Sanción 56699 de 2020 — SIC

(16 SEPTIEMBRE 2020) “Por la cual se impone una sanción administrativa y se imparte una orden” Radicación 19-8025 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S identificada con Nit 860.031.282-3, presentó denuncia en contra de la sociedad CRC OUTSOURCING S.A.S. identificada con Nit 830.109.862-3 ante la Superintendencia Financiera de Colombia el 11 de enero de 2019, la cual fue trasladada a esta Superintendencia el 15 de enero de 2019 1 por considerarla de su competencia, bajo el radicado 19-008025-00000-0000.

SEGUNDO: Que, mediante la Resolución 68522 del 29 de noviembre de 2019 2 la Dirección de Investigación de Protección de Datos Personales resolvió abrir investigación y formular pliego de cargos contra la sociedad CRC OUTSOURCING S.A.S., (en adelante “la investigada”), identificada con Nit 830.109.862-3 por la presunta contravención de lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y (ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

La denuncia se contrajo a los siguientes hechos: 2.1 Señaló la sociedad denunciante que, “El 16 de mayo de 2017, CRC OUTSOURCING S.A.S. nos hace llegar a nuestro correo institucional un derecho de petición en donde solicita información personal de XXXXX XXXXXXXX XXXX XXXXXXXX identificada con la C.C. XXXXXXXXXX la cual tiene contrato de trabajo con nuestra empresa.

Ante esta solicitud, GESTION Y DISEÑOS ELECTRICOS S.A. envío (sic) respuesta en el termino (sic) de ley el 18 de mayo del mismo año, en donde la respuesta fue negativa, especialmente por la imposibilidad legal de entregar datos que están protegidos por la Ley HABEAS CORPUS (LEY 1581 del 2012) (sic).” 2.2. Afirmó que, “El 24 de octubre del 2017 nos llega la misma petición (el mismo modelo de carta de derecho de petición) a lo cual el 7 de noviembre se remite respuesta formal.

El 28 de diciembre del mismo año, nuevamente se recibe un nuevo derecho de petición con la misma solicitud, a lo que se respondió que se atuviera a lo contestado en la comunicación del 7 de noviembre del 2017.” 2.3 Así mismo, expuso que “Nos llega a nuestro correo institucional un nuevo derecho de petición fechado el 10 de enero de 2018 y respondido en debida forma el 24 de enero del 2018, en donde se le mencionan las respuestas ya enviadas por lo que debe atenerse a lo ya respondido.

El 20 de septiembre de 2018, se emite respuesta al quinto derecho de petición donde solicita lo mismo que en las cuatro oportunidades anteriores, respondiéndole las respuestas que se han emitido.” Oficio remisorio de traslado de competencia de la Superintendencia Financiera de Colombia a la Superintendencia de Industria y Comercio, radicado el 15 de enero de 2019 y visible en el expediente bajo el consecutivo número 19-008025-00000-0000.

Resolución 68522 del 29 de noviembre de 2019 visible en el expediente bajo el consecutivo número 19-8025-7-1. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 2.4 Informó a esta Superintendencia que, “El 8 de enero del 2019, por sexta ocasión se recibe el mismo derecho de petición, enviando la respuesta el mismo 8 de enero; aparte de responder en debida forma se les hace un llamado de atención para que por favor dejen de abusar del derecho de petición y tomen las medidas necesarias para que esta situación no se vuelva a presentar.

En todos los derechos de petición anuncian un documento anexo (Carta de cesión de CODENSA A CRC OUTSOURCING S.A.S., documento que nunca ha sido adjuntado en las comunicaciones” 2.5 Adicionalmente, manifestó que “En la comunicación fechada el 20 de septiembre se les elevo (sic) un derecho de petición para que respondieran tres preguntas, las cuales nunca fueron atendidas, violando con este el Código de Procedimiento y de lo Contencioso Administrativo.

La respuesta nunca nos llego (sic) por lo que fue violado nuestro derecho a la información tal y cómo (sic) lo regula tanto la constitución como la ley. No hemos presentado acción de tutela porque consideramos que primero la Superintendencia Financiera se debe pronunciar al respecto, siendo la acción de tutela el último mecanismo legal para pedir la protección de los derechos fundamentales.” En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara las pruebas que pretendiera hacer valer en la presente actuación.

TERCERO: Que la Resolución 68522 del 29 de noviembre de 2019 se notificó personalmente al señor JUAN MANUEL CASASBUENAS MORALES, en representación de la sociedad CRC OUTSORCING S.A.S. el 06 de diciembre de 2019, según consta en la certificación expedida por la Secretaría general Ad-Hoc de esta Superintendencia, visible en el expediente bajo el radicado número 19-8025-13.

CUARTO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-008025-00014-0001, la sociedad investigada presentó sus descargos3, en los cuales manifestó, entre otras cosas, lo siguiente: 4.1 En primer lugar, se refiere a los antecedentes de la presente actuación administrativa y relaciona como fundamentos jurídicos una serie de citas del artículo 15 de la Constitución Política, las Sentencias C-748 de 2011 y C-1011 de 2008 y fragmentos de la Ley estatutaria 1581 de 2012. 4.2 De otra parte, se refiere a cada uno de los cargos formulados por esta Dirección, expresando que: “2.) DESCARGOS

2.1. EN RELACIÓN CON EL PRIMER CARGO – EN CUANTO A LA AUTORIZACIÓN PARA EL TRATAMIENTO DEL DATO PERSONAL. La autorización previa, expresa e informada por parte del titular del dato para su tratamiento, es de la esencia del derecho fundamental de habeas data. El artículo 15 de la Constitución Nacional que consagró por primera vez este derecho en el ordenamiento jurídico colombiano establece que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” No obstante, a partir de 1995 se consideró por la Corte Constitucional como un derecho autónomo, cuyo nucleó (sic) esencial está compuesto por la libertad y autodeterminación informática.

Es importante resaltar que en este ámbito el concepto de libertad ha tomado un nuevo cariz, consistente en el poder que tiene el individuo para controlar el acceso y circulación de su información personal respecto de terceros. Ha dicho la Corte Constitucional que se “… está ante el nacimiento de un nuevo derecho, el de habeas data, en el que la privacidad no implica sencillamente la falta de información sobre nosotros por parte de los demás, sino más bien el control que tenemos sobre las informaciones que nos conciernen.

“(Sentencia C-748-11 del 6 de octubre de 2011. PG. 84). Escrito de descargos presentado por el apoderado especial de la sociedad investigada el día 30 de diciembre de 2019, visible en el expediente bajo el consecutivo número 19-008025-00014-0001. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, La libertad inherente al habeas data, consiste entonces en el poder de control que le asiste al titular de datos para que éstos trasciendan o no a terceras personas.

Es así como ese poder se evidencia, porque para la recolección y circulación de datos se requiere la autorización del titular, porque el interesado puede conocer en cualquier momento acerca de la información que sobre el (sic) reposa en bases de datos, porque le asiste el derecho a solicitar su rectificación, complementación y actualización y finalmente, porque puede optar por retira (sic) la autorización inicialmente conferida para el tratamiento del dato.

En lo atinente al contenido del habeas data y su carácter de derecho autónomo la Corte Constitucional en la sentencia C-1011 de 2008, que analizo (sic) la exequibilidad de la Ley 1266 de 2008, indicó que “el habeas data confiere un grupo de facultades para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información. En ese sentido, este derecho fundamental está dirigido a preservar los intereses del titular de la información ante el potencial abuso del poder informático.” En lo referente a la autorización que debe existir para el tratamiento del dato en sentencia T-196 de 1995 la Corte Constitucional indicó que el derecho de habeas data, es violado cuando la información contenida en el archivo o base de datos es “… recogida de manera ilegal sin el consentimiento del titular de dato.” Lo anterior fue reiterado en la sentencia C-748 de 2011 que examinó la constitucionalidad de la ley Estatutaria 1581 del 2012.

(En igual sentido pueden examinarse las sentencias T-414 de 1992; T-022 de 1992; T-176 de 1995; T-580 de 1995; SU 082 de 1995; T-488 de 2004; T-526 de 2004; T-657 de 2005; T-684 de 2006; y T-017 de 2011). Diversas disposiciones de la ley 1581 de 2012, enfatizan la necesidad de obtener la autorización del titular para llevar a cabo cualquier operación de recolección, almacenamiento, uso, o circulación de datos personales, entre ellas los artículo (sic) 3 literal a.), 4 literal c.), 9, y 17 literal b.).

Estos dos últimos artículos disponen: “Artículo 9.- AUTORIZACIÓN DEL TITULAR. - Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. “Artículo. 17. – DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. - Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:…b.)Solicitar (sic) y conserva, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el titular.” Estando clara la obligación que tiene el responsable del tratamiento del dato de obtener la autorización previa, informada y expresa del titular, es necesario entrar a examinar si en el presente caso CRC OUTSOURCING SAS, desconoció este deber, en los términos expuestos en el acto administrativo de formulación de cargos. 2.1.1.) EL PRINCIPIO DE TIPICIDAD EN MATERIA DE DERECHO ADMINISTRATIVO SANCIONATORIO.

El derecho administrativo sancionatorio, es manifestación de la potestad punitiva del Estado y por lo tanto le son aplicables algunas garantías a favor del sujeto pasivo de dicha potestad, que tiene por objeto limitarla y encausarla, con el fin de que no se desborde o desvíe de su finalidad, incurriendo en actos abusivos distanciados de su objetivo que no es otro que “ …preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento …de (sic) una disciplina cuya observancia contribuya a la realización de sus cometidos.” (Sentencia C-748-11 del 6 de octubre del 2011.

Pg 126). Dentro de las garantías propias del derecho sancionatorio en general, se encuentra el de la legalidad y tipicidad de la conducta. Estas garantías implican que no es posible imponer sanción alguna sin que previamente la conducta reprochada se encuentre descrita de manera exacta y pormenorizada en la Ley. La tipicidad y la legalidad de la conducta se concretan en el aforismo romano según el cual no existe infracción ni sanción sin ley previa que las defina (nullum crimen, nulla poena sine legem) HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” Refiriéndose al principio de tipicidad en materia administrativa la Corte Constitucional en la sentencia C-748-11 del 6 de octubre de 2011, indicó “el principio de tipicidad que, si bien no es igual de riguroso al penal, si obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción, (Pg. 126) La garantía en comento presenta una doble faceta, toda vez que la conducta punible no solo debe estar prevista y minuciosamente descrita, sino que el órgano estatal encargado de definir las faltas cuya comisión acarrea la sanción, no es otro que el legislativo.

Al respecto la Corte Constitucional señala que “el principio de legalidad, de acuerdo con el cual las conductas no solo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa.” La Superintendencia de Industria y Comercio ejerce la facultad sancionatoria cuando se desconocen los preceptos relativos al habeas data (Art. 22 de la Ley 1581 de 2012) y por ende se encuentra sujeta a las garantías de legalidad y tipicidad antes comentadas.

Los deberes cuyo desconocimiento puede dar lugar a la aplicación de sanciones por parte del ente administrativo de control, son las establecidas en los artículos 17 y 18 de la Ley 1581 de 2012, que enlistan los deberes de los responsables y encargados del tratamiento, respectivamente. Aunque el derecho fundamental de habeas data puede aparejar otros deberes, para todas las personas involucradas en el tratamiento de datos, es el desconocimiento de los enlistados en estos artículos los relevantes para efectos sancionatorios.

En otras palabras son los deberes establecidos en los mencionados artículos 17 y 19 los que definen las conductas prohibidas para efectos sancionatorios (tipicidad y legalidad). Sobre el particular la Corte Constitucional en la sentencia C748 del 2011, que resolvió la exequibilidad de la Ley Estatutaria 1581 de 2012, indicó: “No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, si operan como una lista taxativa, es decir, los encargado y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en los que respecta a sanciones administrativas previstas por el mismo proyecto de ley” (Pg.119) (sic). 2.1.2) LOS CARGOS COMO LIMITANTE DE LA FACULTAD SANCIONATORIA EN VIRTUD DE LA CONGRUENCIA QUE DEBE EXISTIR ENTRE LOS MISMOS Y EL ACTO ADMINISTRATIVO QUE PONE FIN A LA ACTUACIÓN. La actividad sancionatoria no solo está limitada por las garantías de legalidad y tipicidad antes comentadas, sino por la misma formulación de cargos, que establece la conducta atribuida al investigado y frente a la cual puede ejercer su derecho de defensa, En este sentido la formulación de cargos debe ser unívoca y precisa, pues ello permite ejercer eficazmente el derecho de contradicción, lo que a contrario sensu, se dificulta o imposibilita frente a cargos equívocos, ambiguos o imprecisos, Ante cargos ambivalentes, nos e sabría a ciencia cierta cómo ejercer el derecho de defensa pues se desconocería los hechos que constituyen la conducta a desvirtuar.

En este orden de ideas debe existir congruencia entre la formulación de cargos y el acto administrativo que define la investigación. Atendiendo a la forma en que se formuló el primero de los cargos y la conducta atribuida a mi representada, consideramos que no se reúnen los requisitos de tipicidad y legalidad como pasara (sic) a examinarse a continuación. “2.1.3.) AUSENCIA DE TIPICIDAD Y LEGALIDAD RESPECTO DEL PRIMER CARGO.

Como se dijo, el primer cargo se hace consistir en que la sociedad investigada solicitó a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin que se evidenciara que haya acreditado la obtención de la autorización previa expresa e informada por parte de XXXXX XXXXXXXX XXXX XXXXXXXX para el tratamiento de sus datos personales.

En la manera en que se formuló el cargo, la conducta atribuida a CRC OUTSOURCING SAS, resulta atípica. El solo hecho de solicitar la información, sin que se hubiese suministrado dicha “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, información y sin obtener previamente la autorización del titular, no configura una vulneración del deber establecido a cargo del Responsable del Dato.

La autorización se requiere cunado (sic) efectivamente se adelanta alguna actividad que implica el tratamiento de datos, como lo es la recolección, el almacenamiento, uso o circulación de la información. No existiendo el tratamiento de datos mal puede exigirse autorización alguna. Lo anterior se concluye de la misma definición de “autorización” que trae el literal a.) del artículo 3 de la Ley 1581 de 2012.

Esta norma indica que la autorización es “el consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.” La “autorización” tiene una relación de finalidad con el tratamiento. En otras palabras se da la autorización para que pueda efectuarse válidamente el tratamiento. Si no existe tratamiento no es posible predicar la necesidad de autorización alguna por lo que la conducta atribuida a CRC OUTSOURCING SAS, resulta atípica y en consecuencia no punible. 2.1.4.) NO EXISTE NECESIDAD DE OBTENER AUTORIZACIÓN Y POR ENDE DE INFORMAR LA FINALIDAD DEL TRATAMIENTO CUANDO EL DATO ES DE NATURALEZA PÚBLICA.

En la formulación de cargos se señala que no se evidenció la obtención de autorización previa, expresa e informada para tratar los datos personales, correspondientes a direcciones de correo electrónico “XXXXXXXXXXXXXXX” (vinculado al señor XXXX XXXXX XXXXXXXX XXXXX) y “XXXXXXXXXXXX” para realizar gestiones de cobranza a través del envío de comunicaciones.

En el mismo orden de ideas se indica que tampoco está acreditada en la actuación administrativa que CRC OUTSOURCING SAS, haya informado de manera previa las finalidades a las cuales serían sometidos los datos de las personas naturales que usan las direcciones de correo electrónico “XXXXXXXXXXXXXXX” (vinculado al señor XXXX XXXXX XXXXXXXX XXXXX) y XXXXXXXXXXXX.” Sobre el particular cabe señalar: Como se mencionó, para el tratamiento de datos se requiere autorización previa, informada y explicita del titular.

No obstante, hay casos en que la misma ley ha exceptuado dicha autorización. Uno de tales eventos es la utilización de datos públicos. En efecto, el artículo 10 literal b.) de la Ley 1581 de 2012, establece que “la autorización del Titular no será necesaria cuando se trate de: …b.) Datos de naturaleza pública.” Al respecto la Corte Constitucional ha dicho que “la autorización del Titular no será necesaria (…) Esta información puede ser adquirida por cualquier persona, sin necesidad de autorización alguna para ello.” (Sentencia C-748-11 Pg.109) Ahora bien, los correos a los que se enviaron las peticiones a GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S son direcciones electrónicas de la sociedad de público conocimiento.

Comoquiera que no existía la obligación de obtener autorización del titular para enviar un mensaje a su correo electrónico, tampoco era necesario informar acerca de la finalidad y efectos del tratamiento que se daría a dicho correo, el cual además resulta evidente que no puede ser otro, que el de servir de receptor de los mensajes de datos que se envíen a su destinatario.

Ahora bien, consideramos que el deber de informar la finalidad que tendrá la recolección de datos y los efectos de la misma, está ligada a la autorización para el tratamiento de datos. Es así como al definirse la autorización, se indica que se trata del consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos.

Se vislumbra entonces que el informe de la finalidad es un requisito para obtener la autorización para el Tratamiento de datos. Precisamente la información acerca de la finalidad y efectos del tratamiento, permite al Titular consentir o no acerca de la autorización. Se dice que el consentimiento, constitutivo de autorización es calificado porque no se trata de cualquier aceptación para el Tratamiento de dato, sino que exige que se suficientemente informado.

Si no se requiere de autorización, tampoco de información acerca de “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, finalidad del Tratamiento. Esto mismo se infiere del texto de artículo 12 de la ley 1581 de 2012, que establece que “el Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente…”.

En otras palabras la obligación de informar es previa a la autorización. No requiriéndose autorización, tampoco se requiere informar. La misma exégesis puede hacerse en relación con lo dispuesto en el literal c.) del artículo 17 de la mencionada Ley. Desde otra perspectiva, la falta no se configuraría pro ausencia de tipicidad. De acuerdo al literal c. del artículo 17 de la ley 1581 del 2012, el deber del Responsable del Dato, consiste en “Informar debidamente al Titular sobre la finalidad de la recolección…”.

Debe existir recolección de datos para que se configure la prohibición. El simple de hecho de enviar una comunicación a la dirección de un correo electrónico no conlleva el acto de “recolectar” datos. De otra parte, CRC OUTSOURCING SAS, no ha tenido acceso a los datos de las personas naturales que usan los correos electrónicos citados en el acto de formulación de cargos, por lo que tampoco los ha “recolectado”.

Se repite, enviar una comunicación no implica tener acceso a los datos de las personas que utilizan dichas direcciones de correo electrónico. Por consiguiente la conducta desplegada por la sociedad investigada no se subsume en la prohibición consagrada por el legislador.

2.2. ACEPTACIÓN PARCIAL DEL SEGUNDO DE LOS CARGOS. Manifiesta la Superintendencia de Industria y Comercio en el acto de formulación de cargos que dentro de la información y las pruebas remitidas por CRC OUTSOURCING SAS “no se evidencia que se haya informado de manera previa, clara y expresa a la Titular XXXXX XXXXXXXX XXXX XXXXXXXX acerca de las finalidades del tratamiento al que serían sometidos sus datos personales para contactar a su empleador GESTIÓN Y DISEÑOS ELÉCTRONICOS S.A.S, en lo relativo a un crédito adquirido previamente por la titular, ni para realizar gestiones de cobranza a través del envío de comunicaciones.” Este cargo se acepta.

Debe indicarse que la información de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, se recogió cuando diligenció la solicitud de crédito antes de la vigencia de la ley 1581 del 2012. Por desconocimiento, CRC OUTOSURCING SAS, dejó de aplicar lo dispuesto en el artículo 10 del Decreto 1377 de 2012, relativo a los datos recolectados antes de la expedición del citado decreto, que establece que “los responsables deberán solicitar la autorización de los Titulares para continuar con el Tratamiento de sus datos personales…a través de mecanismos eficientes de comunicación, así como poner en conocimiento de estos sus políticas de tratamiento de la información y el modo de ejercer sus derechos…En todo caso el Responsable y el Encargado deben cumplir con todas las disposiciones aplicables de la Ley 1581 de 2012 y el presente Decreto.

Así mismo será necesario que la finalidad o finalidades del Tratamiento vigentes sean iguales, análogas o compatibles con aquella o aquellas para las cuales se recabaron los datos personales inicialmente.” Dado que el deber de obtener autorización para el Tratamiento de datos va aparejado con el de informar acerca de la finalidad de dicho tratamiento, efectivamente se dejó de informar a la Titular que la información sería utilizada en gestiones de cobro ante su Empleador y que se le informaría que era deudora del crédito rotativo CREDITO FACIL CODENSA y que además se hallaba en mora, información que es de carácter personal semiprivada.

Frente al incumplimiento del deber de información y obtener la autorización en los términos señalados en el segundo de los cargos mi representada se compromete a tomar los correctivos necesarios. Teniendo en cuenta que se está aceptando el segundo cargo, de manera respetuosa solicito a la Superintendencia que de acuerdo a lo dispuesto en el literal f.) del artículo 24 de la Ley 1581 de 2012, se tenga como un factor de atenuación de la responsabilidad de CRC OUTSOURCING SAS, a fin de que se ordenen los correctivos pertinentes absteniéndose de imponer sanción. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Así mismo solicito se tengan como causales atenuantes de responsabilidad las siguientes: (i) (ii) (iii) (iv) No existir beneficio económico derivado de la infracción. La sociedad CRC OUTOSURCING SAS, carece de antecedentes por faltas relativas al habeas data, comprometiéndose formalmente a adoptar los correctivos necesarios para que la situación anómala no se vuelva a repetir.

Se ha colaborado con la investigación adelantada por esa Superintendencia. Tampoco se ha presentado renuencia a cumplir con los requerimientos de ese Despacho.”

QUINTO: Que mediante Resolución 8141 del 27 de febrero de 20204 se ordenó incorporar las pruebas obrantes, en el expediente 19-8025 con el valor legal que les corresponda y negar la prueba solicitada por la sociedad investigada. En el mismo acto administrativo, se corrió traslado a la sociedad CRC OUTSOURCING S.A.S. por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

SEXTO: Que la Resolución 8141 del 27 de febrero de 2020 fue comunicada el 27 de febrero de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, visible en el expediente bajo el radicado 19-8025-18.

SÉPTIMO: Que, una vez vencido el término de diez (10) días hábiles concedido para que presentara alegatos de conclusión, la sociedad CRC OUTSOURCING S.A.S. guardó silencio.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales mandatos dará lugar a la aplicación de las sanciones contempladas en la misma normatividad.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos 9.2 Valoración probatoria y conclusiones Resolución 8141 del 27 de febrero de 2020 visible en el expediente bajo el consecutivo número 19-8025-15-1.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 9.2.1 Del deber de solicitar copia de la respectiva autorización otorgada por el Titular El precepto consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de solicitar y conservar, en las condiciones previstas en la citada ley, copia de la respectiva autorización otorgada por el Titular, dicho precepto se armoniza con el principio de libertad, contenido en el literal c) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no es bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere que sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”.

De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. En decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría referirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” Igualmente, es importante indicar que en virtud del principio de libertad, citado en líneas precedentes, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, según lo dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en sentencia mencionada líneas atrás, se refiere a las características de los datos personales al analizar la constitucionalidad del proyecto de ley de protección de datos personales, a saber: “i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita; iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”, características que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sobre éste, que se radica en cabeza del titular.

Sumado a lo anterior, el mismo Responsable debe conservar una copia de la autorización otorgada por el Titular de la información de forma tal que, en el momento en que sea solicitada para consulta, cuente con la misma. Ahora bien, una vez iniciada la investigación en contra de la sociedad CRC OUTSOURCING S.A.S., la Coordinación del Grupo de Investigaciones Administrativas remitió requerimiento a la sociedad investigada, el día 24 de abril de 2019 bajo el radicado número 19-8025- -4-1, para que, entre otras cosas, informara lo siguiente: “(…) “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 1.

Describa y acredite los procedimientos usados por la organización para la recolección y/o obtención de datos personales con ocasión a los “procesos de investigación de bienes por mora en deudas”. (…) 6. Manifieste y acredite si cuenta con la autorización de la señora XXXXX XXXXXXXX XXXX XXXXXXXX para realizar el Tratamiento a sus datos personales.

En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al Titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades.” En respuesta a la primera pregunta, el apoderado de la sociedad investigada aseguró que, i) “La posibilidad de investigar en cabeza de los deudores corresponde a una facultad del acreedor.

Los bienes del deudor constituyen la prensa general de los acreedores. Ello permite que el acreedor pueda “perseguir su ejecución sobre todos los bienes raíces o muebles del deudor, sean presentes o futuros,” según lo establece el artículo 2488 del Código Civil. Esta facultad del acreedor explica el interés que tenga en indagar sobre los bienes del deudor a finde hacer efectivo su crédito.

Dentro de estas indagaciones, CRC OUTSOURCING SAS, en el caso de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, en ejercicio del derecho de petición, efectuó indagaciones ante su empleador”, ii) la solicitud realizada al empleador “se efectuó dentro del marco que permite a los acreedores indagar sobre los bienes de su deudora finde hacer efectivo su derecho de crédito.

En este sentido es importante saber si el deudor devenga sueldo u honorarios.” 6 “El solo hecho de solicitar la información, sin que se hubiese suministrado dicha información y sin obtener previamente la autorización del titular, no configura una vulneración del deber establecido a cargo del Responsable del Dato.” 7 Postura que no comparte esta Dirección, toda vez que el cumplimiento de las disposiciones aplicables al negocio jurídico del cual subyace la obligación en referencia, es decir, la legislación civil, no resulta excluyente ni exime del deber de acatar lo regulado por el Régimen General de Protección de Datos Personales a la sociedad CRC OUTSOURCING S.A.S. En relación con la sexta pregunta, afirmó que, “La información que CRC OUTSOURCING SAS, maneja de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, es suministrada por ella al momento de la solicitud del crédito, y que figura en el formulario que se anexa a la presente.

Tales datos son: el correo electrónico, número de teléfono móvil, lugar de nacimiento, nacionalidad, documento de identificación, grado de estudios, estado civil, datos del cónyuge, lugar donde vive (tipo de vivienda, hace cuanto (sic) vive allí, dirección y teléfono su ocupación, nombre de le (sic) empresa donde trabaja, antigüedad en la empresa, cargo, clase de remuneración, dirección de la empresa, teléfono del empleador, remuneración devengada), información financiera del solicitante y referencias personales.

Como soporte de ello, aportó copia del “CONTRATO DE FINANCIACIÓN MEDIANTE LA UTILIZACIÓN DE LA TARJETA DE CRÉDITO CODENSA No. xxxxxxxxxxxxx8, del cual se extrae el siguiente fragmento, el cual señala, que: 6 Respuesta al requerimiento de información por parte de la sociedad investigada, radicado el día 14 de mayo de 2019, visible en el expediente bajo el consecutivo número 19-008025-00006-0001.

Escrito de descargos presentado por el apoderado especial de la sociedad investigada el día 30 de diciembre de 2019, visible en el expediente bajo el consecutivo número 19-008025-00014-0001. Respuesta al requerimiento de información por parte de la sociedad investigada, radicado el día 14 de mayo de 2019, visible en el expediente bajo el consecutivo número 19-008025-00006-0001.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 10, Ahora bien, para una mayor ilustración de los hechos objeto de investigación, la sociedad denunciante aportó copia de la petición radicada por CRC OUTSOURCING S.A.S., a través de la cual solicitó información de la Titular, en los siguientes términos: Vale la pena resaltar que, según lo señala la sociedad denunciante, CRC OUTSOURCING S.A.S. replicó el mismo formato en seis oportunidades, con el objeto de obtener información de la señora XXXX XXXXXXXX a través de las peticiones remitidas a su empleador los días 18 de mayo de 2017, 07 de septiembre de 2017, 04 de enero de 2018, 24 de enero de 2018, 20 de septiembre de 2018 y 08 de enero de 2019.

En referencia a estas peticiones, el apoderado de la sociedad CRC OUTSOURCING S.A.S. afirmó que, “Como se dijo, el primer cargo se hace consistir en que la sociedad investigada solicitó a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A. información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin que se evidenciara que haya acreditado la obtención de la autorización previa expresa e informada por parte de XXXXX XXXXXXXX XXXX XXXXXXXX para el tratamiento de sus datos personales.

En la manera en que se formuló el cargo, la conducta atribuida a CRC OUTSOURCING SAS, resulta atípica. El solo hecho de solicitar la información, sin que se hubiese suministrado dicha información y sin obtener previamente la autorización del titular, no configura una vulneración del deber establecido a cargo del Responsable del Dato. La autorización se requiere cunado (sic) efectivamente se adelanta alguna actividad que implica el tratamiento de datos, como lo es la recolección, el almacenamiento, uso o circulación de la información. No existiendo el tratamiento de datos mal puede exigirse autorización alguna.

Lo anterior se concluye de la misma definición de “autorización” que trae el literal a.) del artículo 3 de la Ley 1581 de 2012. Esta norma indica que la autorización es “el consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.” La “autorización” tiene una relación de finalidad con el tratamiento.

En otras palabras se da la autorización para que pueda efectuarse válidamente el tratamiento. Si no existe tratamiento no es posible predicar la necesidad de autorización alguna por lo que la conducta atribuida a CRC OUTSOURCING SAS, resulta atípica y en consecuencia no punible.” Igualmente, indicó que el correo al cual fueron remitidas las peticiones es corporativo y que este es un dato de naturaleza pública, en la medida que, “Ahora bien, los correos a los que se enviaron “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 11, las peticiones a GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S son direcciones electrónicas de la sociedad de público conocimiento.

Téngase en cuenta que el mismo quejoso manifiesta en su denuncia que se trata de correos institucionales de la compañía. En otras palabras, las direcciones de correo electrónico constituyen un dato público de la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S, que tiene habilitado para recibir correspondencia. Por tal motivo, para enviar un mensaje electrónico a dicho correo electrónico no se requería autorización alguna.” Frente a los argumentos en cita, procede este Despacho a precisar que de la lectura de la Ley Estatutaria 1581 de 2012, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados; razón por la cual, no es del recibo de esta Dirección que, la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada, toda vez que ello significaría dejar de lado los cimientos que erigen la protección de los datos personales de la Titular de la información. Lo anterior, en línea con lo expuesto por la Corte Constitucional en la sentencia C-748 de 2011, en relación a los principios a que está sometido el poder sancionador del Estado en materia administrativa, así: “El poder sancionador estatal ha sido definido como un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, por lo que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.” En cuanto al segundo argumento respecta, resulta imperioso para esta Dirección resaltar que, el objeto de la presente investigación administrativa consiste en determinar la ilegalidad del tratamiento de los datos de la señora XXXXXXXXXXXXXXXXXXXXXXXX, y no de la dirección de correo electrónico vinculada a la empresa al cual fueron remitidas las peticiones que dieron lugar a la denuncia presentada por la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S Así, para el caso que nos ocupa, se tiene que una vez analizados los hechos señalados por la sociedad denunciante, así como los argumentos expuestos y las pruebas aportadas por CRC OUTSOURCING S.A.S., se tiene que la sociedad investigada solicitó en varias oportunidades, mediante peticiones de fecha 18 de mayo de 2017, 07 de septiembre de 2017, 04 de enero de 2018, 24 de enero de 2018, 20 de septiembre de 2018 y 08 de enero de 2019, a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin que se evidenciara que la sociedad investigada haya acreditado la obtención de la autorización, previa expresa e informada por parte de la Titular de la información para revelar su comportamiento crediticio a terceros, en el particular, a su empleador.

Situación que no resulta menor, ya que como lo expuso la Corte Constitucional, al referirse a la clasificación de los datos personales, el dato crediticio es un dato semiprivado, cuyo conocimiento o divulgación se encuentra sujeto al cumplimiento de los preceptos expuestos en la Ley Estatutaria. A continuación, se transcribe un extracto de la sentencia C-748 de 2011: “En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato.

El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 12, Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohíbe con algunas excepciones en el artículo 6 del proyecto.

Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: (…) g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.

(…).” Igualmente, resulta imperioso destacar que, la inclusión de la leyenda “Favor notificar al Titular”, en las peticiones incoadas no suple en modo alguno la autorización cualificada conforme a lo previsto en el artículo 9 de la Ley 1581 de 2012. Como consecuencia de lo anterior, esta Dirección encuentra que la sociedad investigada incumplió con el deber establecido en el literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá una sanción pecuniaria de OCHENTA Y DOS MILLONES OCHOCIENTOS NOVENTA Y TRES MIL NOVENTA Y SEIS PESOS M/CTE ($82.893.096), equivalentes a DOS MIL TRESCIENTAS VEINTIOCHO (2.328) Unidades de Valor Tributario.

Así mismo, en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se procederá a impartir una orden administrativa a la sociedad investigada, consistente en abstenerse de utilizar la información obtenida con ocasión de la gestión de recuperación de cartera, para finalidades que no hayan sido previamente autorizadas por los titulares.

De esta manera, deberá cerciorarse de contar con la autorización previa, expresa e informada para revelar a terceros, datos relativos al cumplimiento de las obligaciones que administra. 9.2.2. Respecto del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada El artículo 17 de la Ley 1581 de 2012 señala, que: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: HOJA N 13, “Por la cual se impone una sanción administrativa y se imparte una orden” “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…).9 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 14, de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Frente a este cargo, se tiene que la sociedad investigada aceptó la comisión de la conducta endilgada y expuso, entre otros argumentos, que: “2.2. ACEPTACIÓN PARCIAL DEL SEGUNDO DE LOS CARGOS. Manifiesta la Superintendencia de Industria y Comercio en el acto de formulación de cargos que dentro de la información y las pruebas remitidas por CRC OUTSOURCING SAS “no se evidencia que se haya informado de manera previa, clara y expresa a la Titular XXXXX XXXXXXXX XXXX XXXXXXXX acerca de las finalidades del tratamiento al que serían sometidos sus datos personales para contactar a su empleador GESTIÓN Y DISEÑOS ELÉCTRONICOS S.A., en lo relativo a un crédito adquirido previamente por la titular, ni para realizar gestiones de cobranza a través del envío de comunicaciones.” Este cargo se acepta.

Frente al incumplimiento del deber de información y obtener la autorización en los términos señalados en el segundo de los cargos mi representada se compromete a tomar los correctivos necesarios. Teniendo en cuenta que se está aceptando el segundo cargo, de manera respetuosa solicito a la Superintendencia que de acuerdo a lo dispuesto en el literal f.) del artículo 24 de la Ley 1581 de 2012, se tenga como un factor de atenuación de la responsabilidad de CRC OUTSOURCING SAS, a fin de que se ordenen los correctivos pertinentes absteniéndose de imponer sanción. Así mismo solicito se tengan como causales atenuantes de responsabilidad las siguientes: (i) No existir beneficio económico derivado de la infracción. (ii) La sociedad CRC OUTOSURCING SAS, carece de antecedentes por faltas relativas al habeas data, comprometiéndose formalmente a adoptar los correctivos necesarios para que la situación anómala no se vuelva a repetir.

“Por la cual se impone una sanción administrativa y se imparte una orden” (iii) (iv) HOJA N 15, Se ha colaborado con la investigación adelantada por esa Superintendencia. Tampoco se ha presentado renuencia a cumplir con los requerimientos de ese Despacho.” Expuesto lo anterior, se observa que no obra prueba que demuestre que la sociedad CRC OUTSOURCING S.A.S., le haya informado a la Titular acerca de las finalidades del Tratamiento al que serían sometidos sus datos personales, así como tampoco pieza probatoria que acredite que la sociedad investigada le informó a la señora XXXX XXXXXXXX que sus datos iban a ser expuestos con el fin de enviar comunicaciones, entre terceros, en este caso a su empleador para gestión del cobro de la obligación a su cargo, situaciones que van en contravía directa de lo dispuesto en el literal a) del artículo 12 de la Ley 1581 de 2012 y que, adicionalmente, viola de manera clara el derecho a la intimidad de la ciudadana.

No obstante lo anterior, esta Dirección encuentra que la sociedad investigada aceptó la comisión de la infracción frente al deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

Como consecuencia de esta aceptación, señaló que “Teniendo en cuenta que se está aceptando el segundo cargo, de manera respetuosa solicito a la Superintendencia que de acuerdo a lo dispuesto en el literal f.) del artículo 24 de la Ley 1581 de 2012, se tenga como un factor de atenuación de la responsabilidad de CRC OUTSOURCING SAS, a fin de que se ordenen los correctivos pertinentes absteniéndose de imponer sanción. Así mismo solicito se tengan como causales atenuantes de responsabilidad las siguientes: (i) (ii) (iii) (iv) No existir beneficio económico derivado de la infracción. La sociedad CRC OUTOSURCING SAS, carece de antecedentes por faltas relativas al habeas data, comprometiéndose formalmente a adoptar los correctivos necesarios para que la situación anómala no se vuelva a repetir.

Se ha colaborado con la investigación adelantada por esa Superintendencia. Tampoco se ha presentado renuencia a cumplir con los requerimientos de ese Despacho.” En referencia a esta solicitud, esta Dirección le recuerda a la sociedad investigada lo previsto en artículo 24 de la ley 1581 de 2012, que, establece exactamente lo siguiente: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)” (Negrilla fuera de texto) Por lo transcrito, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción original.

Al respecto, la Corte Constitucional en la Sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” De acuerdo con lo expuesto, al evidenciar que para el presente caso la sociedad investigada no incurrió en ninguno de los literales b), c), d) y e), esta Superintendencia no los tendrá en cuenta para efectos de tasar el monto final de la sanción. En cuanto a los argumentos expuestos por la sociedad investigada en torno a la aplicación del criterio de atenuación contenido en el literal f) del artículo en cita y habida cuenta de la aceptación del segundo cargo, en los términos expuestos en líneas precedentes, este criterio de atenuación “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 16, se tendrá en cuenta para graduar la sanción, de conformidad con lo dispuesto en el artículo 24 de la Ley Estatutaria 1581 de 2012.

Como quiera que es claro que la sociedad investigada vulneró el derecho de habeas data de la Titular, respecto a la vulneración del deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHENTA Y DOS MILLONES OCHOCIENTOS NOVENTA Y TRES MIL NOVENTA Y SEIS PESOS M/CTE ($82.893.096), equivalentes a DOS MIL TRESCIENTAS VEINTIOCHO (2.328) Unidades de Valor Tributario.

No obstante lo anterior y habida cuenta de la aceptación del segundo cargo por parte de CRC OUTSOURCING S.A.S., en los términos expuestos en párrafos anteriores, esta Dirección aplicará el criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 y, en consecuencia, procederá a reducir la sanción impuesta a CUARENTA Y UN MILLONES CUATROCIENTOS CUARENTA Y SEIS MIL QUINIENTOS CUARENTA Y OCHO PESOS M/CTE ($41.446.548), equivalentes a MIL CIENTO SESENTA Y CUATRO (1.164) Unidades de Valor Tributario.

DÉCIMO: Imposición y graduación de la sanción 10.1 Monto de la sanción Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”10 De este modo, el operador jurídico en materia de protección de datos personales debe, en primera medida analizar la dimensión del daño o peligro al/los interés(es) jurídico(s) tutelado(s) así como la obtención de un posible beneficio económico; la resistencia, negativa u obstrucción a la acción investigadora, en concurrencia con otros factores tales como la capacidad económica del investigado, la reincidencia en la comisión de la infracción, y, por último la colaboración del investigado para el esclarecimiento de los hechos objeto de la investigación. 11 También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio, y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Finalmente, se tendrá en cuenta la conducta de la investigada durante el trámite de la acción administrativa. 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Artículo 24. Criterios para graduar las sanciones.

Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 17, 10.1.1.1. Para el caso que nos ocupa, la sociedad investigada solicitó en varias oportunidades, mediante peticiones de fecha 18 de mayo de 2017, 07 de septiembre de 2017, 04 de enero de 2018, 24 de enero de 2018, 20 de septiembre de 2018 y 08 de enero de 2019, a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin contar con la autorización, previa expresa e informada por parte de la Titular de la información para revelar su comportamiento crediticio a terceros, en el particular, a su empleador.

Por tal motivo, se encuentra que la sociedad investigada vulneró el deber contenido en el literal b) del artículo 17 de la Ley 1581 del 20129, en concordancia con lo dispuesto en el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, por lo que se impondrá como sanción una multa de OCHENTA Y DOS MILLONES OCHOCIENTOS NOVENTA Y TRES MIL NOVENTA Y SEIS PESOS M/CTE ($82.893.096), equivalentes a DOS MIL TRESCIENTAS VEINTIOCHO (2.328) Unidades de Valor Tributario.

Unidades de Valor Tributario. 10.1.1.2 Así mismo, es claro que la sociedad investigada vulneró el derecho de habeas data de la Titular, asociado al deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHENTA Y DOS MILLONES OCHOCIENTOS NOVENTA Y TRES MIL NOVENTA Y SEIS PESOS M/CTE ($82.893.096), equivalentes a DOS MIL TRESCIENTAS VEINTIOCHO (2.328) Unidades de Valor Tributario.

No obstante lo anterior y habida cuenta de la aceptación de la infracción respecto del segundo cargo por parte de CRC OUTSOURCING S.A.S., en los términos expuestos en párrafos anteriores, esta Dirección aplicará el criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 y, en consecuencia, procederá a reducir la sanción impuesta a CUARENTA Y UN MILLONES CUATROCIENTOS CUARENTA Y SEIS MIL QUINIENTOS CUARENTA Y OCHO PESOS M/CTE ($41.446.548), equivalentes a MIL CIENTO SESENTA Y CUATRO (1.164) Unidades de Valor Tributario. 10.1.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la investigada, en el escrito de descargos presentado el día 30 de diciembre de 2019, reconoció la comisión del deber contemplado en literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, indicando expresamente que, “Manifiesta la Superintendencia de Industria y Comercio en el acto de formulación de cargos que dentro de la información y las pruebas remitidas por CRC OUTSOURCUNG SAS “no se evidencia que se haya informado de manera previa, clara y expresa a la Titular XXXXX XXXXXXXX XXXX XXXXXXXX acerca de las finalidades del tratamiento al que serían sometidos sus datos personales para contactar a su empleador GESTIÓN Y DISEÑOS ELÉCTRICOS S.A., en lo relativo un crédito adquirido previamente por la titular, ni para realizar gestiones de cobranza a través del envío de comunicaciones.” Este cargo se acepta.” 12 10.1.3 Otros criterios de graduación Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. 12 Escrito de descargos presentado por el apoderado especial de la sociedad investigada el día 30 de diciembre de 2019, visible en el expediente bajo el consecutivo número 19-008025-00014-0001.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 18, DÉCIMO PRIMERO: CONCLUSIÓN Con fundamento en lo expuesto, a juicio de esta Dirección, la sociedad CRC OUTSOURCING S.A.S. vulneró el precepto normativo contenido en el literal b) del artículo 17 de la Ley 1581 del 20129, en concordancia con el en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, al no haber acreditado la obtención de la autorización, previa expresa e informada por parte de la Titular de la información para revelar un dato semiprivado, correspondiente al comportamiento de pago de un crédito.

De igual modo, aceptó que vulneró la disposición señalada en el literal c) del artículo 17 de la Ley 1581 de 2013, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, al no haber informado a la Titular de la información acerca de las finalidades del Tratamiento al que serían sometidos sus datos personales.

Por esta razón, se impondrá como sanción una multa de CIENTO VEINTICUATRO MILLONES TRESCIENTOS TREINTA Y NUEVE MIL SEISCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($124.339.644) equivalentes a TRES MIL CUATROCIENTAS NOVENTA Y DOS (3.492) Unidades de Valor Tributario a la sociedad CRC OUTSOURCING S.A.S. Así mismo, en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se procederá a impartir una orden administrativa a la sociedad investigada, consistente en abstenerse de utilizar la información obtenida con ocasión de la gestión de recuperación de cartera, para finalidades que no hayan sido previamente autorizadas por los titulares.

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad CRC OUTSOURCING S.A.S. identificada con el Nit. 830.109.862-3 de CIENTO VEINTICUATRO MILLONES TRESCIENTOS TREINTA Y NUEVE MIL SEISCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($124.339.644) equivalentes a TRES MIL CUATROCIENTAS NOVENTA Y DOS (3.492) Unidades de Valor Tributario, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y el literal c) del artículo 17 de la Ley 1581 de 2013, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, según lo expuesto en la presente resolución.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR una orden administrativa a la sociedad CRC OUTSOURCING S.A.S. identificada con el Nit. 830.109.862-3 de abstenerse de utilizar la información obtenida con ocasión de la gestión de recuperación de cartera, para finalidades que no hayan sido previamente autorizadas por los titulares. De esta manera, deberá cerciorarse de contar con la autorización previa, expresa e informada para revelar a terceros, datos relativos al cumplimiento de las obligaciones que administra.

ARTÍCULO TERCERO: Notificar el contenido de la presente resolución a la sociedad CRC OUTSOURCING S.A.S. identificada con el Nit. 830.109.862-3 a través de su representante legal y de su apoderado, en calidad de investigada, entregándoles copia de la misma e informándoles “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 19, que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S, identificada con el Nit. 860.031.282-3 el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 16 SEPTIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 20, NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: CRC OUTSOURCING S.A.S. Nit. 830.109.862-3 SANDRA FANERY AGUIRRE SANDOVAL C.C. No. 51.721.782 Cra 7 No. 155 C – 30 Centro Empresarial North Point Torre E P 26 Bogotá D.C. alex.russo@crc.com.co Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX COMUNICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S Nit 860.031.282-3 CESAR AUGUSTO PUCCINI LIZARAZO C.C. No. 79.504.708 Calle 105 No. 18 A - 20 Bogotá D.C. info@gdel.com.co Apoderado: Identificación:

Resolución sancionatoria N° 56699 de 2020

CONSIDERANDO

RESUELVE