Resolución sancionatoria N° 25069 de 2024

(23 de abril de 2024) Radicación 22-166684 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad ADCORE S.A.S. identificada con el Nit. 900.966.455-8, por lo cual mediante Resolución N°. 25035 del 29 de abril de 2021 ordenó lo siguiente: Investigaciones Administrativas de esta dirección, con el fin que la misma determine si existe SEGUNDO: Que en la mencionada Resolución N°. 25035 del 29 de abril de 2021, esta Dirección consideró lo siguiente: 10.2 Respecto a los deberes de veracidad y autorización de las fuentes de información (numeral 1 y 5, articulo 8 Ley 1266 de 2008) Es preciso señalar que la Ley 1266 de 2008 desarrolló el artículo 15 de la Constitución Política, el cual consagró el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar la información que se hayan recogido sobre ellas en bancos de datos, en especial la su parte, frente al deber de veracidad del dato, es importante señalar que este implica que la información que suministre la fuente a los operadores de los bancos de datos sea veraz, completa, exacta, actualizada y comprobable, toda vez que la información está destinada entre otros fines, a ofrecer a terceros datos útiles para el cálculo del riesgo crediticio, tal y como lo señala la Corte Constitucional en las sentencias C-1011 de 2008 la cual analizó la constitucionalidad de la Ley 1266 de 2008- y T-1085 de 2001.

Tal deber se encuentra vinculado a la obligación que tienen las fuentes de informar de forma periódica y oportuna a los operadores todas las novedades, sobre los datos que previamente se encuentren reportados ante la base que administran y propender porque la misma se mantenga actualizada. Al respecto, el literal b) del artículo 3 de la Ley 1266 de 2008 definió a la fuente de información titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de artículo 4 de la Ley 1266 de 2008, que preceptúa que los datos deben ser veraces y completos, entre otras características.

De igual manera, en el numeral 5 del artículo 8 de la Ley 1266 de 2008 se establecen los deberes que les asisten a las fuentes de información respecto de la solicitud y conservación de copia o evidencia de la respectiva autorización otorgada por los titulares para ser reportados y consultados en las bases de datos de los operadores de la información financiera, crediticia, comercial y de servicios, destinadas al análisis del riesgo Con base en las disposiciones citadas es claro que las obligaciones incorporadas en el artículo 8 de la Ley 1266 de 2008 desarrollan el precepto constitucional y núcleo esencial del derecho de Hábeas Data, los cuales se encuentran concretados en el principio de libertad, pues tal como fue objeto de análisis por parte de la honorable Corte Constitucional en la sentencia C1011 de 2008. de la información, implica que los datos asociados al reclamante no pueden ser reportados ante un operador de información, por ser la autorización el núcleo esencial del derecho fundamental de habeas data, pues a través de ella el Titular del derecho manifiesta su voluntad frente al tercero para el manejo de su información, de ello se desprende la obligación para las fuentes de contar con la misma, y que la información que reportan del comportamiento comercial del Titular sea veraz, actualizada y comprobable.

En el caso bajo examen, el Titular de la información indica en su escrito de reclamación, que la sociedad investigada carece de los documentos soportes de la obligación, pues argumenta que, si bien le fue entregada una copia del pagaré, el mismo se encuentra en blanco y no cuenta con el endoso correspondiente a nombre de la sociedad Adcore S.A.S.2 Dicho lo anterior esta Dirección observa que la sociedad Adcore S.A.S. omitió dar respuesta a la solicitud de explicaciones enviada por esta Superintendencia. En ese orden de ideas, este Despacho procedió a revisar el material probatorio obrante en el expediente evidenciando que, si bien el Titular asegura haber recibido una copia del pagaré por parte de la sociedad Adcore S.A.S., lo cierto es que dicho documento no fue allegado al plenario, en ese orden de ideas, esta Dirección considera que, en virtud del literal a) del artículo 1.3.1 del Título V de la Circular Única de la Superintendencia de Industria y Comercio, es un deber de las fuentes de información el contar con un vínculo comercial o de cualquier otra índole que lo ate a los titulares y, además, contar con las pruebas necesarias para demostrar tal vínculo, en consecuencia, no configura un deber del Titular el aportar dicho título valor al plenario.

En razón a lo anterior, este Despacho concluye que la sociedad Adcore S.A.S., al guardar silencio a la solicitud de explicaciones remitida por esta Superintendencia, no logra demostrar la existencia de la obligación a cargo del reclamante y, en consecuencia, no se acredita la calidad de fuente de información de dicha sociedad respecto a las obligaciones objeto de estudio, por ende, posiblemente incumplió con el deber establecido en el numeral 1 del artículo 8 de la Ley 1266 de 2008.

Ahora bien, en lo atinente a la autorización previa y expresa para consulta y reporte ante los operadores de información, esta Dirección resalta que, no yace en el expediente documento o manifestación alguna, proveniente del Titular, mediante la cual se pueda determinar que el señor con el deber establecido en el numeral 5 del artículo 8 de la Ley 1266 de 2008 10.3 Respecto al deber de comunicar previamente a efectuar el reporte ante los Operadores de la información (Artículo 12 de la Ley 1266 de 2008) El inciso 2 del artículo 12 de la Ley 1266 de 2008, establece el deber especial para las fuentes de información de enviar, con anterioridad a la remisión de la información negativa a las bases de datos de los operadores, una comunicación al Titular en la que le informe sobre el reporte a efectuar, con el fin de que el Titular pueda demostrar, efectuar el pago de la obligación o controvertir aspectos como el monto, la cuota o la fecha de exigibilidad.

La fuente sólo podrá remitir la información negativa a los operadores transcurridos veinte (20) días calendarios siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado registrada en sus archivos. Al respecto, la Corte Constitucional en la sentencia C-1011 de 2008 señaló que el procedimiento establecido por el artículo 12 de la Ley 1266 de 2008 se configura como una herramienta adecuada para que el Titular pueda ejercer sus derechos de actualización y rectificación de los la Circular Única de la Superintendencia de Industria y Comercio en el Título V, Capítulo Primero, numeral 1.3.6 desarrolla de manera específica el deber de comunicar al Titular de la información previamente al soporte. su nombre por parte de la sociedad Adcore S.A.S., pues considera que dicha sociedad no procedió a enviar la comunicación previa a efectuar el reporte negativo ante los operadores de información. Por su parte, la sociedad Adcore S.A.S. guardó silencio a la solicitud de explicaciones remitida por esta Dirección, en consecuencia, no aportó el acervo probatorio necesario para demostrar que, en efecto, procedió a enviar la comunicación previa a efectuar el reporte negativo ante los operadores de información. Aunado a lo anterior, los operadores de información Experian Colombia S.A. y Cifin S.A.S., manifestaron: "Citibank" fue el acreedor originario, quien realizó el primer reporte de información negativa el 24 de julio de 2010, acto seguido, señaló que la sociedad Adcore S.A.S. continuó con el reporte de información a partir del día 23 de diciembre de 2019 fruto de "Citibank" fue el acreedor originario, quien realizó el primer reporte de información negativa el 21 de agosto de 2010, acto seguido, indicó que la sociedad Adcore S.A.S. continuó con el reporte de información a partir del día 23 de diciembre de 2019 fruto de una migración de información. El operador Experian Colombia S.A., informó que la sociedad investigada realizó los primer reporte de información negativo se realizó, por parte de la sociedad "BANCO COLPATRIA MULTIBANCA COLPATRIA S.A." en septiembre de 2010 con corte a agosto de 2010, posteriormente, en diciembre de 2019 con corte a septiembre de 2019 la sociedad Adcore S.A.S. continuó los reportes fruto de una migración de información. realizó, por parte de la sociedad "BANCO COLPATRIA MULTIBANCA COLPATRIA S.A." en octubre de 2010 con corte a septiembre de 2010, posteriormente, fue reportada la obligación "AL DIA" en diciembre de 2010 con corte a noviembre de 2010, acto seguido, en febrero de 2011 con corte a enero de 2011 fue reportada la mora en la obligación, finalmente, señala que la sociedad Adcore S.A.S. continuó los reportes fruto de una migración de información en diciembre de 2019 con corte a septiembre de 2019.

En ese orden de ideas, en principio, este Despacho considera que la sociedad Adcore S.A.S., posiblemente incumplió con el deber establecido en el artículo 12 de la Ley 1266 de 2008. Visto el material probatorio citado, este Despacho considera que, si bien al interior del plenario yace un escrito de comunicación el cual advierte al Titular que de mantenerse la mora en su obligación, este será reportado negativamente, lo cierto es que la sociedad Adcore S.A.S. no permitió el trascurso de los 20 días siguientes al envío de dicho documento, pues según lo informado por los operadores de información, la mora comunicación. Teniendo en cuenta lo anterior, se procedió a consultar la historia de crédito de la Titular con corte 03 de marzo de 2021, en las bases de datos de los operadores de información Experian Colombia S.A. y Cifin S.A.S. evidenciando que a la fecha la sociedad Adcore S.A.S., reporta información negativa a nombre del señor Así las cosas y teniendo en cuenta la parte motiva de la presente resolución, este Despacho encuentra procedente impartir una orden encaminada a proteger el derecho fundamental de Habeas Data del Titular ordenando a la sociedad Adcore S.A.S., realizar las diligencias correspondientes ante los operadores de información Cifin S.A.S. y Experian Colombia S.A., para que sea eliminada la información negativa y/o positiva TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas allegadas al expediente dentro de las averiguaciones preliminares realizadas, a partir de las cuales se advierte la presunta violación de las normas sobre protección de datos personales, se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 25069 del 29 de abril de 2022, por medio de la cual se formularon cargos a la sociedad ADCORE S.A.S. identificada con Nit. 900.966.455-8, por la presunta vulneración de las siguientes normas: i. El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita. ii.

El numeral 5 del artículo 8 de la Ley 1266 de 2008. iii. El numeral 7 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 16 de la misma Ley. iv. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. v. El numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el numeral 4 del artículo 16 de la misma Ley.

La mencionada resolución le fue notificada a la investigada de forma electrónica el 04 de mayo de 2022 y comunicada al titular denunciante el 02 de mayo de 2022, de conformidad con la certificación con radicado 22-166684- -8 del 16 de mayo de 2022, expedida por la Secretaría General de esta Superintendencia.

CUARTO: Que la sociedad investigada presentó escrito de descargos de manera oportuna mediante correo electrónico del 19 de mayo de 2022 con radicación 22-166684- -00009 del 23 de mayo de 2022. Allí expuso los siguientes argumentos de defensa: 4.1 Frente al primer cargo: Señala la investigada que, por efectos de la cesión, ADCORE S.A.S. se subrogó en todos los derechos y obligaciones que tenía el acreedor inicial y por ello, la Compañía continúo con el reporte.

En ese sentido, la investigada, lo que hizo fue darle continuidad a los reportes que previamente había hecho Citibank y que a su vez continúo Scotiabank en virtud de la venta de cartera castigada. 4.2 Frente al segundo cargo: indica que ADCORE S.A.S. cuenta con los soportes necesarios donde se demuestra que el deudor efectivamente al momento de adquirir las tarjetas de crédito suscribió los documentos soporte tendientes a constituir garantía de las obligaciones y a autorizar el reporte en centrales de riesgo en caso de incumplimiento de estas. 4.3 Frente al tercer cargo: la Sociedad ACORE S.A.S. manifiesta, que le respondió oportunamente y en debida forma al reclamante, tal como puede verificarse en la repuesta al derecho de petición de fecha 10 de julio de 2020, la cual se adjunta al presente escrito, en la que se le exponen las razones por las cuales la investigada es la nueva acreedora y se mantiene el reporte negativo en las centrales de riesgo, de igual forma, se le manifiesta al deudor que ADCORE S.A.S. continua con el reporte efectuado por Citibank en su momento. 4.4 Frente al cuarto cargo: Que previo al reporte de información negativa la investigada sí realizó comunicación previa al titular, cuando le informó que ADCORE continuaría el reporte hecho previamente por las entidades bancarias. 4.5 Frente al quinto cargo: afirma, que como se procedió a eliminar los reportes negativos del titular, el presente cargo carece de objeto.

Por lo anterior, solicita que se archive la presente actuación administrativa sancionatoria.

QUINTO: Que mediante Resolución N°. 70600 del 10 de octubre de 2022, se incorporaron las pruebas allegadas a la presente actuación administrativa y se corrió traslado a la investigada por 10 días para presentar alegatos de conclusión. Las pruebas incorporadas fueron las siguientes: 5.1. Requerimiento de información con radicado N°. 20-337864- -3 del 19 de enero de 2021 realizado por esta Dirección a la sociedad CIFIN S.A.S.1 5.2.

Requerimiento de información con radicado N°. 20-337864- -4 del 19 de enero de 2021 realizado por esta Dirección a EXPERIAN COLOMBIA S.A.2 5.3. Requerimiento de información con radicado N°. 20-337864- -5 del 19 de enero de 2021 realizado por esta Dirección a ADCORE S.A.S.3 1 Expediente virtual. Informe 0. Página 2. Folio 1 y 2. 2 Expediente virtual.

Informe 0. Página 2. Folio 3 y 4. 3 Expediente virtual. Informe 0. Página 2. Folio 5 y 6. 5.4. Oficio con radicado No. 20-337864- -6 del 27 de enero de 2021 mediante el cual la sociedad CIFIN S.A.S. da respuesta al requerimiento 20-337864- -3.4 5.5. Oficio con radicado No. 20-337864- -7 del 2 de febrero de 2021 mediante el cual la sociedad EXPERIAN COLOMBIA S.A. da respuesta al requerimiento 20-337864- -45. 5.6.

Escrito de descargos presentado por el representante legal de la sociedad investigada con radicado Nº 22-166684- -09 del 23 de mayo de 2022, mediante el cual se anexan las siguientes pruebas:6 5.6.1. Copia de un fallo de tutela con fecha del 04 de agosto de 2020.7 5.6.2. Copia envió de la respuesta al derecho de petición del 10 de junio de 2020.8 5.6.3.

Copia del retiro de la información del titular ante los operadores de información.9 5.6.4. Copia del pagaré suscrito por el titular denunciante.10 5.6.5. Copia de la solicitud de crédito suscrita por el titular denunciante.11 5.6.6. Copia del endoso del pagaré a favor de la investigada ADCORE S.A.S.12 5.6.7. Copia del documento de notificación previa remitido por Banco Citibank.13 5.6.8.

Copia de la notificación de cesión de cartera a ADCORE S.A.S.14 5.6.9. Copia de la guía de entrega de notificación de cesión. 15 5.6.10. Certificado de Existencia y Representación Legal de la sociedad investigada.16 5.6.11. Estados financieros últimos 3 años de la investigada ADCORE SAS.17 La citada Resolución le fue comunicada a la investigada el 11 de octubre de 2022, de acuerdo con la certificación de la Secretaría General de esta Superintendencia con radicación 22-166684- -14 del 20 de octubre de 2022.

SEXTO: Que mediante correo electrónico del 25 de octubre de 2022 con radicación 22-166684- 00015 del 26 de octubre de esa anualidad, la sociedad investigada presentó alegatos de conclusión, en los cuales reiteró los mismos argumentos expuestos en el escrito de descargos.

SÉPTIMO: Que esta Dirección mediante oficio con radicación 22-166684- -16 del 04 de noviembre de 2022 le informó a la sociedad investigada el procedimiento para consultar el expediente virtual de la presente actuación.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley. 4 Expediente virtual. Informe 0. Página 2. Folio 7 a 9. 5 Expediente virtual.

Informe 0. Página 2. Folio 10 a 27. 6 Expediente virtual. Descargos 9. Página 18. 7 Expediente virtual. Descargos 9. Página 1. 8 Expediente virtual. Descargos 9. Página 3. 9 Expediente virtual. Descargos 9. Página 5. 10 Expediente virtual. Descargos 9. Página 6. 11 Expediente virtual. Descargos 9. Página 7. 12 Expediente virtual. Descargos 9.

Página 8. 13 Expediente virtual. Descargos 9. Página 9. 14 Expediente virtual. Descargos 9. Página 10. 15 Expediente virtual. Descargos 9. Página 11. 16 Expediente virtual. Descargos 9. Página 13 17 Expediente virtual. Descargos 9. Página 14, 15,16.

NOVENO: Análisis del caso La Corte Constitucional mediante sentencia C-1011 de 200818, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: [206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 8 de la Ley 1266 de 2008 establece los deberes que le asisten a las fuentes de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hechos alegados por la reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contempladas en: - El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita. - El numeral 5 del artículo 8 de la Ley 1266 de 2008. - El numeral 7 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 16 de la misma Ley. - El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. - El numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el numeral 4 del artículo 16 de la misma Ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hecho y de derecho y el material probatorio obrante en el expediente. 9.1. Valoración probatoria 9.1.1.

Respecto del deber de garantizar que la información suministrada a los Operadores de información sea veraz, completa, exacta, actualizada y comprobable El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita establece los siguientes deberes a cargo de las Fuentes de la información: 18 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. Ley 1266 de 2008 cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable artículo 4. principios de la administración de datos. en el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen: a) principio de veracidad o calidad de los registros o datos. la información contenida en los bancos de datos deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible. se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan De igual manera, la H. Corte Constitucional en sentencia T- 847 del 28 de octubre de 2010 ha señalado el alcance de este principio en los siguientes términos: El principio de veracidad y calidad de los registros o datos, obliga a que la información contenida en los bancos de datos sea completa, exacta, actualizada, comprobable y comprensible, lo que de suyo prohíbe el registro y la divulgación de datos parciales, incompletos, fraccionados o que induzcan a error [19]. garantizar que los datos personales obedezcan a situaciones reales, es decir, deben ser ciertos, principio de integridad propende porque la información registrada o divulgada a partir del suministro de datos personales, sea completa. -168 de 2010, que el titular de la información tiene la posibilidad de reclamar la protección al hábeas data cuando está en presencia de alguna de las siguientes facultades: (i) el derecho a conocer las informaciones que a él se refieren, es decir, tiene la posibilidad de exigir que se le informe en qué base de datos aparece reportado, así como el poder de verificar el contenido de la información recopilada;

(ii) el derecho a actualizar tales informaciones, esto es, ponerlas al día agregándoles hechos nuevos, principalmente cuando refieran al cumplimiento, así sea tardío, de las obligaciones; y, (iii) el derecho a rectificar las informaciones que no correspondan a la verdad. Frente a este último punto, la jurisprudencia constitucional ha dicho que el titular de la información se aclare la información que por su redacción ambigua, pueda dar lugar a interpretaciones equívocas y (iii) que los datos puestos a disposición de la base de datos hayan sido obtenidos legalmente y su publicación se haga mediante canales que no lesionen otros derechos Ahora bien, en la Resolución 25069 de 2022 expedida por esta Dirección, en la cual se formularon cargos en contra de la investigada, se indicó lo siguiente: sociedad ADCORE S.A.S. rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, esta no se pronunció al respecto; es decir, guardó silencio, razón por la cual se tendrán por ciertos los hechos narrados por el Titular y que sean susceptibles de confesión. Así, el criterio de veracidad de la información no se ve cumplido de manera satisfactoria por la Fuente de información, razón por la cual el titular no debe sufrir los efectos negativos que conlleva el reporte negativo ante los operadores.

Por lo anterior, se presume que la sociedad ADCORE S.A.S. identificada con NIT: 900.966.455-8 vulneró lo contemplado en el numeral 1 del Al respecto, la sociedad investigada señaló en su escrito de descargos que, por efectos de la cesión, ADCORE S.A.S. se subrogó en todos los derechos y obligaciones que tenía el acreedor inicial y por ello, la Compañía continúo con el reporte.

En ese sentido, la investigada, le dio continuidad a los reportes que previamente había hecho Citibank y que a su vez continúo Scotiabank en virtud de la venta de cartera castigada. Precisado lo anterior, encuentra este Despacho que la sociedad investigada vulneró las normas que fundamentan el presente cargo, al menos, por las siguientes razones: - En la formulación de cargos se indica que, ante el silencio de la sociedad investigada al dar explicaciones dentro del expediente 20-337864-3 en el cual el titular señaló vulneración a su derecho fundamental de habeas data, se presume su responsabilidad.

En este sentido, vale la pena recordar en primer lugar qué fue lo que no respondió la sociedad investigada. - Mediante requerimiento de información con radicación 20-337864- -00005 del 19 de enero de 202119, se le preguntó a la investigada respecto de este cargo lo siguiente: numeral 5 del mismo artículo 1, adjuntamos copia de la solicitud de corrección, actualización y/o eliminación (por caducidad del dato negativo) de la información crediticia reportada, presentada por el/la señor(a) XXXXXX XXXXXXXX XXXXXXXXX XXXXXXXX que ya había sido previamente presentada ante ustedes, de acuerdo con lo dispuesto en la norma antes citada, con el fin de que se pronuncie sobre los hechos materia de la denuncia y aporte las pruebas que pretenda hacer valer para el trámite de la presente actuación administrativa.

Adicionalmente se informa que se requirió a los operadores y sus respuestas se anexaran al expediente que quedará a su disposición en las instalaciones de esta Superintendencia para el ejercicio de su derecho de defensa y contradicción. A dicha respuesta deberá adjuntar la siguiente información: 1. Acreditar la fecha exacta de exigibilidad de la obligación reportada.

Requerimiento que fue omitido por la investigada, y teniendo en cuenta su silencio, desde la resolución N° 25035 de 2021 se ordenó la eliminación de los datos del titular de las centrales de riesgo y se trasladó la actuación para que se evaluara el incumplimiento a los deberes contemplados en la Ley 1266 de 2008. - Por su parte, los operadores de información en atención los requerimientos realizados por esta Superintendencia señalaron que la sociedad ADCORE S.A.S., hizo migración en los meses de septiembre y diciembre de 2019 de los reportes negativos realizados por el acreedor originario de las obligaciones XXXXXX y XXXXXX. - En virtud del inicio de la presente investigación, la sociedad ADCORE S.A.S. se manifestó respecto de los hechos que dieron origen a la formulación de cargos, y manifestó que El Banco SCOTIABANK COLPATRIA endosó a ADCORE S.A.S. el 03 de enero de 2020 el pagaré N°. xxxxxxxx a nombre del titular con ocasión del contrato de compraventa celebrado entre las partes, a saber: 19 Expediente virtual.

Consecutivo 0. Página 2. Folio 5. - El pagaré al que hace mención el endoso es el siguiente: - Así mismo, la investigada allegó el formulario denominado mediante el cual el titular realizó la solicitud para adquirir una obligación con el Banco CITIBANK -COLOMBIA S.A., y pese a que solo allegó los soportes de una acreencia, ni en el pagaré ni en la solicitud de crédito se identifica alguna de las dos obligaciones reportadas por la sociedad investigada, pues tal y como se observa el número de identificación es xxxxxxxx y las obligaciones reportadas son XXXXXX y XXXXXX: En consecuencia, valoradas las pruebas documentales aportadas por parte de la sociedad ADCORE S.A.S., esta Dirección, si bien encuentra acreditada la existencia de una obligación obrante en el pagaré N° xxxxxxxx suscrito por el señor XXXXXX XXXXXXXX XXXXXXXXX dentro del expediente no obra prueba alguna que soporte la existencia de las obligaciones reportadas ante los operadores Experian Colombia S.A. y Cifin S.A.S. Así pues, esta Dirección considera que la sociedad ADCORE S.A.S no cuenta con los soportes documentales suscritos por parte del señor XXXXXX XXXXXXXX XXXXXXXXX que permitan inferir a su cargo, las obligaciones N°.

XXXXXX y XXXXXX sobre las cuales se pretende reconocer como acreedor. Por tanto, el reporte negativo que efectuó, en relación con las obligaciones referidas, ante los Operadores de Información, carecen de veracidad, completitud, exactitud, actualización y comprobación. Así las cosas, se encuentra plenamente demostrado en el plenario que la sociedad ADCORE S.A.S., carece de los soportes documentales que dan cuenta de su relación comercial con el Titular y que acrediten la calidad de acreedor.

Además, pese a no contar con los soportes correspondientes mantuvo los reportes de información como fuente ante los operadores por cerca de tres años, ya que solo en virtud de la orden emitida por esta Superintendencia, se eliminó la información referente a las obligaciones XXXXXX y XXXXXX de las centrales de riesgo. En consecuencia, este Despacho encuentra que la sociedad investigada incumplió el deber contemplado en el numeral 1 del artículo 8 de la Ley 1266 de 2008, por tal motivo se impondrá la sanción correspondiente. 9.1.2.

Respecto del deber de conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información El artículo 15 de la Constitución Política establece lo siguiente: Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución En relación con la importancia constitucional de la autorización previa, la Corte en Sentencia C 1011 de 16 de octubre de 2008, Magistrado Ponente Doctor Jaime Córdoba Triviño, que efectúa el control de constitucionalidad de la Ley 1266 de 2008, sostuvo: La segunda condición que se infiere del análisis sistemático de los preceptos analizados, está relacionada con la vigencia del principio de libertad en la administración de datos personales que, como se ha insistido en esta decisión, se concreta en la autorización que realiza el titular ante la fuente para la incorporación de sus datos personales en archivos y bancos de datos administrados por los operadores de información. A este respecto, debe recabarse en que la autorización previa, libre, específica y suficiente es un atributo que debe concurrir siempre (en ausencia de mandato judicial), en función de la efectividad de la garantía de autodeterminación de la persona.

Además, debe reiterarse que el otorgamiento de consentimiento por parte del titular no exime al sistema de administración del dato financiero de asegurar el cumplimiento de los demás principios, como el de finalidad legítima, compatible con aquella para la cual los datos han sido recogidos Así mismo, de forma previa, la Corporación en Sentencia T-060 de 30 de enero de 2003, Magistrado Ponente, Doctor Eduardo Montealegre Lynnet, señaló: El derecho de habeas data, definido por el artículo 15 de la Carta, consiste en la facultad que tiene cada persona para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

La ubicación de la precitada norma en el Capítulo Primero del Libro Segundo de la Carta, correspondiente a los referencia. Respecto de su protección, recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías (Subraya fuera de texto original). De esta manera, la Corte ha establecido que el núcleo esencial del derecho de habeas data está integrado por el derecho a la autodeterminación informática y por la libertad económica en particular, pues, como lo ha establecido, éste podría verse vulnerado al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no haya sido autorizados por parte del Titular o por la Ley.

Así, la autodeterminación es la posibilidad que tiene el Titular para permitir que sus datos se almacenen, circulen y sean usados conforme la regulación legal y su autorización. De igual modo, hace parte del derecho al habeas data la previa autorización expresa y voluntaria que debe dar el Titular de la información, para que la Fuente pueda disponer de esta, asistiéndole el derecho no solamente a autorizar su circulación sino a rectificarla, actualizarla o revocarla.

Como se advierte, el precepto constitucional establecido en el artículo 15 de la Constitución Política determina que las personas, en desarrollo de su derecho a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos se recaude pueda ser incluida en un banco de datos.

En consecuencia, la ausencia de dicha autorización implica necesariamente que los datos personales asociados al Titular, no podrán ser reportados a un Operador de información. Así pues, a cargo de la Fuente, se encuentra la de solicitar y conservar copia o evidencia de la respectiva autorización otorgada por el Titular de la información, y asegurarse de no suministrar a los Operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo establecido en el numeral 5 del artículo 8 de la Ley 1266 de 2008.

Retomando el caso particular esta Dirección formuló cargos a ADCORE S.A.S. ya que preliminarmente evidenció que dicha sociedad no solicitó la autorización del Titular para realizar el reporte negativo ante los Operadores de información. Al respecto, la sociedad investigada, manifestó a esta Dirección que cuenta con los soportes necesarios donde se demuestra que el deudor efectivamente al momento de adquirir las tarjetas de crédito suscribió los documentos soporte tendientes a constituir garantía de las obligaciones y a autorizar el reporte en centrales de riesgo en caso de incumplimiento de estas.

Con los documentos aportados con los descargos, se observa que la investigada remitió copia del formato de solicitud de tarjeta de crédito xx-xxxxxxxx-xx diligenciado por el titular, en el cual se señala en el punto 11 lo siguiente: -COLOMBIA S.A. para obtener y reportar a fuentes autorizadas información y referencias relativas a mi (nuestro) comportamiento comercial y crediticio, hábitos obligaciones en general y para consultar en cualquier momento en la Asociación Bancaria Colombia y/o Datacrédito mi (nuestro) endeudamiento con el sistema financiero o cualquier otra entidad debidamente autorizada para el caso, y para que en caso de incumplimiento incorpore en los archivo de deudores morosos o con referencias negativas, llevadas por dichas entidades Al respecto, esta Dirección debe manifestar que, si bien la investigada aportó una autorización, tal y como se explicó en el acápite anterior, no existe una trazabilidad comprobable en el expediente que permita verificar si las obligaciones XXXXXX y XXXXXX fueron efectivamente cedidas a la sociedad investigada, puesto que solo existen documentos que soportan la existencia de una obligación, de la cual no se puede tener certeza de que sea alguna de las reportadas ante los operadores.

Así las cosas, este Despacho encuentra que solo obra un documento que contiene una autorización al acreedor originario respecto de la obligación contenida en solicitud de tarjeta de crédito N° xxxxxxxxxx-xx y en el pagaré N° xxxxxxxx, del cual se realizó su respectivo endoso, sin embargo, no existe prueba suficiente que determine que dicha obligación hace referencia a alguna de las reportadas ante las centrales de riesgo.

En consecuencia, no es posible verificar en esta instancia que la sociedad investigada cuente con autorización del titular para reportar el comportamiento de las obligaciones XXXXXX y XXXXXX ante los Operadores de información. Por lo anterior, se impondrán las sanciones correspondientes. 9.1.3. Respecto del deber de Resolver los reclamos y peticiones del titular en la forma en que se regula en la Ley El numeral 7 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 16 de la misma norma, establece los siguientes deberes a cargo de las Fuentes de la información: Ley 1266 de 2008 cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 7.

Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley. Artículo 16°. Peticiones, consultas y reclamos. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté En desarrollo de lo anterior, el artículo 16 numeral II, regula el procedimiento que debe seguirse respecto de las peticiones y reclamos: consideren que la información contenida en su registro individual en un Banco de Datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas: 1.

La petición o reclamo se formulará mediante escrito dirigido al operador del Banco de Datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.

Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la reclamación o petición. 2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios. 3.

El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. 4.

En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior.

Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente. 5.

Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa En sentencia C-1011 de 2008, la Corte Constitucional al referirse al deber de las fuentes de peticiones del titular.

Se crea una especie particular del derecho de petición orientada a garantizar los derechos que como titular de los datos, tiene toda persona. Es natural que el reconocimiento de determinados derechos y garantías vaya acompañada del correspondiente deber a cargo de las fuentes de respetarlo y hacerlo efectivo. La resolución de reclamos y peticiones debe entenderse bajo los parámetros que la Constitución y la ley han previsto para que se entienda como satisfecho el derecho, es decir, que la respuesta sea oportuna y que con ella se resuelva de fondo lo planteado por el interesado.

Comprendido de esta forma, el numeral Ahora bien, en la Resolución 25069 de 2022 por la cual se formularon cargos en contra de la investigada, se señaló que presuntamente se pudieron haber vulnerado las normas que fundamentan el presente cargo por las siguientes razones: requerimientos de información enviados por medio del radicado número 20-337864-5 del 19 de Sobre este cargo, la sociedad investigada manifestó en su escrito de descargos que la Sociedad ACORE S.A.S., le respondió oportunamente y en debida forma al reclamante, tal como puede verificarse en la repuesta al derecho de petición de fecha 10 de julio de 2020, la cual se adjunta al presente escrito, en la que se le exponen las razones por las cuales la investigada es la nueva acreedora y se mantiene el reporte negativo en las centrales de riesgo, de igual forma, se le manifiesta al deudor que ADCORE continua con el reporte efectuado por Citibank en su momento.

Al respecto, este Despacho debe precisar cuál era el objeto de la petición y si efectivamente se atendió oportunamente para poder determinar si existe o no responsabilidad administrativa en el presente asunto: - Dentro del expediente con radicación 20-337864 se observa que el titular radicó derecho de petición ante la investigada mediante correo electrónico del 25 de junio de 2020, en el cual solicitó lo siguiente: Ahora bien, en la presente actuación la sociedad investigada remitió copia de la respuesta al derecho de petición, fechada el 10 de julio de 2020 en la cual se responde lo siguiente al peticionario: Por lo anterior, esta Dirección logra concluir que, si bien no se le dio respuesta positiva a las peticiones del titular, sí se cumplieron con los requisitos o postulados previstos por la ley para considerar que el derecho fundamental de petición del titular sí fue garantizado, toda vez que se allegaron los documentos que la investigada tenía en su poder y dio respuesta a la petición mediante la respuesta fechada el 10 de julio de 2020.

En efecto, vale la pena precisar en este punto que la resolución de fondo del derecho de petición no involucra el sentido de la respuesta. Así lo ha determinado la H. Corte Suprema de Justicia al señalar que el derecho fundamental de petición tiene una doble dimensión: la posibilidad de acudir ante el destinatario (público o particular) y la de obtener una respuesta pronta, congruente y sobre la cuestión planteada.

En este sentido, si bien la respuesta a la petición no tiene que ser siempre favorable a las pretensiones del peticionario, sí debe cumplir con los requisitos de ser oportuna, resolver lo solicitado de manera clara, precisa y congruente, además de ser puesta en conocimiento del solicitante.20 En otras palabras, el hecho de que la respuesta no colme el interés del peticionario no afecta la prerrogativa constitucional, pues su núcleo esencial no se limita a que se otorgue una contestación que acoja las peticiones formuladas, sino que se cumplan los criterios señalados por el juez constitucional para garantizar ese derecho fundamental.

Para garantizar el derecho fundamental de petición, la H. Corte Constitucional 21 ha señalado los siguientes 5 criterios que deben seguir las entidades requeridas para garantizarlo: 1. La respuesta debe ser pronta y oportuna: según el artículo 14 de la Ley 1437 del 2011, modificado por la Ley 1755 del 2015, toda petición deberá responderse dentro de los 15 días siguientes a su recepción. De no ser posible otorgar respuesta dentro de ese plazo, las entidades deben señalar los motivos que impiden contestar, al igual que el tiempo que emplearán para emitirla. 2.

Contenido de la respuesta: se ha establecido que debe ser: 20 Corte Suprema de Justicia Sala Civil, Sentencia STC- 91572016 (23001221400020150036302), Jul. 6/16) 21 Corte Constitucional. Sentencia T-051 de 2013. M.P. José Fernando Reyes Cuartas - Clara: que explique de manera comprensible el sentido y contenido de la respuesta. De fondo: que se pronuncie de manera completa y detallada sobre todos los asuntos indicados en la petición, excluyendo referencias evasivas o que no guardan relación con el tema planteado. 3.

Suficiente: porque debe resolver materialmente la petición y satisfacer los requerimientos del solicitante, sin que por ello excluya la posibilidad de que la respuesta sea negativa a las pretensiones del peticionario. 4. Efectiva: si soluciona el caso que se plantea. 5. Congruente: si existe coherencia entre lo respondido y lo pedido. Obsérvese entonces que ninguno de esos criterios fijados por la Corte Constitucional indica o exige que se deba dar respuesta favorable o positiva al peticionario, por lo cual se logra reiterar que, la resolución del derecho de petición no involucra el sentido de la respuesta, como ocurrió en el presente asunto.

Lo que sí debe verificar este Despacho entonces es que la respuesta que se le haya dado a la petición del 25 de junio de 2020 se hubiese dado en los términos señalados; es decir, de forma clara, oportuna y de fondo, con suficiencia sobre todas las solicitudes realizadas, de manera efectiva y congruente. Todas estas características se reúnen en la Respuesta que dio la sociedad investigada mediante escrito de 10 de julio de 2020.

En consecuencia, este Despacho encuentra que la sociedad ADCORE S.A.S., no incumplió el deber contenido en el numeral 7 del artículo 8 de la Ley 1266 de 2008, y por tal motivo archivara el presente cargo. 9.1.4. Respecto del deber de remitir comunicación previa al titular antes de reportar información negativa antes los Operadores de información El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma y el artículo 2.2.2.28.2 del Decreto 1074 de 2015, establecen los siguientes deberes a cargo de las Fuentes de la información: Ley 1266 de 2008 cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 10.

Los demás que se deriven de la Constitución o de la presente ley. Artículo 12. Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Titulo III de la presente ley. El reporte de la información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los Operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de tercero países, solo procederá previa comunicación al Titular de la información, con el fin de que esta pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando Decreto 1074 de 2015 segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento de obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya de manera clara y legible.

Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en la Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente.

En el evento en que se presenten moras sucesivas y continuas, la obligación de comunicar previamente al titular de la información, se entenderá cumplida con la comunicación Al respecto, la Corte Constitucional en Sentencia C-1011 del 16 de octubre de 2008 señaló frente a la constitucionalidad de este deber legal lo siguiente: se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad.

La previsión de trámites de esta naturaleza, que facilitan la preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. Empero, debe la Corte acotar que esta instancia de control del dato por parte del titular de la información resulta predicable, no solo de los casos en que pueda acreditarse la ausencia de mora en el pago de la deuda, sino también en aquellos eventos en que lo que se pone en cuestión es la inexistencia de la obligación que da lugar al reporte sobre incumplimiento o la concurrencia de cualquier otro fenómeno extintivo de la misma.

En ese sentido, para la Sala es claro que lo dispuesto en el inciso segundo del artículo 12 del Proyecto de Ley es apenas un listado enunciativo, en ningún caso una fórmula taxativa, de las distintas causas que puede alegar el titular de la información para oponerse la incorporación del dato sobre incumplimiento en el archivo o banco de datos correspondiente.

La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.

Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el Así pues, en cabeza de la Fuente está la obligación de comunicar con veinte (20) días calendario de anterioridad, al Titular, el reporte de la información negativa que pretenda efectuar sobre incumplimiento de sus obligaciones ante los Operadores de bancos de datos de Información financiera; lo anterior, con el fin de que el Titular pueda demostrar o efectuar el pago de la obligación, o controvertir aspectos tales como su monto, la cuota y la fecha de exigibilidad; permitiendo a la Fuente incluir dicha comunicación en los extractos periódicos enviados al Titular respecto de la obligación. La figura jurídica de la comunicación previa tiene como fin último garantizar el pleno ejercicio del derecho de habeas data de los Titulares, y salvaguardar el derecho de actualización, rectificación y eliminación de la información a que tienen derecho.

Así, esta Dirección determinó, en relación con este cargo formulado que la sociedad ADCORE S.A.S. presuntamente incumplió el deber legal en cita, al migrar la información, sin verificar que la fuente originaria haya comunicado previamente el reporte negativo ante los Operadores de Información, de las obligaciones XXXXXX y XXXXXX en mora a cargo de la Titular.

Al respecto, la sociedad investigada, manifestó a esta Dirección, en sus escritos de descargos y alegatos de conclusión, que dio cumplimiento a la normatividad y precisó que las actuaciones llevadas a cabo ante las centrales de información y efectuadas por el Banco originador, previo a la venta de cartera, son ajustadas a la normatividad vigente, y además aseguró que previo a la migración realizó comunicación previa al titular mediante el documento fechado el 28 de octubre de 2019 que señala: Al respecto, esta Dirección debe advertir a la sociedad ADCORE S.A.S. que lo señalado en el artículo 12, no contempla la presunción del envío de la comunicación previa al reporte negativo a titular, por cuanto esta debe realizarse en la forma y para los efectos descritos en la norma; razón por la cual, la Fuente de la Información debe acreditar su existencia, con el fin de probar el efectivo cumplimiento de la norma en cita.

De acuerdo con lo expuesto, era deber de la sociedad investigada contar con la prueba del respectivo envío por parte de la entidad originadora, previo a migrar y/o actualizar la información crediticia del titular; requisito que no se encuentra satisfecho con el documento antes citado, pues dicho comunicado no informa sobre la intención de reportar información negativa en el historial crediticio del titular, a fin de que este hubiese podido demostrar o efectuar el pago de la obligación, o controvertir aspectos tales como su monto, la cuota y la fecha de exigibilidad.

Así las cosas, resulta claro que la sociedad ADCORE S.A.S. continuó con un reporte de cartera castigada XXXXXX XXXXXXXX XXXXXXXXX, sin que para ese efecto se hubiese percatado que: (i) el acreedor originario hubieses remitido, en los términos del artículo 12 de la Ley 1266 de 2008, comunicación previa al reporte negativo dirigida a la última dirección de domicilio registrada del titular; y (ii) contara con el soporte del envío de la comunicación previa por parte del acreedor originario.

De esta manera, se encuentra plenamente demostrado en el plenario, el incumplimiento de la sociedad ADCORE S.A.S., al no comprobar previo a la migración, la legalidad del reporte negativo efectuado por la fuente originaria de la obligación, en el sentido de verificar la existencia de la comunicación enviada con veinte (20) días calendario de anterioridad, en la que se le informara al titular sobre la intención de efectuar reporte negativo de las obligaciones en mora.

En consecuencia, se encuentra probado el incumplimiento por parte de la sociedad investigada del deber establecido en la Ley 1266 de 2008 artículo 8 numeral 10, en concordancia con su artículo 12; razón por la cual impondrá la correspondiente sanción. 9.1.5. Respecto del deber de informar al operador que determinada información se encuentra en discusión por parte de su titular El numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 16 de la misma norma, establece los siguientes deberes a cargo de las Fuentes de la información: Ley 1266 de 2008 cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 8.

Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite. Artículo 16°. Peticiones, consultas y reclamos.

I. Trámite de consultas. Los titulares de la información o sus causahabientes podrán consultar la información personal del titular, que repose en cualquier banco de datos, sea este del sector público o privado. El operador deberá suministrar a estos, debidamente identificados, toda la información contenida en el registro individual o que esté vinculada con la identificación del titular.

La petición, consulta de información se formulará verbalmente, por escrito, o por cualquier canal de comunicación, siempre y cuando se mantenga evidencia de la consulta por medios técnicos. La petición o consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la petición o consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

PARÁGRAFO. La petición o consulta se deberá atender de fondo, suministrando integralmente toda la información solicitada. II. Trámite de reclamos. Los titulares de la información o sus causahabientes que consideren que la información contenida en su registro individual en un banco de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador, el cual será tramitado bajo las siguientes reglas: 1.

La petición o reclamo se formulará mediante escrito dirigido al operador del banco de datos, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y si fuere el caso, acompañando los documentos de soporte que se quieran hacer valer. En caso de que el escrito resulte incompleto, se deberá oficiar al interesado para que subsane las fallas.

Transcurrido un mes desde la fecha del requerimiento, sin que el solicitante 2. Una vez recibido la petición o reclamo completo el operador incluirá en el registro individual en naturaleza del mismo. Dicha información deberá mantenerse hasta que el reclamo sea decidido y deberá incluirse en la información que se suministra a los usuarios. 3.

El término máximo para atender la petición o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender la petición dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su petición, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. 4.

En los casos en que exista una fuente de información independiente del operador, este último deberá dar traslado del reclamo a la fuente en un término máximo de dos (2) días hábiles, la cual deberá resolver e informar la respuesta al operador en un plazo máximo de diez (10) días hábiles. En todo caso, la respuesta deberá darse al titular por el operador en el término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de presentación de la reclamación, prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral anterior.

Si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de individual, lo cual deberá hacer el operador dentro de los dos (2) días hábiles siguientes a haber recibido la información de la fuente. 5.

Para dar respuesta a la petición o reclamo, el operador o la fuente, según sea el caso, deberá realizar una verificación completa de las observaciones o planteamientos del titular, asegurándose de revisar toda la información pertinente para poder dar una respuesta completa Ahora bien, en la Resolución 25069 de 2022 por la cual se formularon cargos contra la investigada, se señaló que presuntamente se pudo haber vulnerado las normas que fundamentan el presente cargo por las siguientes razones: 337864-3 y 20-337864-4 del 19 de enero de 2021 respectivamente a las sociedades CIFIN Las sociedades CIFIN S.A.S. y EXPERIAN COLOMBIA S.A. respondieron mediante oficios con radicado 20-337864-6 del 27 de enero de 2021 y 21-19125-07 del 2 de febrero del 2021 mediante los cuales informaron que la sociedad investigada no realizó la inscripción de la Así las cosas, vencido el término otorgado por esta Superintendencia para que la sociedad ADCORE S.A.S. rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, esta no se pronunció al respecto; es decir, guardó silencio, razón por la cual se tendrán por Sobre el particular señaló la sociedad investigada en su escrito de descargos que como se procedió a eliminar la información negativa del titular ante los operadores de información, la inscripción de la leyenda podría considerarse como una situación carente de objeto.

De acuerdo con lo anterior, encuentra este Despacho que la omisión en la que incurrió la sociedad investigada vulneró el derecho de habeas data del titular, aun cuando los reportes de información negativa hayan sido eliminados. En efecto, el cumplimiento del numeral 8º del artículo 8° es claro y concreto, en el sentido de que la información objeto de tratamiento debe ser veraz e imparcial y, en tal virtud, se debe informar al operador que el titular está controvirtiendo la información, lo cual también se articula a la necesidad de mantener los datos actualizados, completos y comprobables.

Tal y como lo ha señalado la Corte Constitucional en Sentencia C -1011 de 2008, el cuestionamiento del dato hace parte de una información veraz y completa y, además, se articula con el derecho fundamental al debido proceso, por cuanto la persona afectada con una información desfavorable o incierta debe tener la oportunidad legal de presentar sus argumentos y razones para cuestionarla.

Si dicha información es puesta en circulación, es claro que las razones de desavenencia del titular con determinados datos sean también puestas en circulación para realizar las condiciones de veracidad e imparcialidad imponibles al dato personal. De esta manera, mientras duró el reporte de información ante los operadores de información sin que se inscribiera la citada leyenda, se vulneró el derecho del titular a poner en evidencias ante los usuarios que frente a la información se discutía su veracidad.

Por lo tanto, la eliminación del reporte no eximía de responsabilidad a la sociedad investigada del cumplimiento de este deber, pues con ello solo se puede evaluar la gravedad de la infracción, más no la justificación del incumplimiento del deber. Por lo anterior, se tendrá como demostrado el presente cargo y se impondrán las sanciones correspondientes.

DÉCIMO: CONCLUSIONES La investigada en su calidad de Fuente de la información vulneró las siguientes normas: i. El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita, por cuanto no garantizó que la información del titular suministrada a los operadores de los bancos de datos fuera veraz, completa, exacta, actualizada y comprobable. ii.

El numeral 5 del artículo 8 de la Ley 1266 de 2008, debido a que no conservó copia o evidencia de la respectiva autorización otorgada por el titular de la información para reportar información ante los operadores de información. iii. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015, debido a que no remitió comunicación previa al titular antes de reportar información ante los Operadores. iv.

El numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el numeral 4 del artículo 16 de la misma Ley, por cuanto no solicitó ante los Operadores la inscripción de la información.

UNDÉCIMO: ÓRDENES ADMINISTRATIVAS De acuerdo con los argumentos de hecho y de derecho expuestos y en virtud del numeral 1 del artículo 17 de la Ley 1266 de 2008, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su, esta Instancia procederá a impartir las siguientes órdenes: La sociedad ADCORE S.A.S. deberá acreditar la implementación un proceso para informar a los Operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial.

De lo anteriormente ordenado la sociedad ADCORE S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1822. Esta potestad sancionatoria, que es manifestación del poder punitivo del Estado, derivado de los artículos 2 23, 4 24 y 6 25 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo26.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual ley que tendrá prelación sobre las demás leyes y que idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 28.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a 22Ley 1266 de 2008, artículo 18: La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.

(negrita añadida) 24 Artículo 4. La Constitución es norma de normas Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 25 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes.

Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) 26 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 27 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. 28 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: 313.

UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional29 y que, por lo tanto, esta Dirección deberá analizar para el 29 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública. Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.31 La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991 y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 18 de la misma ley.

Asimismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: Ley 1266 de 2008, artículo 19: Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: 30 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 31 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

En el caso sub examine, con base en el citado literal a), esta Dirección evidencia que los cargos comprobados en contra de la sociedad ADCORE S.A.S. identificada con el Nit. 900.966.455-8 afectaron de forma real y concreta los intereses jurídicos tutelados consagrados en la Ley 1268 de 2008 y sus normas complementarias, debido a que vulneraron las siguientes normas en su calidad de Fuente de la información: i. El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita, por cuanto no garantizó que la información de la titular suministrada a los operadores de los bancos de datos fuera veraz, completa, exacta, actualizada y comprobable. ii.

El numeral 5 del artículo 8 de la Ley 1266 de 2008, debido a que no conservó copia o evidencia de la respectiva autorización otorgada por el titular de la información para reportar información ante los operadores de información. iii. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015, debido a que no remitió comunicación previa al titular antes de reportar información ante los Operadores.

Por tanto, se impondrá como sanción: (i) Frente al cargo primero, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 18 de la Ley 1266 de 2008, modificada por el artículo 14 de la Ley 2157 del 2021 entre 1 y 2000 SMLMV, una multa de DIEZ (10) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023. (ii) Frente al cargo segundo, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 18 de la Ley 1266 de 2008, modificada por el artículo 14 de la Ley 2157 del 2021 entre 1 y 2000 SMLMV, una multa de DIEZ (10) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023.

(iii) Frente al cargo cuarto, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 18 de la Ley 1266 de 2008, modificada por el artículo 14 de la Ley 2157 del 2021 entre 1 y 2000 SMLMV, una multa de DIEZ (10) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023. Por tanto, frente a los mencionados tres (3) cargos demostrados en los cuales se ordenó la imposición de una sanción, se impondrá una multa de TREINTA (30) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023, los cuales para el cálculo de la vigencia 2024 corresponden a 3.480 Unidades de Valor Básico UVB Vigentes para el año 2024 correspondientes a TREINTA Y OCHO MILLONES CIENTO NUEVE MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($38.109.480)32, por la vulneración a lo dispuesto en (i) el numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita;

(ii), en el numeral 5 del artículo 8 de la Ley 1266 de 2008 y; (iii) en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. 12.1.2 Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b) c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección y (v) no hubo reconocimiento de la infracción.

DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a ADCORE S.A.S. identificada con el Nit. 900.966.455-8, con el correo electrónico de notificación judicial comunicados@adcore.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá 22-166684. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ADCORE S.A.S. identificada con el Nit. 900.966.455-8 equivalente a TREINTA (30) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023, los cuales para el cálculo de la vigencia del año 2024 corresponden a TRES MIL CUATROCIENTOS OCHENTA (3.480) Unidades de Valor Básico UVB, correspondientes a TREINTA Y OCHO MILLONES CIENTO NUEVE MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($38.109.480)33, por la vulneración a lo dispuesto en: i. ii. iii.

El numeral 1 del artículo 8 de la Ley 1266 de 2008 en concordancia con el literal a) del artículo 4 de la ley en cita. El numeral 5 del artículo 8 de la Ley 1266 de 2008. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: IMPONER a la sociedad ADCORE S.A.S. identificada con el Nit. 900.966.455-8 la 32 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 33 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 siguiente orden administrativa: La sociedad ADCORE S.A.S. deberá acreditar la implementación un procedimiento para informar a los Operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial.

Parágrafo primero: El cumplimiento de esta orden deberá realizarse dentro de los TRES (3) MESES siguientes a la ejecutoria de la presente decisión. Parágrafo segundo: La sociedad deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto señalado en el inciso anterior.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo. Dicha certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas por esta Dirección y que las mismas están operando con suficiente efectividad, deberá estar acompañada de las pruebas necesarias que demuestren la adopción e implementación de las órdenes aquí impuestas ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la ADCORE S.A.S. identificada con el Nit. 900.966.455-8, en calidad de investigada a través de su representante legal, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4: COMUNICAR el contenido de la presente resolución a XXXXXX XXXXXXXX XXXXXXXXX XXXXXXXX identificado con cedula de ciudadanía C.C. XX.XXX.XXX.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede alterna: Carrera 7 No. 31A-36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m. NOTFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 23 de abril de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCÍA MOLINA Proyectó: Danny Rappy Revisó: Adriana Castelblanco Aprobó: Carolina García NOTIFICACIÓN: Investigada Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: ADCORE S.A.S. Nit. 900.966.455-8 JAIRO JESÚS VILLOTA RUIZ C.C. No. 12.973.328 comunicados@adcore.com.co CR 15 # 98 49 Oficina 304 y 606 Bogotá D.C. COMUNICACIÓN Señor: Identificación: Correo electrónico: Dirección: Ciudad: XXXXXX XXXXXXXX XXXXXXXXX XXXXXXXX C.C. XX.XXX.XXX XXXXXXXXXXX@XXXXXXXXXXXXXXX XXXXX XX XX XXXX XXXX XXXXXXXX Bogotá D.C.