPONER a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME, identificada con NIT. 900.035.185-1, una sanción de DOS (2) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a DOSCIENTOS TREINTA Y DOS (232) Unidades de Valor Básico – UVB Vigentes para el año 2024, equivalentes a DOS MILLONES QUINIENTOS CUARENTA MIL SEISCIENTOS TREINTA Y DOS PESOS M/CTE ($2.540.632), por la infracción del numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma ley.
“Por la cual se impone una sanción” Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2. ARCHIVAR el cargo formulado respecto de la vulneración del deber establecido en el numeral 4 del artículo 9 de la Ley 1266 de 2008, de conformidad con lo dispuesto en la parte motiva del presente acto administrativo.
ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad EMPRESA ASOCIATIVA DE TRABAJO COIME, identificada con NIT. 900.035.185-1 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 4. COMUNICAR la presente decisión a la señora XXXXXXXX XXXXX XXXXXX, identificada con cédula de ciudadanía número XX.XXX.XXX.
ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 05 de septiembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.09.05 14:53:26 -05'00' CAROLINA GARCÍA MOLINA Elaboró: SR Revisó: NT Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: EMPRESA ASOCIATIVA DE TRABAJO COIME Nit. 900.035.185-1 GILBERTO ANTONIO GARCIA MAZO C.C.: 8.269.015 wilsoncuadros77@gmail.com Carrera 50 # 51-37 Medellín, Antioquia COMUNICACIÓN: Señor(a): Identificación: Correo electrónico: Ciudad: XXXXXXXX XXXXX XXXXXX C.C. XX.XXX.XXX xxxxxxxxxxxxxx@xxxxx.xxx Bogotá D.C.