Resolución sancionatoria N° 82147 de 2025

(14 de octubre de 2025) “Por la cual se impone una sanción administrativa” Radicado 22-342892 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la denuncia presentada por la titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, identificada con cédula número XXXXXXXX, por medio de comunicación con radicado número 22-342892-0 del 31 de agosto de 2022, en la que manifestó que la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368-7, consultó su historia de crédito sin contar con su autorización.

SEGUNDO: Que, esta Superintendencia tuvo conocimiento de la denuncia presentada por la titular XXXXXXXXXXXXXXXXXX, identificada con cédula número XXXXXXXXX, por medio de comunicación con radicado número 22365811-0 del 15 de septiembre de 2022, en la que manifestó que la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368-7, consultó su historia de crédito el día 24 de mayo de 2022 sin contar con su autorización.

TERCERO: Que, el Grupo de Trabajo de Investigaciones Administrativas, requirió al Operador de información Experian Colombia S.A., mediante oficio con radicado número 22-342892-6 del 10 de octubre de 2022, para que informara “(…) si la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.3687, realizó consultas a la historia de crédito de la Titular (…), identificada con C.C. No. (…), durante el mes de julio de 2022 (…)”.

El Operador de información Experian Colombia S.A. informó, mediante comunicación con radicado número 22-342892-14 del 18 de octubre de 2022, que “(…) la mencionada sociedad consulto (sic) el historial crediticio del titular en una (1) oportunidad, el día 06 de julio de 2022, bajo la huella de consulta CREDIBANCOOP. Vale la pena precisar que, dado que la consulta se realizó dentro de los últimos 6 meses, ésta a la fecha se visualiza en el historial crediticio (…)”.

CUARTO: Que, el Grupo de Trabajo de Investigaciones Administrativas, requirió al Operador de información Experian Colombia S.A., mediante oficio con radicado número 22-365811-5 del 23 de agosto de 2023, para que informara “(…) si la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.3687, realizó consultas durante el mes de mayo de 2022 a la historia de crédito del Titular (…)”.

El Operador de información Experian Colombia S.A. informó, mediante comunicación con radicado número 22-365811-12 del 30 de agosto de 2023, que “(…) la sociedad efectuó consulta al historial crediticio de la titular en una (1) oportunidad, el día 24 de mayo de 2022 bajo la huella CREDIBANCOOP. Vale la pena precisar que, dado que la consulta se realizó hace más de 6 meses, ésta a la fecha no se visualiza en el historial crediticio de la titular (…)”.

QUINTO: Que, requirió a la sociedad CREDIBANCOOP S.A.S., por medio de oficio con radicado número 22-342892-17 del 21 de febrero de 2023, para que informara sobre las finalidades de la consulta a la historia de crédito de la titular “Por la cual se impone una sanción administrativa” XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX. La sociedad CREDIBANCOOP S.A.S. manifestó, por medio de comunicación con radicado número 22-34289218 del 02 de marzo de 2022, lo siguiente: 5.1.

La finalidad de la consulta a la historia de crédito es conocer el estado de la vida crediticia de las personas y verificar si son aptos para tramitar créditos por libranzas para las entidades para las cuales trabaja. En el caso de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, la información de la vida crediticia fue solicitada por el señor XXXXXXXXXXX XXXXXXXXXXXXXXXX; esta solicitud fue allegada por medio de correo electrónico, desde otra ciudad diferente a su ubicación, y este a su vez la solicitó a través de un tercero XXXXXXXXXXXXXXXXXXXXXXXXXX. 5.2.

La sociedad afirmó que no cuenta con la autorización de consulta firmada por la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX porque contaban con la buena fe de la persona que hizo la solicitud de consulta y que posteriormente enviaría la autorización correspondiente; sin embargo, esta nunca fue allegada. Aclaró que la titular no ha realizado ningún trámite de crédito a través de CREDIBANCOOP S.A.S. debido a que la sociedad es una gestora e intermediaria, así como también resalta que no se ha solicitado ningún crédito a nombre de la titular con ninguna otra entidad financiera con la que tienen convenio de crédito de libranzas.

SEXTO: Que, esta Superintendencia requirió nuevamente a la sociedad CREDIBANCOOP S.A.S., por medio de oficio con radicado número 22-34289219 del 03 de noviembre de 2023, para que ampliara la información en el caso de la titular XXXXXXXXXXXXXXXXXXXXXXXXXXXX. La sociedad investigada manifestó, por medio de comunicación con radicado número 22-342892-21 del 21 de noviembre de 2023, lo siguiente: 6.1.

No tuvo conocimiento de si la titular XXXXXXXXXXXXXXXXXXXXXX XXXXXX solicitó o manifestó su intención de realizar el estudio con el fin de obtener un crédito. 6.2. La señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX contactó a la señora XXXXXXXXXXXXXX, quien es conocida de la señora XXXXX XXXXXXXX (asesora free lance de otra corporación), para que consultara su historia de crédito y conocer los reportes que tenía. La señora XXXXX XXXXXXXX le solicitó la consulta a la señora XXXXXXXXXXXXXXXXXX, quien la realizó con el usuario y contraseña de la sociedad, teniendo en cuenta que fue la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX quien solicitó expresamente la consulta. 6.3.

No puede considerarse como una fuga de información por parte de la señora XXXXXXXXXXXXXXXXXX, pues esta confió en la buena fe de la asesora que le indicó que se trataba de un favor para que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX accediera a su información crediticia. 6.4. La señora XXXXXXXXXXXXXXXXXX era la única persona autorizada para consultar, ingresar al banco de datos de datacrédito y obtener la información, teniendo bajo su custodia las claves de acceso a la plataforma administrada por Experian. 6.5.

La señora XXXXXXXXXXXXXXXXXX tenía como funciones: i) solicitar la autorización para la consulta de datos que se encontraban registrados en la base de datos de datacredito, ii) validar la identidad del solicitante, iii) revisar si la información arrojada en Datacrédito conlleva a una capacidad de endeudamiento, y iv) remitir al solicitante del crédito a la entidad con quien surgirá la relación crediticia. “Por la cual se impone una sanción administrativa” 6.6.

No existe contrato laboral o de vinculación en el que el corredor se encargue de hacer consultas, y por la naturaleza del contrato no existe una cláusula de confidencialidad.

SÉPTIMO: Que, el Grupo de Trabajo de Investigaciones Administrativas, requirió a la sociedad CREDIBANCOOP S.A.S., por medio de oficio con radicado número 22-365811-4 del 23 de agosto de 20231, para que informaran sobre la finalidad de la consulta y si contaba con la autorización de la titular para realizarla. La sociedad CREDIBANCOOP S.A.S. dio respuesta al requerimiento, por medio de comunicación con radicado número 22-365811-11 del 28 de agosto de 20232, en el que manifestó lo siguiente: 7.1.

No cuentan con la autorización otorgada por la titular XXXXXXXXXXXXX XXXXX para la consulta de su historia de crédito debido a que contaban con la buena fe de la persona que hizo la solicitud de consulta, quien no envió la autorización mencionada. 7.2. No se ha realizado ningún tipo de crédito a nombre de la titular en ninguna entidad financiera, debido que la sociedad CREDIBANCOOP S.A.S. son gestores e intermediarios. 7.3.

Validando en la base de datos, si se realizó una consulta a la historia de crédito de la titular, la cual fue solicitada por la señora XXXXXXXXXX XXXXXXXXXXXXXX, quien manifestó que el señor XXXXXXXXXXXXXXXXX XXXXXXXXX fue quien realizó la solicitud inicial por medio de Whatsapp. 7.4. La señora XXXXXXXXXXXXXXXXXXXXXXXXX indicó que también actuó de buena fe y la finalidad de la consulta fue validar la vida crediticia de la titular en ejercicio de sus labores, puesto que trabaja recuperando la vida crediticia de sus clientes, eliminado los reportes en las centrales de riesgo. 7.5.

Manifestó que la sociedad es un outsourcing que gestiona créditos por libranzas para pensionados y empleados públicos que tengan convenios con las entidades para las cuales trabaja, la sociedad no presta dinero de manera directa.

OCTAVO: Que, con el fin de ampliar la información remitida por la sociedad CREDIBANCOOP S.A.S., el Grupo de Trabajo de Investigaciones Administrativas requirió nuevamente a la sociedad, por medio de oficio con radicado número 22-342892-13 del 16 de abril de 2024, para que informara sobre los resultados obtenidos de la investigación realizada al interior de la sociedad cuando tuvo conocimiento del acceso no autorizado por parte de uno de sus asesores.

Al respecto, la sociedad manifestó, por medio de comunicación con radicado número 22-365811-15 del 30 de abril de 2024, lo siguiente: 8.1. La asesora XXXXXXXXXXXXXX hizo la solicitud de consulta de la historia de crédito de la titular XXXXXXXXXXXXXXXXXXX, por medio de whataspp. 8.2. La sociedad CREDIBANCOOP S.A.S. trabaja bajo la modalidad de corretaje, en la cual los corredores asociados a la empresa contactan a los usuarios interesados en los créditos por libranza, la sociedad realiza la consulta o estudio de crédito, solicita la autorización para la consulta en las centrales de riesgo y dirige la información a la entidad que actuará como acreedor. 8.3.

La sociedad no tuvo conocimiento de si la titular XXXXXXXXXXXXX XXXXX solicitó o manifestó su intención de contratar algún crédito. Contenido dentro del radicado número 22-342892-40 del 27 de febrero de 2025. Página 2. Contenido dentro del radicado número 22-342892-40 del 27 de febrero de 2025. Página 2. “Por la cual se impone una sanción administrativa” 8.4.

La señora XXXXXXXXXXXXXX, quien se desempeñaba como asesora freelance de otra corporación, contactó a la titular para explicarle como se llegó al proceso de su consulta, y le indicó que XXXXXXXXXXX fue quien solicitó la consulta y tenía su autorización. 8.5. En el desarrollo de la investigación interna realizada se encontró que la historia de crédito de la titular fue consultada el 24 de mayo de 2022.

La señora XXXXXXXXXXXXX recibió un llamado de atención, quien fue implicada en la consulta de la historia de crédito, y manifestó que se realizó la consulta como un favor a un tercero que supuestamente tenía la autorización. Una vez se conoció la situación, la sociedad dio por terminado el contrato con el Operador de información Experian Colombia S.A. 8.6.

La única persona que se encontraba autorizada para acceder a la información de los Operadores de información y quien tenía la custodia de las claves de acceso a la plataforma de Experian era la señora XXXXXX XXXXXXXXXXXX, quien ostenta la calidad de socia de la empresa y dentro de sus funciones estaba la de solicitar la autorización para la consulta. 8.7.

Debido a que la sociedad trabaja bajo la modalidad de corretaje, no existe vínculo laboral con los corredores, pues ellos se encargan de poner en contacto al consumidor que desea obtener el crédito con la empresa como colocadora de créditos.

NOVENO: Que, debido a la presunta vulneración de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368-7, este Despacho decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución N.° 38938 del 17 de julio de 2024, por medio de la cual se formuló un cargo único a la sociedad en mención, por la presunta infracción a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.

DÉCIMO: Que, la Resolución N.° 38938 del 17 de julio de 2024 le fue notificada a la sociedad CREDIBANCOOP S.A.S. de forma electrónica el día 18 de julio de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-342892-35 del 22 de julio de 2024, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación al denunciante.

DÉCIMO PRIMERO: Que, una vez vencido el término otorgado por este Despacho para aportar el escrito de descargos, se evidencia en el expediente que la sociedad CREDIBANCOOP S.A.S. guardó silencio.

DÉCIMO SEGUNDO: Que, mediante la Resolución N.° 6177 del 19 de febrero de 2025, se incorporaron las pruebas allegadas a la presente actuación administrativa. Las pruebas incorporadas son las siguientes: 12.1. Escrito de denuncia, junto anexos, radicado ante esta Superintendencia el 31 de agosto de 2022, bajo el número 22-342892-03. 12.2. Requerimiento de información al Operador de información Experian Colombia S.A. por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22-342892-6 de fecha 10 de octubre de 20224.

Radicado número 22-342892-0 del 31 de agosto de 2022. Página 1. Radicado número 22-342892-6 del 10 de octubre de 2022. Páginas 1-2. “Por la cual se impone una sanción administrativa” 12.3. Requerimiento de información al Operador de información Cifin S.A.S. por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22-342892-7 de fecha 10 de octubre de 20225. 12.4.

Requerimiento de información al Operador de información Federación Nacional de Comerciantes - FENALCO por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22342892-8 de fecha 10 de octubre de 2022 6. 12.5. Requerimiento de información dirigido a la sociedad CREDIBANCOOP S.A.S. por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22-342892-9 de fecha 10 de octubre de 20227. 12.6.

Respuesta emitida por el Operador de información Experian Colombia S.A., junto con anexos, radicada el 18 de octubre de 2022, bajo el número 22342892-148. 12.7. Respuesta emitida por el Operador de información Cifin S.A.S., junto con anexos, radicada el 27 de octubre de 2022, bajo el número 22-342892-159. 12.8. Respuesta emitida por el Operador de información Federación Nacional de Comerciantes - FENALCO, junto con sus anexos, radicada el 1 de noviembre de 2022, bajo el número 22-342892-1610. 12.9.

Requerimiento de información dirigido a la sociedad CREDIBANCOOP S.A.S. por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22-342892-17 de fecha 21 de febrero de 202311. 12.10. Respuesta emitida por la sociedad CREDIBANCOOP S.A.S., junto con anexos, radicada el 2 de marzo de 2023, bajo el número 22-342892-1812. 12.11.

Requerimiento de información dirigido a la sociedad CREDIBANCOOP S.A.S. por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22-342892-19 de fecha 3 de noviembre de 202313. 12.12. Respuesta emitida por la sociedad CREDIBANCOOP S.A.S., junto con anexos, radicada el 21 de noviembre de 2023, bajo el número 22-342892-2114. 12.13.

Requerimiento de información dirigido a la sociedad CREDIBANCOOP S.A.S. por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, con número de radicado 22-342892-22 de fecha 15 de febrero de 202415. Radicado número 22-342892-7 del 10 de octubre de 2022. Páginas 1-2. Radicado número 22-342892-8 del 10 de octubre de 2022.

Páginas 1-2. Radicado número 22-342892-9 del 10 de octubre de 2022. Páginas 1-2. Radicado número 22-342892-14 del 18 de octubre de 2022. Páginas 1 y 3. Radicado número 22-342892-15 del 27 de octubre de 2022. Páginas 1 y 3. Radicado número 22-342892-16 del 01 de noviembre de 2022. Páginas 1 y 3. Radicado número 22-342892-17 del 21 de febrero de 2023.

Página 1. Radicado número 22-342892-18 del 02 de marzo de 2023. Páginas 1 y 2. Radicado número 22-342892-19 del 03 de noviembre de 2023. Páginas 1 y 2. Radicado número 22-342892-21 del 21 de noviembre de 2023. Páginas 1 – 14. Radicado número 22-342892-22 del 15 de febrero de 2024. Página 1. “Por la cual se impone una sanción administrativa” 12.14.

Respuesta emitida por la sociedad CREDIBANCOOP S.A.S., junto con anexos, radicada el 19 de febrero de 2024, bajo el número 22-342892-2416. La mencionada resolución le fue comunicada a la sociedad investigada el 19 de febrero de 2025, de conformidad con la certificación del 26 de febrero de 2025 expedida por la Coordinación del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 22-416065-39.

DÉCIMO TERCERO: Que, por medio de la Resolución N.º 6177 del 19 de febrero de 2025, se decretó la práctica de la siguiente prueba: “(…) • Trasladar de manera oficiosa las pruebas que se encuentran dentro del expediente número 22-365811 al presente expediente, a efectos de tener mayor material probatorio. Por consiguiente, las pruebas a trasladar son: - Consecutivos 0 al 15 del expediente número 22-365811.

(…)”.

DÉCIMO CUARTO: Que, por medio de comunicación con radicado 22-34289240 del 27 de febrero de 2025, se incorporaron las pruebas ordenadas por medio de la Resolución N.º 6177 del 19 de febrero de 2025.

DÉCIMO QUINTO: Que, por medio de comunicación con radicado número 22342892-41 del 15 de abril de 2025, se concluyó la etapa probatoria y se corrió traslado a la sociedad CREDIBANCOOP S.A.S. para que presentara los alegatos de conclusión.

DÉCIMO SEXTO: Que, la sociedad CREDIBANCOOP S.A.S. presentó sus alegatos de conclusión, por medio de comunicación con radicado 22-342892-42 del 02 de mayo de 2025, en el que manifestó lo siguiente: 16.1. El representante legal de la sociedad indicó que en la notificación no recibió resolución alguna donde se evidencié el nombre del denunciante y solo tiene conocimiento del cargo que infringió la sociedad. 16.2.

La sociedad investigada resalta que no presta servicios relacionados con créditos, de manera directa o indirecta, así como tampoco realiza reportes a las centrales de riesgo. 16.3. La sociedad indica que su actividad se centra en consultar, asesorar y direccionar clientes para la obtención de créditos con diferentes entidades financieras con las que si tienen contrato como asesores de crédito.

Una de las actividades que se realizan para el desarrollo de sus funciones es la consulta en las centrales de riesgos crediticias de los clientes eventuales para continuar con el proceso. 16.4. Afirman que tienen un contrato con el Operador de información Experian Colombia S.A. y que la sociedad investigada únicamente actúa como usuario de la información, es decir, solo realiza consultas a las historias de crédito en el desarrollo de su actividad económica, el cual se resume en estudiar y asesorar la viabilidad de los créditos.

Adicionalmente, indicó que el Operador de información no ha tenido quejas o reclamos sobre su desempeño como usuario de la información. 16.5. La sociedad investigada manifiesta que debido a que su actividad comercial principal es el estudio y asesoramiento de la viabilidad de la obtención de créditos con empresas privadas, consultar la historia de crédito de los potenciales clientes es pertinente para evaluar su Radicado número 22-342892-24 del 19 de febrero de 2024.

Página 1. “Por la cual se impone una sanción administrativa” comportamiento en el pago de las obligaciones, lo cual se encuentra incluido en los supuestos fácticos contenidos en el artículo 15 de la Ley 1266 de 2008. 16.6. En relación con la autorización para llevar a cabo la consulta a la historia de crédito, se llena un formato, de manera presencial o virtual.

Sin embargo, en algunos casos las consultas se desarrollaban por solicitud de asesores comerciales externos, como sucedió con el caso de la asesora XXXXXXXXXXXXXX. La sociedad resaltó que actuó de buena fe en tanto presumió que las consultas solicitadas por asesores externos contaban con la autorización por parte de los titulares. 16.7. Debido a los hechos presentados con la asesora externa mencionada, el contrato con el Operador de información Experian Colombia S.A. fue terminado, razón por la cual ya no se realiza este tipo de actividades.

DÉCIMO SÉPTIMO: Que, mediante la Resolución N.° 51462 del 30 de julio de 2025, se apertura nuevamente el periodo probatorio y se decretó la práctica de pruebas de la siguiente forma: “(…)

OCTAVO: Que, una vez realizada la revisión exhaustiva del expediente de la referencia, este Despacho advierte que no cuenta con los elementos probatorios suficientes para decidir sobre el presunto incumplimiento de los deberes imputados a la sociedad investigada; razón por la cual, se decretará de oficio las siguientes pruebas: • Oficiar al Grupo de Notificaciones y Certificaciones de la de envío y entrega del correo electrónico, con sus archivos adjuntos, enviado el día 18 de julio de 2024 a la sociedad CREDIBANCOOP S.A.S., por medio del cual se notificó de forma electrónica la Resolución N.º. 38938 del 17 de julio de 2024, la cual se encuentra contenida dentro del expediente número 22-342892.

(…)”.

DÉCIMO OCTAVO: Que, la coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, por medio de oficio con radicado número 22-342892-48 del 27 de agosto de 2025, remitió la información requerida.

DÉCIMO NOVENO: Que, por medio de oficio con radicado número 22-34289249 del 11 de septiembre de 2025, se corrió traslado a la sociedad investigada para que presentara sus alegatos de conclusión.

VIGÉSIMO: Que, una vez vencido el término otorgado por este Despacho para presentar los alegatos de conclusión, se evidencia en el expediente que la sociedad CREDIBANCOOP S.A.S. guardó silencio.

VIGÉSIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio frente a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

VIGÉSIMO SEGUNDO: Análisis del caso 22.1. Adecuación típica “Por la cual se impone una sanción administrativa” La Corte Constitucional mediante sentencia C-1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

(…)”17. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de la información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio. ii) El incumplimiento de lo señalado dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 18 de la Ley 1266 de 2008.

De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante y los argumentos expuestos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 22.2.

Valoración probatoria y conclusiones 22.2.1. Del deber de guardar reserva sobre la información que le sea suministrada El artículo 9 de la Ley 1266 de 2008 establece los deberes de los usuarios de la información, preceptuando en su numeral 1 lo siguiente: Corte Constitucional. Sentencia C-1011 de 2008. Octubre 16 de 2008. Expediente PE-029.

M.P. Jaime Córdoba Triviño. “Por la cual se impone una sanción administrativa” “(…) Artículo 9. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley.

(…)”. La Ley 1266 de 2008, en su artículo 9, señala los deberes de los usuarios de la información. En el numeral 1 del mencionado artículo se establece que los usuarios deben guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada.

Adicionalmente, cuando los datos no gozan de la calidad de ser públicos, toda persona que intervenga en el proceso de administración debe guardar reserva en el manejo de estos, pudiendo solo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la mencionada Ley. El ámbito de aplicación de la Ley 1266 de 2008 se circunscribe a las bases de datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos18.

Esta clase de información ha sido clasificada por la Corte Constitucional como semiprivada, puesto que su conocimiento y circulación son de interés para un grupo de personas o la sociedad en general; por ejemplo, para empresas que, aunque no pertenezcan al sector financiero, requieren acceder a estos datos para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente19.

En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente: “(…) La información semiprivada es aquel dato personal o impersonal que, al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los fines propios de sus funciones, o a través del cumplimiento de los principios de administración de datos personales.

(Negrilla fuera del texto original) (…)”. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de los titulares, gozan del principio de circulación restringida, lo cual indica que, si se permitiera un acceso libre, esto derivaría, en principio, en la violación a su derecho de habeas data; es por esto que el artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación restringida y de seguridad.

Así mismo, debe tenerse presente que las entidades que administran bases de datos deben igualmente garantizar que los datos de Ídem. La Corte Constitucional argumentó en la sentencia C-1011 de 2008 que el tratamiento de datos de carácter comercial, crediticio y financiero se justifica por un motivo de interés público que consiste en “(…) la protección de los recursos de intermediación y, por ende, del sistema financiero en su conjunto”.

Empero, esta justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos supuestos, habrá que concluir que los datos son semiprivados porque también interesan a un grupo de personas. Ídem.

“Por la cual se impone una sanción administrativa” las personas únicamente sean suministrados a su legítimo titular, razón por la cual se les han impuesto una serie de deberes encaminados a dicho fin, esto es, la restricción de la libre circulación del dato personal con la implementación de las medidas técnicas necesarias para garantizar la seguridad de la información evitando su adulteración, pérdida, consulta o uso no autorizado.

Conforme a lo anterior es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio, aun cuando dicha consulta se utilice para establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así: “(…) Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal.

En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes”.

(Negrilla fuera de texto original) “Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulación restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos.

Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo creditico.

(Negrilla fuera del texto original) (…)”. Aunado a lo anterior, se tiene que el artículo 15 de la Ley 1266 de 2008 señala las finalidades por las cuales los usuarios pueden acceder a la información de la siguiente manera: “Artículo 15. Acceso a La Información Por Parte De Los Usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. “Por la cual se impone una sanción administrativa” Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” (Negrilla fuera del texto original) No obstante, la Corte expresó el límite que tienen los usuarios para acceder a la información contemplada en la Ley 1266 de 2008, indicando que “(…) para el caso de los usuarios, la posibilidad de acceder al dato estará restringida tanto por la finalidad de acopio de la información autorizada por el titular del dato, como por el cumplimiento del principio de confidencialidad previsto en el artículo 4 de la norma estatutaria”.

(Negrilla fuera del texto original) En ese orden de ideas, queda claro que el acceso a los datos financieros de un titular por parte de los usuarios se limita únicamente a i) establecer y mantener una relación contractual, siempre y cuando, el titular de los datos lo hubiere solicitado, o ii) evaluar los riesgos de una relación contractual vigente, pues de no ser así, se requerirá contar con el consentimiento previo, expreso e informado del sujeto concernido.

En el caso concreto, se encontró que la Titular XXXXXXXXXXXXXXXXXXXXXX XXXXXXX, en su escrito de denuncia, señaló que la sociedad CREDIBANCOOP S.A.S. realizó una consulta a su historia de crédito el día 06 de julio de 2022 sin contar con su autorización20. Por su parte, la Titular XXXXXXXXXXXXXXXXXX, en su escrito de denuncia, también manifestó que la sociedad CREDIBANCOOP S.A.S. realizó una consulta a su historia de crédito el día 24 de mayo de 2022 sin contar con su autorización21.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló un cargo único por la presunta vulneración al deber de guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos y utilizar la información únicamente para los fines para los que le fue entregada, mediante la Resolución N.° 38938 del 17 de julio de 2024.

En el caso de la titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXX, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió al Operador de información Experian Colombia S.A., mediante oficio con radicado número 22-342892-6 del 10 de octubre de 2022, para que informara, entre otras cosas, “(…) si la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368- 7, realizó consultas a la historia de crédito de la Titular (…), identificada con C.C. No. (…), durante el mes de julio de 2022 (…)”.

El Operador de información Experian Colombia S.A. informó, mediante comunicación con radicado número 22-342892-14 del 18 de octubre de 2022, que “(…) la mencionada sociedad consulto (sic) el historial crediticio del titular en una (1) oportunidad, el día 06 de julio de 2022, bajo la huella de consulta CREDIBANCOOP. Vale la pena precisar que, dado que la consulta se realizó dentro de los últimos 6 meses, ésta a la fecha se visualiza en el historial crediticio (…)”.

En el caso de la titular XXXXXXXXXXXXXXXXXX, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió al Operador de información Experian Colombia S.A., mediante oficio con radicado número 22365811-5 del 23 de agosto de 2023, para que informara, entre otras cosas, “(…) si la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368- 7, realizó consultas durante el mes de mayo de 2022 a la historia de crédito del Titular (…)”.

Radicado número 22-342892-0 del 31 de agosto de 2022. Página 1. Contenido dentro del radicado número 22-342892-40 del 27 de febrero de 2025. Página 2. “Por la cual se impone una sanción administrativa” El Operador de información Experian Colombia S.A. informó, mediante comunicación con radicado número 22-365811-12 del 30 de agosto de 2023, que “(…) la sociedad efectuó consulta al historial crediticio de la titular en una (1) oportunidad, el día 24 de mayo de 2022 bajo la huella CREDIBANCOOP. Vale la pena precisar que, dado que la consulta se realizó hace más de 6 meses, ésta a la fecha no se visualiza en el historial crediticio de la titular (…)”.

Este Despacho considera pertinente aclarar que, a la luz de lo previsto en el literal d)22 del artículo 3 de la Ley Estatutaria 1266 de 2008, la sociedad CREDIBANCOOP S.A.S. tiene la calidad de usuario de la información en virtud de que la misma accedió al historial crediticio de: i) la titular XXXXX XXXXXXXXXXXXXXXXXXXXXXX, el día 06 de julio de 2022, y ii) de la titular XXXXXXXXXXXXXXXXXX, el día 24 de mayo de 2022.

En consecuencia, la sociedad investigada está obligada a cumplir una serie de requisitos legales para acceder a la información de acuerdo con lo establecido por la Ley Estatutaria 1266 del 2008. Respecto a lo anterior, el artículo 15 de Ley Estatutaria 1266 de 2008 prevé las situaciones en las cuales los Usuarios de la información pueden acceder a la misma.

La Corte Constitucional cuando estudió la norma en mención, mediante sentencia C-1011 del 16 de octubre de 2008, precisó lo siguiente: “(…) Al respecto, se parte de considerar que la finalidad de la administración de datos personales de contenido comercial y financiero es determinar el nivel de riesgo crediticio del sujeto concernido. En otras palabras, la actividad que realizan las centrales de riesgo es suministrar a los participantes del mercado económico información acerca de las posibilidades que una persona natural o jurídica incumpla en el pago de una obligación futura.

Así, la determinación del riesgo es una actividad previa al perfeccionamiento de contratos comerciales o de crédito entre el usuario de la información y el sujeto concernido. Esta comprobación es importante a la hora de determinar la legitimidad constitucional de la restricción al principio de libertad que propone un grupo de intervinientes.

Como se observa, el acceso a la información crediticia y comercial del sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral. Es decir, los usuarios del dato personal están interesados en conocer información de un cliente potencial específico, a fin de celebrar contratos también definidos. A su vez, ese cliente potencial también ha expresado su intención de acceder a determinado producto comercial o de crédito, lo que a motivado que la entidad o empresa correspondiente realice una investigación sobre su historial de cumplimiento.

Bajo esta perspectiva, para que exista necesidad del cálculo del riesgo crediticio debe concurrir un interés bilateral de las partes interesadas en el perfeccionamiento del contrato futuro. En este marco, la presunta eliminación del consentimiento del titular para la incorporación del dato financiero y crediticio a la base de datos, permitiría que los usuarios pudieran acceder a la información personal de todas las personas, incluso aquellas que no han mostrado interés en celebrar operaciones comerciales o de crédito con dichos usuarios.

Este escenario, a juicio de la Corte, constituye una expresión de abuso en el ejercicio del poder informático de los operadores y usuarios de la información. Ello es así puesto que si la justificación constitucional de la recolección de datos personales de carácter crediticio es que el direccionamiento de los recursos del crédito a quienes honran debidamente sus obligaciones crediticias es un factor relevante para el sostenimiento de la estabilidad financiera, un uso indiscriminado del dato, que no consulta esa necesidad de distribución adecuada de los recursos de crédito, Artículo 3°.

Definiciones. d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. “Por la cual se impone una sanción administrativa” sino otras finalidades desconocidas para el titular, desvirtúa esos objetivos y se torna contrario a la Constitución.” (Destacado fuera del texto original) (…)”.

Teniendo en cuenta lo expuesto, junto con la lectura integral y armónica del artículo 15 de la Ley Estatutaria 1266 de 2008 y del extracto jurisprudencial en cita, se concluye, en primer lugar, que es necesario que el Titular del dato consienta que el usuario pueda acceder a sus datos personales con miras a establecer o mantener una relación contractual.

El usuario no puede unilateralmente atribuirse dicha facultad. Lo anterior, conforme a lo dispuesto en los numerales 1.3. y 3.2. del artículo 6 de la Ley Estatutaria 1266 de 2008, cuyo texto ordena lo siguiente: “Artículo 6. Derechos de los Titulares de la Información. Los titulares tendrán los siguientes derechos: Frente a los operadores de los bancos de datos: 1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario.

(…) 1. Frente a los usuarios: 3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo previsto en la presente ley. (…)”. En segundo lugar, para la Corte Constitucional se constituye como una conducta abusiva “que los usuarios pudieran acceder a la información personal de todas las personas, incluso aquellas que no han mostrado interés en celebrar operaciones comerciales o de crédito con dichos usuarios”23.

Finalmente, una vez se esté habilitado para acceder a esa información, la misma solo se podrá utilizar para los fines indicados en el artículo 15 de la Ley 1266 de 2008. Si la finalidad de acceso no se encuentra dentro de las permitidas en la norma en cita, entonces el usuario deberá solicitar autorización para poder emplear los datos para otros propósitos diferentes a los establecidos en la regulación en comento.

En dicho sentido, señala la Corte Constitucional que “debe resaltarse que, si bien la norma permite que el consentimiento se preste en ‘forma general’, ello debe interpretarse de forma compatible con el principio de libertad, razón por la que tal modalidad de autorización deberá, en todo caso, manifestar la finalidad expresa respecto de la cual se autoriza el acceso a los datos personales por parte del usuario.

Así, dicha generalidad se predicará de las distintas finalidades autorizadas, sin que signifique la legitimidad de una cláusula abierta, que no identifique claramente los propósitos para el citado acceso por los usuarios. En efecto, si bien la norma hace referencia a “cualquier otra finalidad”, en todo caso exige que “se haya obtenido autorización por parte del titular de la información”24.

Visto lo anterior, es menester precisar el alcance del deber establecido en el numeral primero del artículo 9 de la Ley Estatutaria 1266 de 2008, el cual señala el deber de “[…] guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la Cfr. Corte Constitucional, sentencia C 1011 del 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.1.5.

Artículo 5º - Circulación de la información Ibidem. Considerando 3.4.6. Acceso a la información por parte de los usuarios (artículo 15). “Por la cual se impone una sanción administrativa” información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley […].” De la lectura del texto normativo en cita, se tiene que el numeral enuncia un deber consistente tanto en la obligación de “guardar reserva de la información suministrada por los operadores de los bancos de datos” como de “utilizar la información para los fines para los que le fue entregada”.

A continuación, este Despacho se referirá a estos, así: Al hablar de la obligación de reserva nos encontramos frente a una situación en la que se quiere mantener secreto sobre cierta información, la cual no es de naturaleza pública ni de acceso abierto e ilimitado; específicamente, se pretende evitar que la información sea conocida por cualquier persona.

Por eso, se imponen restricciones a su circulación y acceso, de manera que, esta solo pueda ser conocida por un grupo limitado de personas y mediante un acceso legal. Así las cosas, la obligación de reserva se vulnera de dos maneras: i) Cuando se accede lícitamente a la información, pero se difunde a terceros no autorizados; y ii) Cuando se conozca y acceda ilegalmente a la misma.

Es claro entonces que el usuario de la información no puede utilizar los datos para cualquier propósito, sino únicamente para las finalidades legítimas o autorizadas por el Titular. Previo al análisis concreto del caso, este Despacho considera pertinente aclarar, en primera medida, que la notificación de la Resolución N.º 38938 del 17 de julio de 2024 se dio de manera correcta, como bien se evidencia en el radicado número 22-342892-48 del 27 de agosto de 2025, donde el Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia aportó la notificación personal por medio electrónico enviada al señor FIDEL VEGA LIÑAN, como representante legal de la sociedad CREDIBANCOOP S.A.S., enviada el día 18 de julio de 2024, como se evidencia en la siguiente imagen: “Por la cual se impone una sanción administrativa” En el Acta de Envío y Entrega de Correo Electrónico se evidencia la siguiente información: “Por la cual se impone una sanción administrativa” En el Acta de Envío y Entrega de Correo Electrónico se evidencia que el correo electrónico fue enviado con el asunto ‘Notificaciones Electrónica: RESOLUCION No. 38938 de 17/07/20242048632’, el día 18 de julio de 2024 a las 10:51 a.m., con destino a la dirección de correo ‘credibancoop@gmail.com’, la cual se encuentra registrada en el Certificado de Existencia y Representación Legal de la sociedad para efectos de notificaciones judiciales.

Así mismo, en el acta se evidencia que como archivo adjunto se encontraba la copia de la Resolución N.° 38938 del 17 de julio de 2024 en su versión reservada, lo cual indica que en el acto administrativo adjunto se encontraban visibles los nombres de los titulares denunciantes en el presente caso. Por lo anterior, no es de recibo de esta Despacho que la sociedad investigada alegue que no fue notificada de manera correcta de la Resolución N.° 38938 del 17 de julio de 2024, pues como ya se evidenció anteriormente, esta notificación cumplió con la totalidad de los requisitos legales y no se vulneraron los derechos procesales de la sociedad investigada, pues esta pudo conocer la totalidad de la actuación y tuvo las oportunidades procesales para presentar sus descargos y alegatos de conclusión. Ahora bien, entrando en el análisis del caso, respecto de la titular XXXXX XXXXXXXXXXXXXXXXXXXXXXXX, la sociedad CREDIBANCOOP S.A.S. manifestó que la finalidad de la consulta a la historia de crédito es conocer el estado de la vida crediticia de las personas y verificar si son aptos para tramitar créditos por libranzas para las entidades para las cuales trabaja25.

En el caso de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXX, la información de la vida crediticia fue solicitada por el señor XXXXXXXXXXXXXXXXXXXXXXXXXX; esta solicitud fue allegada por medio de correo electrónico, desde otra ciudad diferente a su ubicación, y este a su vez la solicitó a través de un tercero XXXXX XXXXXXXXXXXXXXXXXXXX26. Radicado número 22-342892-18 del 02 de marzo de 2022.

Radicado número 22-342892-18 del 02 de marzo de 2022. “Por la cual se impone una sanción administrativa” La sociedad investigada afirmó que no cuenta con la autorización de consulta firmada por la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX porque contaban con la buena fe de la persona que hizo la solicitud de consulta y que posteriormente enviaría la autorización correspondiente; sin embargo, esta nunca fue allegada27.

Aclaró que la titular no ha realizado ningún trámite de crédito a través de CREDIBANCOOP S.A.S. debido a que la sociedad es una gestora e intermediaria, así como también resalta que no se ha solicitado ningún crédito a nombre de la titular con ninguna otra entidad financiera con la que tienen convenio de crédito de libranzas28. Así mismo, la sociedad investigada manifestó que la titular XXXXXXXXXXXXXX XXXXXXXXXXXXXX contactó a la señora XXXXXXXXXXXX, quien es conocida de la señora XXXXXXXXXXXXX (asesora free lance de otra corporación), para que consultara su historia de crédito y conocer los reportes que tenía. La señora XXXXXXXXXXXXX le solicitó la consulta a la señora XXXXXXXXXXXXXXXXXXX, quien la realizó con el usuario y contraseña de la sociedad, teniendo en cuenta que fue la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX quien solicitó expresamente la consulta29.

En el caso de la titular XXXXXXXXXXXXXXXXXX, la sociedad investigada manifestó que no cuentan con la autorización otorgada por la titular para la consulta de su historia de crédito debido a que contaban con la buena fe de la persona que hizo la solicitud de consulta, quien no envió la autorización mencionada. La consulta a la historia de crédito de la titular fue solicitada por la señora XXXXXXXXXXXXXXXXXXXXXXXXXX, quien manifestó que el señor XXXX XXXXXXXXXXXXXXXXXXXXXX fue quien realizó la solicitud inicial por medio de Whatsapp30.

De las pruebas contenidas en el expediente, se encuentra plenamente acreditado que la sociedad CREDIBANCOOP S.A.S. consultó la historia de crédito de la titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXX el día 06 de julio de 202231, y de la titular XXXXXXXXXXXXXXXXXX el día 24 de mayo de 202232. La sociedad CREDIBANCOOP S.A.S. afirmó que no cuenta con la autorización de las titulares XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX33 y XXXXXX XXXXXXXXXXXX34 para la consulta de su historia de crédito; no obstante, la sociedad investigada indicó que debido a que su actividad comercial principal es el estudio y asesoramiento de la viabilidad de la obtención de créditos con empresas privadas, se consultaba la historia de crédito de los potenciales clientes para evaluar su comportamiento en el pago de las obligaciones, lo cual se encuentra incluido en los supuestos fácticos contenidos en el artículo 15 de la Ley 1266 de 200835.

Ahora bien, corresponde a este Despacho determinar si la finalidad de las consultas referidas anteriormente se encuentran dentro de los supuestos contemplados en el artículo 15 de la Ley 1266 de 2008. Para ello, es importante determinar cuál es la actividad comercial que desarrolla la sociedad y de qué manera se llevan a cabo estas funciones.

Radicado número 22-342892-18 del 02 de marzo de 2022. Radicado número 22-342892-18 del 02 de marzo de 2022. Radicado número 22-342892-21 del 21 de noviembre de 2023. Radicado número 22-365811-11 del 28 de agosto de 2023. Contenido dentro del radicado número 22342892-40 del 27 de febrero de 2025. Radicado número 22-342892-14 del 18 de octubre de 2022.

Radicado número 22-365811-12 del 30 de agosto de 2023. Radicado número 22-342892-18 del 02 de marzo de 2022. Radicado número 22-365811-11 del 28 de agosto de 2023. Contenido dentro del radicado número 22342892-40 del 27 de febrero de 2025. Página 2. Radicado número 22-342892-42 del 02 de mayo de 2025. “Por la cual se impone una sanción administrativa” La sociedad CREDIBANCOOP S.A.S. aclaró que no otorga créditos de manera directa, así como tampoco reporta información ante las centrales de riesgo; su actividad principal es consultar, asesorar y direccionar a los clientes para la obtención de créditos con diferentes entidades financieras36.

Para el desarrollo de sus actividades empresariales, se consulta la historia de crédito de los eventuales clientes en la plataforma del operador de información Experian Colombia S.A para continuar con la asesoría37. La sociedad afirmó que trabaja bajo la modalidad de corretaje, de tal manera que los corredores asociados a la empresa contactan a los usuarios que se encuentran interesados en los créditos de libranza, la sociedad referida solicita la autorización para la consulta de la historia de crédito, realiza la consulta ante los operadores de información y dirige la información a la entidad que actuará como acreedor de la obligación38.

La autorización para la consulta al historial crediticio se realiza a través de un formato, de manera presencial o virtual39, cabe aclarar que dentro del expediente no obra prueba del mencionado formato. Adicionalmente, la sociedad manifestó que la única persona que tenía acceso a la plataforma de Experian Colombia S.A. con el usuario y contraseña era la señora XXXXXXXXXXXXXXXXXX, quien era socia de la empresa y dentro de sus funciones se encontraba la de solicitar la autorización para la consulta40.

En el desarrollo de una investigación interna realizada por la sociedad, se determinó que en el caso de la titular XXXXXXXXXXXXXXXXXXXXXXX XXXXXX, la asesora XXXXXXXXXXXXXXXXXXXXX indicó que recibió una solicitud de consulta de la historia de crédito de la titular por parte del señor XXXXXXXXXXXXXXXXXXXXXX por medio de correo electrónico, y la asesora le solicitó a la señora XXXXXXXXXXXXXXXXXX la consulta al historial crediticio 41.

Sin embargo, la misma sociedad investigada se contradice al afirmar, posteriormente, que fue la titular quien solicitó a través de un tercero la consulta a su historia de crédito, quien a su vez le solicitó la consulta a la señora XXXXX XXXXXXXXXXXX42. En el caso de la titular XXXXXXXXXXXXXXXXXX, la asesora XXXXXXXXX XXXXXXXXXXXX manifestó que solicitó la consulta a la historia de crédito como un favor para la señora XXXXXXXXXXX, quien manifestó tener la autorización por parte de la titular.

La asesora le pidió a la señora XXXXXXXXXXXXXXXXXX la consulta al historial crediticio de la titular, como se evidencia en la siguiente imagen43: Imagen N.°. 1. Tomada del radicado número 22-365811-15 del 30 de abril de 2024. En los dos casos, la asesora manifestó que solicitó las consultas con la buena fe de que el tercero que la pidió tenía la autorización otorgada por parte de las titulares.

Radicado número 22-342892-42 del 02 de mayo de 2025. Radicado número 22-342892-42 del 02 de mayo de 2025. Radicado número 22-365811-15 del 30 de abril de 2024. Radicado número 22-342892-42 del 02 de mayo de 2025. Radicado número 22-365811-15 del 30 de abril de 2024. Radicado número 22-342892-18 del 02 de marzo de 2022. Radicado número 22-342892-21 del 21 de noviembre de 2023.

Página 8. Radicado número 22-365811-15 del 30 de abril de 2024. Contenido dentro del radicado número 22-34289240 del 27 de febrero de 2025. Página 2. “Por la cual se impone una sanción administrativa” Si bien es cierto que el artículo 15 de la Ley 1266 de 2008 definió que los usuarios pueden acceder a la información financiera con la finalidad de “[…] establecer y mantener una relación contractual, cualquiera que sea su naturaleza […]”, en el expediente no obra prueba que demuestre que las titulares XXXXX XXXXXXXXXXXXXXXXXXXXXXXX y XXXXXXXXXXXXXXXXXX solicitaron alguno de los servicios prestados por parte de la sociedad CREDIBANCOOP S.A.S., así como tampoco se demostró que las titulares tuvieran la intención de contratar un servicio crediticio con alguna otra organización. La norma es clara en indicar que se podrán realizar consultas, cuando el fin sea establecer y mantener una relación contractual como un hecho cierto, más no como una situación hipotética; pues de lo contrario, se estaría legitimando cualquier consulta amparada en la presunta configuración de una relación comercial.

La misma sociedad investigada afirmó que desconoce si la señora XXXXX XXXXXXXXXXXXXXXXXXXXXXX solicitó o si quiera manifestó su intención de acceder a un crédito44, lo mismo reconoció en el caso de la señora XXXXXX XXXXXXXXXXXX45; razón por la cual no encuentra este Despacho que la consulta realizada a su historia de crédito se haya realizado con las finalidades contenidas en el artículo 15 de la Ley 1266 de 2008.

El ejercicio de su actividad comercial, y en su calidad de usuario de la información, de conformidad con lo expresado por la Corte Constitucional colombiana46, la sociedad CREDIBANCOOP S.A.S. no puede abusar de los privilegios que le otorga la ley, de tal manera que no puede acceder a la información de todas las personas e incluso consultar el historial crediticio de aquellas personas que no han manifestado su intención de celebrar operaciones comerciales con la sociedad.

Así mismo, la Corte Constitucional47 fue clara en afirmar que para que exista una necesidad de cálculo del riesgo crediticio debe concurrir el interés bilateral de las partes, en este caso, no se encontró acreditado que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX y la señora XXXXXXXXXXXXXXXXXX hayan manifestado a la sociedad su intención de perfeccionar un vínculo comercial.

Adicionalmente, la sociedad CREDIBANCOOP S.A.S. afirmó que no contaba con la autorización para la consulta otorgada por los titulares, razón por la cual tampoco se cumple con lo establecido en el artículo 15 de la Ley 1266 de 2008, el cual indica que la autorización se requiere cuando la finalidad sea diferente a las contempladas en la norma.

Por otra parte, este Despacho considera pertinente aclarar que aun cuando los corredores no tienen una vinculación laboral con la sociedad CREDIBANCOOP S.A.S., quien tenía el dominio y la responsabilidad sobre el usuario de consulta en la plataforma de Experian Colombia S.A. era la sociedad investigada, pues la señora XXXXXXXXXXXXXXXXXX era quien tenía en su custodia el usuario y las claves de acceso a la plataforma operada por Experian Colombia S.A.; razón por la cual, no puede eximir su responsabilidad argumentando que actuaron de buena fe y que un tercero era quien tenía la autorización para la consulta de la historia de crédito de los titulares.

En consecuencia, y con el objeto de evitar vulneraciones al derecho de Habeas Data de los titulares, este Despacho impondrá una sanción pecuniaria.

VIGÉSIMO TERCERO: Imposición y graduación de la sanción 23.1. Facultad sancionatoria Radicado número 22-342892-21 del 21 de noviembre de 2023. Radicado número 22-365811-15 del 30 de abril de 2024. Cfr. Corte Constitucional, sentencia C 1011 del 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.1.5. Artículo 5º - Circulación de la información Cfr. Corte Constitucional, sentencia C 1011 del 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.1.5.

Artículo 5º - Circulación de la información “Por la cual se impone una sanción administrativa” La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1848. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 249, 450 y 651 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo52.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”53 (Negrita fuera del texto original) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional54.

Su cumplimiento se mide en Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida) “Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) “Artículo 6.

Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “Artículo 313.

Unidad de Valor Básico -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con “Por la cual se impone una sanción administrativa” anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVBconforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

En cumplimiento del inciso segundo del citado artículo, el MINISTERIO DE HACIENDA Y CRÉDITO PÚBLICO expidió la Resolución N.º 3914 del 17 de diciembre de 2024, estableciendo el valor de la UVB para el año 2025, en un monto de ONCE MIL QUINIENTOS CINCUENTA Y DOS PESOS ($11.552). De esta manera el monto de la sanción será calculado en los términos de la norma antes mencionada.

De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional55 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”56 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008, con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa” impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros57. La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad; por esta razón, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”58. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia59.

La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 1860 de la misma ley. Así mismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 19. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Por la cual se impone una sanción administrativa” b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 23.1.1.

Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008, intereses que fueron ampliamente afectados por parte de la sociedad CREDIBANCOOP S.A.S., en la medida en que no logró demostrar que las consultas a las historias de crédito de las titulares se realizaron bajo las finalidades establecidas en el artículo 15 de la Ley 1266 de 2008, así como tampoco contaba con la autorización de las titulares para la consulta.

En el presente caso quedó demostrado que la sociedad CREDIBANCOOP S.A.S. consultó el historial crediticio de la titular XXXXXXXXXXXXXXXXXXXXXXX XXXXXXX el día 06 de julio de 2022; esta consulta permaneció visible en la historia de crédito de la titular hasta el 06 de enero de 2023. En el caso de la titular XXXXXXXXXXXXXXXXXX la sociedad investigada consultó su historial crediticio el día 24 de mayo de 2022; esta consulta permaneció visible en la historia de crédito de la titular hasta el día 24 de noviembre de 2022.

Las mencionadas consultas a las historias de crédito referidas se realizaron sin contemplar una de las finalidades dispuestas en el artículo 15 de la Ley 1266 de 2008, así como también se evidenció que la sociedad investigada no contaba con la autorización por parte de las titulares para la consulta con cualquier otra finalidad; razón por la cual se encontró que la sociedad CREDIBANCOOP S.A.S. vulneró el derecho de Habeas Data de las titulares en tanto la información se mantuvo visible en las historias de crédito de las titulares sin contar con una de las finalidades legítimas dispuestas por la ley.

Así las cosas, como sanción frente al cargo único, esta Dirección impondrá una sanción pecuniaria de TRES (3) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a TRESCIENTAS CUARENTA Y OCHO (348) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CUATRO MILLONES VEINTE MIL NOVENTA Y SEIS PESOS M/CTE ($4.020.096), por la violación a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma. 23.1.2.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que: (i) dentro del investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la “Por la cual se impone una sanción administrativa” Superintendencia; y (iii) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Por otro lado, el criterio de atenuación de la sanción señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de la infracción.

VIGÉSIMO CUARTO: CONCLUSIÓN La sociedad CREDIBANCOOP S.A.S., en su calidad de Usuario de la información, consultó la historia de crédito de la titular XXXXXXXXXXXXXX XXXXXXXXXXXXXX la titular XXXXXXXXXXXXXXXXXXX sin una de la finalidades legítimas dispuestas en el artículo 15 de la Ley 1266 de 2008, adicionalmente, tampoco logró acreditar que contaba con la autorización otorgada por las titulares para consulta su historial crediticio con cualquier otra finalidad no contemplada en la ley.

VIGÉSIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368-7, con el correo electrónico de notificación judicial credibancoop@gmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N.° 22-342892. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368-7, de TRES (3) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a TRESCIENTOS CUARENTA Y OCHO (348) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CUATRO MILLONES VEINTE MIL NOVENTA Y SEIS PESOS M/CTE ($4.020.096), por la violación a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma.

Parágrafo. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. “Por la cual se impone una sanción administrativa”

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CREDIBANCOOP S.A.S., identificada con NIT. 901.355.368-7, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 3. COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXXXX XXXXXX, identificada con la cédula de ciudadanía xxxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO 4. COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXX, identificada con la cédula de ciudadanía xxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:  Correo Superintendencia Comercio: contactenos@sic.gov.co. de Industria y  Sede Principal: Calle 24 # 7-43. Local 108 en la Ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 14 de octubre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Proyectó: MG Revisó: AC Aprobó: CG Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.10.14 12:39:44 -05'00' CAROLINA GARCÍA MOLINA